A közösségi média ma már szinte a digitális személyazonosságunk része. Nemcsak a családi fotóinkat vagy a barátainkkal való beszélgetéseinket őrizzük itt, de sokan a vállalkozásukat, hirdetési fiókjaikat is a Metán (Facebook, Instagram, Messenger) keresztül irányítják. Nem véletlen, hogy a kiberbűnözők legértékesebb célpontjaivá váltak ezek a profilok.

A Meta-platformokat érintő adathalászat és fiókfeltörések ma már futószalagon gyártott, rendkívül profi iparággá nőték ki magukat.

Így működik a Meta-adathalászat

A klasszikus, rossz magyarsággal megírt, azonnal kiszúrható levelek kora lejárt. A támadók ma már a mesterséges intelligenciát és a pszichológiai manipulációt (szakszóval social engineering-et) használják. A céljuk szinte mindig az, hogy pánikot keltsenek, és azonnali, átgondolatlan cselekvésre kényszerítsenek.

A leggyakoribb forgatókönyv, hogy kapsz egy értesítést (e-mailben, Messenger-üzenetben vagy egy bejegyzés megjelölésében), ami látszólag a „Meta Support”-tól vagy a „Meta Security Team”-től érkezik. A szöveg szerint a fiókodat zárolni fogják szerzői jogi sértés vagy gyanús tevékenység miatt, hacsak nem kattintasz egy linkre 24 órán belül, hogy igazold a személyazonosságodat.

A link egy olyan felületre vezet, amely megszólalásig hasonlít a Facebook vagy az Instagram belépési oldalára. Ha itt megadod a jelszavad, az azonnal a csalók kezébe kerül, akik másodpercek alatt kizárnak a saját fiókodból, és akár az általad kezeld oldalakból is.

Azonnali „Red Flagek” – Amikből egyből tudhatod, hogy csalásról van szó

Mielőtt bármilyen linkre rákattintanál, fuss át gondolatban ezen a listán. Ha az alábbiak közül akár egy is igaz az üzenetre, azonnal jelentsd és töröld!

• A META soha nem fog „sima” üzenetben, Messengeren kommunikálni veled, de még csak posztban sem fog soha megjelölni! Külön Támogatások mappá fog kerülni, ha mégis küld a valódi Support üzenetet, de ez nem üzleti felhasználók esetén igen ritka. A hivatalos biztonsági figyelmeztetések pedig, mindig a Beállítások -> Biztonság menüpont alatt, a dedikált értesítési felületen jelennek meg.
• Sürgetés és fenyegetés: „Azonnali intézkedés szükséges”, „24 órája maradt”, „Fiókját véglegesen töröljük”. A csalók tudják, hogy ha van időd gondolkodni vagy megkérdezni egy hozzáértő ismerőst, elbukják a zsákmányt.
• Gyanús feladó vagy URL: A levél küldőjének címe nem @fb.com, @facebookmail.com vagy @meta.com, hanem valamilyen ingyenes vagy zagyva domain (pl. meta-support-help-team@gmail.com vagy secure-login-meta.xyz).
• A „Hirdetéskezelő csapda”: Ha üzleti fiókod van, gyakran azzal trükköznek, hogy gyanús hirdetési költést jeleznek, vagy azt állítják, leállították a hirdetéseidet.

Ha már megtörtént a baj: Mentőakció lépésről lépésre

Ha megadtad az adataidat, és a hacker megváltoztatta a jelszavadat, esetleg a hozzátartozó e-mail címet és a telefonszámot is, még nem szabad feladni. A reakcióidő itt is kritikus.

1. Keresd meg a hivatalos rendszerszintű e-mailt! Amikor a hacker megváltoztatja a fiókodhoz tartozó e-mail címet vagy jelszót, a Meta küld egy automatikus értesítést a régi e-mail címedre. Ebben a levélben van egy link, amely így szól: „Nem én voltam” vagy „Szeretném megvédeni a fiókomat”. Erre kattintva a rendszer azonnal zárolhatja a folyamatot, és elindíthatja a visszaállítást.
2. Használd a dedikált helyreállító oldalt! Látogass el a facebook.com/hacked (vagy Instagram esetén az alkalmazás bejelentkezési képernyőjén a „Segítség a bejelentkezésben”) oldalra. Itt a rendszer kérni fogja a korábbi jelszavadat, vagy a fiókhoz köthető egyéb azonosítókat.
3. Személyazonosság igazolása (A végső bizonyíték) Ha a csaló beállította a saját kétlépcsős azonosítását (2FA), a Meta kérni fogja, hogy igazold magad. Ez általában egy hivatalos okmány (személyi vagy jogosítvány) fotójának feltöltésével, vagy az Instagram esetében egy szelfivideó elkészítésével történik (ahol a kamera előtt kell forgatnod a fejed). Ezt a rendszerek manuálisan is ellenőrzik, ami napokig is eltarthat.
4. A bankkártyák azonnali letiltása! Ez a legfontosabb gazdasági lépés. A csalók sokszor nem a te személyes profilodra kíváncsiak, hanem a hirdetési fiókodhoz kapcsolt bankkártyádra. Ha bejutnak, azonnal elkezdenek hatalmas összegekért (akár több százezer forintért) saját, csaló hirdetéseket futtatni. Ha a profilod veszélybe került, azonnal tiltsd le vagy függeszd fel a kapcsolódó bankkártyát a bankodnál!

