Bankkártyások, figyelem! Így foszthatják ki a facebookon a számlátokat

Az alábbi történet rávilágít arra, hogy még a biztonságosnak hitt online megoldások is mekkora veszélyt rejtenek. A dolog egyik közeli ismerősömmel történt meg, aki azt kérte, név nélkül számoljunk be a történetéről, így most Vikiként fogunk rá hivatkozni. A történet röviden tömören arról szól, hogy Viki bankszámlájáról úgy tűnt el egy szép összeg, hogy azt gyakorlatilag megelőzni sem lehetett volna, és egyébként nem vett igénybe olyan online szolgáltatást, amiről ne tudta volna, hogy az biztonságos. Az alábbiakban Viki beszámolója szerint írjuk le, mi történt, a cikkben szereplő képeket ő készítette és küldte el nekünk.

Egyszercsak elkezdtek eltűnni a pénzek a számláról

Minden úgy kezdődött, hogy Viki nagybevásárlás előtt ellenőrizni akarta a banki mobilapplikációjában az egyenlegét, és azt vette észre, hogy aznap és az előző nap párszáz, majd párezer forintos tranzakciók történtek a számláján, amelyekről biztosan tudta, hogy nem ő indította őket. Számlakimutatása szerint összesen ezzel két nap alatt 40 ezer forintnyi pénzt fizetett ki úgy, hogy egyébként ő maga nem vásárolt semmit.

Az applikáció szerint a vásárlásokat a Facebooknak fizette, a tranzakció helye pedig egy 10 jegyű számkód volt. Viki munkájából adódóan gyakran hirdet a közösségi oldalon, így ott megadta a kártyaadatait, hasonló tranzakciókat korábban ő maga is kezdeményezett - csakhogy Viki teljesen biztos volt benne, hogy az elmúlt két napban nem indított hirdetést. Viki érthetően megijedt, ezért azonnal 0 forintra akarta módosítani a vásárlási limitet, hogy megkerülje a kártyatiltás körüli macerákat és költségeket, de a bankjánál 50 ezer forint a minimális vásárlási limit. Így hát azonnal letiltotta a kártyát.

Elmondása szerint több lehetőség is megfordult a fejében, kezdve attól, hogy esetleg a szolgáltatás igénybe vételekor volt figyelmetlen, egészen addig, hogy valójában csak most könyvelték el a tranzakcióit. Így írta le mindezt:

Viki ezért nagyjából összeszámolta a havi hirdetéseinek költségét, de az összeg nem stimmelt. Ekkor kezdte úgy gondolni, hogy a kártyáját meglopták, úgyhogy elkezdett olvasgatni a neten.

Csalók voltak, és nem is most kezdték a szakmát

Azonnal talált is egy pár éves cikket, amiben hasonló csalásról számoltak be. A cikk szerint már 2011 óta ismert gyakorlat a csalók körében, hogy a kártyaadatok birtokában Facebook-hirdetésnek álcázva előbb kis összeget, majd egyre nagyobb pénzeket emelnek le a számláról. A tranzakció helyének egy 10 jegyű kódot adtak meg akkor a csalók. Viki azonnal felismerte a régi történetben a sajátját, így hát már nem volt kétséges, hogy csalás áldozata lett. Hozzátesszük, hogy ez sok kérdést felvet - ha 2011 óta ismert a csalás, és ennek ellenére nem sikerült leleplezni, akkor a kivitelezőknek nagyon kifinomultak lehettek a módszerei.

Válogass a bankszámlák között: hasonlítsd össze őket két kattintással!

Vikit nem hagyta nyugodni a dolog, saját elmondása szerint egyszerűen nem tudta feldolgozni, hogy illetéktelenek csak úgy pénzeket emelnek le a kártyájáról. Ráadásul Viki saját bevallása szerint egyetlen olyan platformon sem adta meg a kártyaadatait, ami ne lett volna közismerten biztonságos.

- írta le nekem a történtek utáni kétségbeesését, ami lássuk be, azért érthető.

