Mi az az AI-adathalászat, és hogyan ismerhető fel?
·A könyvelő délelőtt kap egy levelet: „Küldjük a márciusi javított számlát. Kérjük, még ma rendezzék, hogy ne kelljen leállítanunk a szállítást.” Udvarias hangnem, egyetlen elgépelés sem, valódi beszállító neve, stimmelő aláírás. Semmi nem árulkodik csalásról.
Régebben az adathalász levelet messziről ki lehetett szúrni: kificamodott mondatok, szétesett formázás, ismeretlen feladó, igénytelen külalak. Ez az idő lejárt. A mesterséges intelligencia hibátlan magyar szöveget ír, eltalálja a hangnemet, és percek alatt a címzettre szabja az üzenetet.
Az AI-adathalászat (AI phishing) nem azt jelenti, hogy a levelet géppel írták az elejétől a végéig. Azt jelenti, hogy a támadó a munka egy részét – a szövegezést, a fordítást, a személyre szabást, az ürügy kitalálását, a stílus utánzását, a kampány összerakását – rábízza egy nyelvi modellre.
A tágabb képet, vagyis hogy a támadók még mire használják az AI-t, az AI-alapú kibertámadásokról szóló cikkünkben írtuk meg.
Az adathalászat ritkán áll önmagában. A hangalapú változatáról a deepfake-csalás és a vishing című cikkünk szól, arról pedig, honnan szedi a támadó a hihető részleteket, az OSINT és a nyilvános adatok című írásunk.
Hogyan működik az adathalászat?
Az adathalászat egyetlen mechanizmusra épül: a támadó olyasvalakinek adja ki magát, akiben a címzett megbízik.
Bank, futárszolgálat, mobilszolgáltató, hatóság, ismert márka, kolléga, főnök vagy ügyfél – a szerep bármi lehet. Az üzenet pedig szinte mindig gyors cselekvésre szorít.
A támadó általában azt akarja elérni, hogy a címzett:
- rákattintson egy linkre,
- belépjen egy hamis bejelentkező oldalon,
- megnyisson egy csatolmányt,
- megadja a bankkártyaadatait,
- továbbküldjön egy hitelesítő kódot,
- elindítson egy utalást,
- hozzáférést adjon egy céges rendszerhez.
A legnagyobb baj az, hogy az adathalász levél ritkán látványos. Sokszor semmiben nem különbözik egy hétköznapi munkahelyi üzenettől.
Az adathalászat leggyakoribb formái
E-mailes adathalászat
A legismertebb változat. A levél úgy fest, mintha a banktól, a futárcégtől, egy szoftverszolgáltatótól, a beszállítótól vagy egy kollégától érkezett volna. Link, csatolmány vagy sürgős kérés van benne.
Példa: „A jelszava hamarosan lejár. Lépjen be, és erősítse meg a fiókját.”
Smishing
A smishing SMS-ben vagy csevegőalkalmazásban érkező adathalászat. A leggyakoribb ürügy a csomag, a pótdíj, a bírság és a bankszámla.
Példa: „A csomagja a raktárban vár. A kézbesítéshez erősítse meg az adatait.”
Vishing
A vishing telefonos, vagyis hangalapú adathalászat. A hívó banki ügyintézőnek, rendszergazdának, rendőrnek, futárnak vagy vezetőnek adja ki magát, és arra játszik, hogy a hívott még a beszélgetés alatt megtegye, amit kér.
Az AI ezt vitte a legmesszebbre. Videóból, előadásból vagy online értekezletből származó rövid mintából meggyőző hangmásolat készül, így a telefonban hallott hang önmagában már nem azonosít senkit.
Spear phishing
A spear phishing – magyarul célzott adathalászat – nem ezer címre kiküldött körlevél, hanem egy konkrét embernek vagy egy konkrét cégnek összeállított üzenet.
A támadó előtte utánanéz a névnek, a beosztásnak, a futó projekteknek, a kollégáknak, az ügyfeleknek és a beszállítóknak. Az így megírt levél belesimul a címzett munkanapjába.
Itt lép be az OSINT: a nyilvános profilok, a céges honlap és a közösségi bejegyzések teszik hihető ürüggyé a semmitmondó körlevelet.
Business Email Compromise (BEC)
Ez a változat kifejezetten cégeket céloz. A támadó ügyvezetőnek, felettesnek, beszállítónak vagy üzleti partnernek adja ki magát, és azt akarja elérni, hogy a munkatárs kifizessen egy számlát vagy módosítsa a bankszámlaszámot.
Ritkán technikai támadás. Sokkal többször gondosan felépített manipuláció – itt megy át az adathalászat social engineeringbe, magyarul pszichológiai manipulációba. Ezt a nevet használja a jogszabály is: az 5/2025. (VI. 20.) SZTFH rendelet 3. § (2) bekezdés bd) pontjában a „pszichológiai manipulációs (social engineering) támadások tervezése és kivitelezése” fordulat szerepel.
Mit változtatott az AI az adathalászaton?
Az AI pontosan ott javított az adathalászaton, ahol korábban el szokott hasalni.
Hibátlan nyelv
A csaló üzenetnek többé nem kell fordítógépes magyarsággal megszólalnia. A modell hibátlan mondatokat ír, és a hangnemet ahhoz igazítja, akinek a nevében ír: bankhoz, futárcéghez, hatósághoz vagy egy kollégához.
Több személyes részlet
A támadó összeszedi a cégről és az emberekről elérhető nyilvános információkat, a modell pedig konkrét, személyre szabott részleteket farag belőlük.
Például: „Kedves Márta! Küldöm a frissített anyagot a jövő heti pályázathoz.” Ez lényegesen veszélyesebb, mint egy tömeges szemétlevél.