⚠️ Fontos figyelmeztetés: Soha ne dőlj be a YouTube-on, Redditen vagy kommentekben hirdetett „fiókvisszaszerző szakembereknek” (hackereknek). Senki sem tud külső programmal belépni a Meta rendszerébe, hogy visszahozza a profilodat. Ezek mind kivétel nélkül újabb csalók, akik pénzt fognak kiszedni belőled a semmiért.

Hogyan védekezhetsz?

A megelőzés sokkal egyszerűbb, mint a romok eltakarítása. Ha most még megvan a fiókod, szánj rá 5 percet, és tedd meg a következő lépéseket:

• Kapcsold be a kétlépcsős azonosítást (2FA): Ne a SMS-alapút válaszd (mert a SIM-kártyák is klónozhatók), hanem egy hitelesítő alkalmazást (pl. Google Authenticator vagy Microsoft Authenticator). Így hiába tudja valaki a jelszavadat, a kód nélkül képtelen lesz belépni.
• Legyenek valósak az adataid: Ha a Facebook profilodon nem a valódi neved szerepel, vagy nincs fent egyetlen olyan fotó sem, amin tisztán látszol, a Meta nem fogja tudni összevetni a profilodat a személyi igazolványoddal egy esetleges feltörés során.
• Állíts be napi limitet a bankkártyádon: Ha hirdetsz a Metán, az online vásárlási limitet tartsd alacsonyan, és csak akkor emeld meg, ha éppen nagyobb összegű számlát egyenlít ki a rendszer automatikusan.

A digitális biztonság nem egy egyszeri beállítás, hanem egy folyamatos óvatosság. Ha egy üzenet túl sürgős, túl ijesztő vagy túl szép ahhoz, hogy igaz legyen, akkor az szinte biztosan adathalászat.

A kétlépcsős azonosításon túl a figyelem a legfontosabb!

A „vérprofi” partnerfelkérési trükk (Amikor magából a biztonsági figyelmeztetésből lesz a csapda)

A kiberbűnözők ma már nem csak sablonszövegeket írnak, hanem konkrétan ellopják a Meta hivatalos dizájnját és gyári figyelmeztető szövegeit. Nemrégiben bukkant fel az a módszer, ahol a levél formázása és a szöveg 90%-a egy az egyben megegyezik a hivatalos Meta-értesítésekkel.

A levél hivatalos hangnemben közli: „Partneri felkérést kaptál egy másik vállalkozástól…”, sőt, cinikus módon még a levélbe épített „Védd meg magad a csalásoktól” (Protect yourself from fraud) blokkot is benne hagyták, amely arra inti a felhasználót, hogy ne adjon meg jelszót, és legyen óvatos a sürgető üzenetekkel.

Ez a pszichológiai manipuláció csúcsa: a levél annyira professzionálisnak és biztonságosnak tűnik a hivatalos jogi és biztonsági szövegek miatt, hogy a gyanakvóbb felhasználók éberségét is teljesen elaltatja.

Miből lehet mégis 100%-os biztonsággal kiszúrni a csalást?

Bár a körítés mesteri, van két olyan ordító Red Flag a levélben, amit nem tudnak elrejteni:

• A link egy ingyenes Google-oldalra mutat: Nézd meg jól a hivatkozást a szöveg elején: sites.google.com/view/…. A Meta a világ egyik legnagyobb tech vállalata, soha, semmilyen körülmények között nem használ ingyenes Google Sites-ot vagy külső tárhelyet a hivatalos funkcióihoz (például egy ellenőrző jelvény – verified badge – kiosztásához). Minden hivatalos gombnak a facebook.com vagy business.facebook.com domainre kell mutatnia.
• A rejtélyes „Partner” neve maga a link: A hivatalos levelekben itt egy létező cég neve szerepelne (pl. „XY partneri felkérést küldött”). Itt viszont a partner neve helyére magát a csaló linket szúrták be (Partner with [link]…), ami nyelvtanilag és logikailag is teljesen értelmetlen.
• Ellentmondás a szövegben: A levél alján ott a klasszikus adathalász sürgetés: „Igazold a fiókodat a fenti linken keresztül 24 órán belül”. Miközben a levél közepén lévő (Metától ellopott) biztonsági rész pont azt írja: „Légy óvatos az olyan üzenetekkel, amik sürgető vagy fenyegető nyelvezetet használnak.” A csalók saját magukat buktatják le a másolt szöveggel. Még, valószínűleg ezen rövidesen változtatni fognak.
• Vársz ilyen felkérést? Ha nem vársz partneri felkérést, vagy úgy általában, nem rád vonatkozik a levél tartalma, akkor NE KATTINTS semmire.

Szerző: Szarvas-Deák Tímea