Ekkor még nem volt világos, hogy a Facebooknak mi köze van a dologhoz: lehet, hogy a csalók csak így akarták leplezni a tranzakciókat, gondolta elsőre Viki. Az fel sem merült benne, hogy maga a közösségi oldal lépett volna fel rosszindulatúan, de az már igen, hogy esetleg valóban ezen keresztül ment a lehúzás. Ezért Viki megnézte a hirdetési profilját, és hálát adott a gyorsaságának, hogy azonnal letiltotta a kártyáját - a tiltás után ugyanis további tranzakciókat indítottak el, amelyek értelemszerűen sikertelenek voltak. Így viszont Viki már tartozott is a Facebook-nak további 21 ezer forinttal a már kifizetett 40 ezer mellé.

A Facebook hirdetési rendszerében - ahogy a képen látható - pontosan szerepelt az összes tranzakcióról a kimutatás - azokról is, amelyeket állítása szerint nem Viki indított. A képen is látható, és ismerősömnek is szemet ütött, hogy több tranzakció is sikertelen volt még a múltból is, és ezek egészen február 21-ig visszamentek az időben.

Ahogy ő fogalmazott nekem, egészen beleborzongott, hogy valaki már február vége óta rájárt a kártyájára. Miután visszakövette a tranzakciókat, azt találta, hogy bizony már a múlt hónapban is meg-meglopták apró összegekkel, 500-2000 forintokkal - mivel nagyrészt ő is ekkora összegekben hirdet a Facebookon, ezért akkor nem tűnt fel neki mindez. Viszont ezzel így már több dolog is kezdett nyilvánvalóvá válni.

Szép lassan összeállt a kép

Innentől már egészem biztos volt, hogy a Facebook (pontosabban Viki Facebook-fiókja) valamilyen formában érintett a csalásban. Az első, amit ebben a helyzetben tenni érdemes, az az, hogy arra gondolunk: esetleg a fiókunkat törték fel. Így tett Viki is, és azonnal megnézte a belépések helyéről szóló értesítést a fiókjában.

Biztossá vált tehát, hogy a Facebook-fiókjához szereztek illetéktelen hozzáférést. A legtöbb gyanús bejelentkezés ismeretlen eredetű készülékről történt Budapesten, és szinte minden ilyen általa nem detektált bejelentkezés után történt is egy hirdetés-feladás, többségük sikertelenül.

A történethez hozzátartozik, hogy Vikinek saját elmondása szerint feltörhetetlen Facebook-kódja van, azt teljesen véletlenszerű számok és betűk kombinációja teszi ki. A kiszivárgást ez még természetesen nem akadályozza meg, mint ahogy láttuk is nem is ritkán, hogy számtalan e-mail cím és az ahhoz tartozó jelszó kiszivárgott az interneten. Egyáltalán nem kizárható, hogy Vikivel is ilyesmi történt.

Hasonlítsd össze a bankok számla-ajánlatait: kattints a Pénzcentrum kalkulátorára!

Ami eddig a pontig biztos volt tehát, hogy valaki belépett Viki Facebook-profiljába, és az ott megadott kártyaadatokkal hirdetést adott fel - ennek célja vélhetően haszonszerzés volt, hiszen így a saját vállalkozására tud ingyenesen hirdetést feladni. Úgy nézett ki, hogy az elkövető magyarországi, hiszen a bejelentkezések is Budapesten történtek - bár vélhetően a bejelentkezést fiktív helyét könnyebb módosítani, nem tudhatjuk. Innen viszont már csak - szó szerint - pár kattintás volt kideríteni, hogy ki volt a kedvezményezett.

A tettes leleplezte magát - vagy mégsem?