Gyorsabb kampány
Néhány száz személyre szabott levél korábban napokig készült. Ma percek kérdése, és a kampány osztályonként átszabható: külön változat megy a pénzügyre, a HR-re, az értékesítésre és az IT-csapatra.
Lemásolt stílus
Ha a támadó hozzáfér egy vezető nyilvános szövegeihez – előadás, interjú, blogbejegyzés, sajtóközlemény –, a modell megpróbálja utánozni a stílusát. A levél ilyenkor pontosan úgy szól, ahogy a főnök szokott írni.
Ellenőrzőlista: hogyan ismerhető fel az adathalász üzenet?
Gyanús üzenetnél egyetlen dolog számít igazán: lassítson. Ehhez nem kell informatikai tudás, elég néhány kérdés.
1. Sürget-e az üzenet?
Az adathalászat időzavarba hoz: „azonnal”, „24 órán belül”, „utolsó felszólítás”, „sürgős”, „zároljuk a fiókját”. Minél erősebb a nyomás, annál inkább érdemes megállni. A sietség maga a támadás.
2. Kér-e jelszót, kódot vagy pénzt?
Jelszót és egyszer használatos kódot egyetlen szolgáltató sem kér e-mailben, SMS-ben vagy csevegőalkalmazásban. Ha egy üzenet mégis az SMS-ben érkezett kódot kéri, ott ér véget a beszélgetés.
3. Stimmel-e a feladó címe?
Ne csak a megjelenített nevet nézze, hanem a tényleges e-mail-címet is. A támadó ismert márkát ír a névbe, a domain viszont teljesen más. Az apró eltérések árulkodnak: felcserélt betű, plusz kötőjel, szokatlan végződés.
4. Oda visz-e a link, ahová mutat?
Ne kattintson reflexből. Számítógépen vigye a link fölé az egeret, és nézze meg az állapotsorban a valódi címet. Telefonon ez nehezebb, ezért ott még inkább megéri kézzel megnyitni a hivatalos oldalt.
5. Várható volt-e a csatolmány?
Nem várt csatolmányt ne nyisson meg – főleg ne számlát, szerződést, tömörített állományt vagy olyan fájlt, amely makró engedélyezését vagy újbóli bejelentkezést kér.
6. Van-e értelme a kérésnek?
Illik-e a kérés a hétköznapi munkamenetbe? Szokott-e ez a partner ilyesmit kérni, és pont ezen a csatornán? Ha bármelyik kérdésre nem a válasz, akkor ellenőrizni kell, nem teljesíteni.
7. Ellenőrizhető-e a kérés másik csatornán?
Pénz, bankszámlaszám-módosítás, új hozzáférés, érzékeny adat: ezeknél mindig legyen második csatorna – visszahívás egy ismert számon, céges csevegő vagy egy személyes kérdés. A támadó éppen azt nem tudja kivédeni, ha a címzett kilép abból a csatornából, amelyet ő választott.
Mit tegyen, ha rákattintott egy adathalász linkre?
Bárkivel előfordul. A lényeg az, hogy ne pánikoljon, és gyorsan lépjen.
Ha csak megnyílt az oldal, és semmit nem írt be, zárja be, és jelentse az üzenetet az informatikának vagy a rendszergazdának. Ha beírta a jelszavát, azonnal cserélje le – és cserélje le mindenhol, ahol ugyanazt használja. Bankkártyaadat esetén hívja a bankot. Céges fiók esetén szóljon a cégnél még aznap.
A legrosszabb döntés a hallgatás. A támadók pontosan arra játszanak, hogy szégyenből senki nem jelenti be az esetet. A gyors bejelentés fiókot, pénzt és céges adatot ment.
Hogyan védekezhet hosszú távon?
Magánemberként a lista rövid: kapcsolja be a többfaktoros hitelesítést (MFA), tartsa frissen az eszközeit, ne használja ugyanazt a jelszót több helyen – ehhez való a jelszókezelő. Legyen óvatos a nyilvános Wi-Fi-hálózatokkal, és ellenőrizze a gyanús kéréseket. A többfaktoros hitelesítés azért a legfontosabb tétel, mert a megszerzett jelszót önmagában használhatatlanná teszi.
Cégnél az ismételhető dolgok működnek:
- rendszeres, gyakorlatias biztonságtudatossági oktatás, nem évi egy kipipálandó tananyag;
- egyszerű bejelentési út a gyanús üzenetekre: egy gomb a levelezőben vagy egy e-mail-cím, amelyet mindenki fejből tud;
- kontrollált adathalász szimuláció, amelyből kiderül, mi történik éles helyzetben;
- írott szabály arra, hogyan mehet ki pénz a cégből, hogyan módosulhat egy bankszámlaszám, és ki adhat új hozzáférést.
A szimulációhoz saját eszközünk is van: a PhishGun elindítja a kampányt, méri a kattintást és a bejelentést, és megmutatja, hol tart a csapat. A cél soha nem a munkatársak megbüntetése – hanem az, hogy a bejelentés legyen a reflex.
Összegzés
Az AI-adathalászat attól veszélyes, hogy teljesen hétköznapinak látszik. Nem kell hozzá technikai bravúr: elég a szokásos levelezés, a szokásos sietség és a szokásos bizalom.
A védekezés viszont ugyanilyen hétköznapi. Lassítson, ellenőrizzen, ne kattintson reflexből, és ne engedjen a nyomásnak. Ha egy üzenet pánikot kelt, sürget vagy érzékeny adatot kér, pontosan az a pillanat jött el, amikor meg kell állni.