A csalással való szembesülés, a minden előjel nélkül eltűnő pénzek és a hónapokon át tartó behatolás a fiókba elsőre azt mutatta, hogy egy professzionális elkövető áll a dolog mögött. Viki nem túl időigényes és bonyolult nyomozás után viszont olyan információkhoz jutott, amit profik aligha hagynának hátra. Először is ott volt az IP-cím, ami minden egyes fiktív bejelentkezéskor látható volt. Igaz, az IP cím lehet véletlenszerűen generált is, ebben az esetben nem sokra menne vele senki, de ha nem az, akkor az már eleve egy forró nyom. Ez viszont még semmi ahhoz képest, amit Viki ezután talált.

Viki hirdetési fiókjához 4 Facebook-profil is hozzá volt adva, mindannyian vietnámi névvel. Aki tehát belépett Viki Facebook-profiljába, annak ezután nem is volt szüksége Viki adataira, hiszen elég volt a hirdetési profilhoz hozzáadnia a saját (minden bizonnyal fiktív) profiljait, és már saját eléréssel is tudott mások kártyájáról hirdetni. A négy személy profiljára Viki megpróbált rákeresni, de érdekes módon nem találta meg őket - szinte biztos, hogy nem létező személyek voltak, és a profil is rejtett volt.

Így tehát ezzel még nem volt beljebb. A közösségi oldal azonban elég részletes információt közöl a hirdetésekről, így a feladónak látnia lehet konkrétan minden beállítást: hiába adtak meg tehát fiktív profilokat hidetőként, a hirdetés tárgya pontosan látható volt.

A ruhabolt neve pontosan látható volt, mint ahogy a hirdetés paraméterei is - azok 20 és 35 év közötti férfiakat céloztak Magyarországon és Vietnamban. A bolt első neve egy vietnami vezetéknév, a második része pedig annyit jelent: "férfi divatáru". Próbáltam a boltra rákeresni, de csak a Facebook-oldalt találtam meg a reklámozott poszttal együtt - ettől függetlenül természetesen nem kizárható, hogy egy létező boltról van szó. A bolt helyszíneként Vetnam fővárosának, Hanoinak egy külső kerületi címe van feltüntetve.

Összegezzük tehát: valaki megszerezte Viki Facebook-profiljának kódját, (a kimutatások szerint) Magyarország területén belépett vele, hónapokon keresztül kis összegben hirdetett rajta, majd miután nem bukott le, elkezdte a nagyipari hirdetésfeladást. Viki profiljához négy álfiókot is hozzáadott, és a hirdetések egy vietnami férfi ruhabolt termékeit hirdették itthon és Vietnamban is. 

Akárhogy is, egy biztos: a fenti ruhabolt valamilyen kapcsolatban volt a csalókkal - vagy a hirdetést szervezték ki profi bűnszervezetnek, vagy ők maguk vásároltak meg Viki Facebook-profilját adathalász vállalatoktól, de azt sem zárhatjuk ki, hogy a ruhabolt egyáltalán nem létezik, és valójában máshova szivárogtak a pénzek. Azért nem zárhatjuk ki, mert a csalás technikai hátterét nem ismerjük - mindenesetre nem valószínű ez,

Ebben az esetben szóba jöhet, hogy nem is maga a ruhabolt terméke a lényeg, hanem a kattintás, amit a hirdetések után a csalók kapnak. Ha belegondolunk, logikus - más pénzén hirdetnenk egy fiktív ruhaboltot, és a hirdetésre való kattintások valahogy pénzzé tesszük. Töredelmesen bevallom, ötletem sincs, melyik forgatókönyv az igaz, de a ruhaboltos verzió valóban túl amatőrnek tűnik.

Így reagáltak a szereplők: a bank, a Facebook, és a rendőrség

Bizonyára sok olvasó fejében megfordult a kérdés: mit tehet ilyenkor szegény Viki? Értesítheti a bankját, írhat a Facebooknak, és feljelentést tehet a rendőrségen - minden bizonnyal ez a három dolog jutott legtöbb olvasónk eszébe. Viki pedig saját bevallása szerint pontosan ezt a sorrendet követte. Mielőtt rátérnénk a fejleményekre, érdekes adalék, hogy amikor Viki elmesélte a történetet ismerőseinek - köztük nekem is -, akkor kiderült, hogy van olyan ember a környezetében, akivel nemrég ugyanez a dolog megtörtént. Rendkívül elterjedt csalásról lehet tehát szó, és egészen biztos, hogy nem Viki 40 ezer forintja volt az egyetlen, amit a csalók az ügyeskedésen realizáltak. Viki ismerőse (az egyszerűség kedvéért nevezzük Ferinek), aki szintén gyakran hirdet Facebookon, így hasznos tanácsokkal látta el őt.

A bank

A korábbi cikkben az szerepelt - és Ferivel is ez történt -, hogy a bank felvette a panaszt, és néhány napon belül megtérítették a kárt. Mi felhívtuk Viki bankjának sajtóosztályát, ahol valóban azt a tájékoztatást adták, hogy általában ezeket az összegeket megtérítik, és amennyiben a bankbiztonsági eljárásban bebizonyosodik, hogy az ügyfél a hibás, és valóban visszaélés történt, akkor a pénzt ráterhelik később a kártyára. Azt mi tesszük hozzá, hogy a bank sem jófejségből teszi mindezt, számukra a kártyatársaság számolja el a díjat kvázi egy "biztosítás" keretében.

A bankszámlák összehasonlításához használd a Pénzcentrum kalkulátorát!

Viki eddig még nem jutott el, megtette a panaszt a banknál, amit be is fogadtak. Az ügyintéző soha az életében nem hallott még erről az esetről, így talán mégsem annyira mindennapos, mindenesetre Viki elmondása szerint készségesen és gyorsan elintézte a bejelentést. Ami azonban már kevésbé tetszett Vikinek, az az volt, hogy a banki ügyintéző a fennálló Facebook-tartozásra azt mondta, hogy mivel az még nem jelentkezett kár formájában, így azt a szolgáltatóval kell intéznie. De még egyszer kiemeljük: ez még nem számított a kérelem hivatalos bírálatának.

A Facebook

A józan ész azt diktálja, hogy ilyen esetben a Facebooknak is írni kell. A közösségi oldal nem felelős a dologban, hiszen ő teljesítette a szolgáltatást, amit az ő értelmezésében Viki rendelt meg, így valójában a fennálló követelése is jogszerű (hogy Viki jelszava hogy került idegenek kezébe, az más kérdés, és nem is tudhatjuk). Feri arról számolt be Vikinek, hogy az ő történetekor a Facebook egyáltalán nem reagált a megkeresésre, így szerinte Viki nem is számíthatott semmi jóra.

A közösségi oldal válaszában azt írta, hogy a panasz kivizsgálása után ők is igazoltnak látják, hogy a fiókot feltörték. Értékelni nem szeretnénk a dolgot, mindenesetre megnyugtató, hogy a Magyarországon is milliók által használt közösségi oldal ilyen gyorsan - és legfőképp ilyen eredménnyel - járt el. A kód kiszivárgása és az, hogy a csalást nem észlelték korábban, ez már akár számon kérhető lenne, de ahogy neki is mondtam, itt Vikinek is volt felelőssége, mert a biztonságosabb bejelentkezési beállításokkal minden új eszközről történő bejelentkezést jóvá kell előbb hagynia. Neki ez nem volt beállítva.

A rendőrség

Viki megtette a rendőrségi bejelentést is, itt már vegyesek voltak a tapasztalatai. Az eljárást felvették, Viki beszámolója szerint a rendőr egyáltalán nem értette a Facebook-hirdetések rendszerét, bár azért gyorsan tegyük hozzá, ez nem is feladata. A bejelentés megtörtént, Viki a fent látható képeket a rendőrnek is átadta, így már csak a szándék kell a nyomozóknak ahhoz, hogy rárepüljenek az ügyre. Nem tudjuk, mi lesz az eredménye a dolognak, erről Vikinek tájékoztatást ígértek, mindenesetre a rendőr hozzátette, hogy Viki kára 40 ezer forint, és a bűncselekmény minimum értékhatára 50 ezertől kezdődik, így csak szabálysértés történt. Hiába mondta Viki, hogy további 21 ezer forint kötelezettsége van, a jegyzőkönyvben 40 ezer forint kár szerepel. A bírálat folyamatban van.

Nagyon sokat lehet tanulni belőle

Összességében tehát happy end lett a dolog vége, Viki amellett, hogy gyorsan és hiánytalanul megtérítették a kárát, még az is lehet, hogy egy kontinenseken átívelő bűnszervezetet leplezett le - ezt azért nem tartjuk valószínűnek. A csalás már 2011-ben is működött, azóta is működik, és csalások a jövőben is lesznek (talán az online megoldások térhódításával egyre inkább). Viki is megfizette az árát - az új kártya igénylésével az anyagi kárát, a sok stresszel pedig a mentális költségeit annak, hogy nem vette teljesen komolyan a kiberbiztonságot.

Hibáztatni nem lehet, hiszen amíg meg nem lopnak valakit, addig el sem tudja képzelni, hogy ilyen megtörténhet, és talán felesleges macerának tartja az egyes felületek biztonsági intézkedéseit. Pedig a valóság az, hogy a magyarok több mint harminc százalékát meglopták már az interneten keresztül, és Viki példája is igazolja, hogy ez bárkivel, bármikor, minden előjel nélkül megtörténhet - még az óvatosabb emberekkel is.

Válassz felelősen: találd meg a legolcsóbb bankszámlát a Pénzcentrum kalkulátorában!

A csalók minden bizonnyal jelenleg is aktívak. Érdekesség, hogy miután Viki elmesélte nekem a történetét, pár napra rá az én Facebookom is küldött egy üzenetet, hogy valaki épp most Hajdúnánásról be akar jelentkezni a fiókomba - én egészen biztos voltam benne, hogy az adott perben Budapesten tartózkodom. Nem tudom, hogy erről az esetről volt-e szó, de a biztonsági beállításaim miatt nem is tudtam meg. Azonnal megváltoztattam a jelszavam. Ráadásul azóta több ismerősömtől is hallottam, hogy történtek gyanús esetek, bankkártyavisszaélések.

Viki megúszhatta volna a dolgot akkor is, ha egy alternatív kártyáról intézi a hirdetéseit (ami lehet a bankjának egy online kártyája is, ha erre van lehetőség), amit csak a hirdetés előtt tölt fel. Szintén fontos tanulság, hogy bár a népszerű platformok is hibázhatnak, azért a megbízhatóságra ma már nagy figyelmet fordítanak: mind a bank, mind a Facebook felhasználóbarát módon járt el, ez pedig fontos, hogy az esetlegesen megingó bizalmat erősítsék.

És ebből következik a történet legfontosabb üzenete. Azért döntöttünk a történet ilyen részletes megírása mellett - és Viki is ezt kérte -, hogy felhívjuk a figyelmet a veszélyre - arra, hogy ilyen tényleg bárkivel tényleg bármikor megtörténhet. Ha az olvasók azt a következtetést vonják le a történtekből, hogy a digitális pénzügyi megoldások nem megbízhatók, akkor a cikk nem érte el a célját. Gondoljunk csak bele, hogy a zsebüknből, pénztárcánkból mennyivel egyszerűbb kiemelni az összeget, mint a bankkártyáról leemelni, ráadásul ebben az esetben nem tudunk elektronikus kimutatásokkal panaszkodni sem a banknál, sem a szolgáltatónál - azt a kárt senki nem térítené meg nekünk. Ne idegenkedjünk emiatt a digitális pénzügyektől, hiszen azoknak ma - és főleg ma - nincs alternatívája. Az pedig az élet minden területére igaz, hogy a biztonságért tegyünk meg mindent, amit lehet.

A fenti események pontosan a leírtak szerint történtek. A szerző külső munkatársunk, aki a téma jellege miatt nem kívánta feltüntetni a nevét a cikkben.