1. A hamis „Nem vagyok robot” vagy Captcha ellenőrzés
Mindannyian ismerjük azt a kis ablakot, ahol be kell pipálnunk, hogy nem vagyunk robotok. A ClickFix-támadásnál is egy ilyen ugrik fel, csak itt nem azt kérik, hogy tegyünk pipát a négyzetbe, hanem hogy nyomjunk le egy billentyűkombinációt, illesszük be, amit az oldal a vágólapunkra másolt, aztán nyomjunk Entert. Azt viszont nem látjuk, hogy ez egy rosszindulatú parancs, amelyet így mi magunk futtatunk le a gépünkön. Vagyis a kártevőt be sem kell csempészni – mi engedjük be. Az ESET kiberbiztonsági szakértői 2026 első felében több mint kétszer annyi ilyen csalást észleltek, mint az előző időszakban.
Mit tehetünk? Egy valódi robotellenőrzés soha nem kér billentyűparancsot, és azt sem, hogy bármit beillesszünk és lefuttassunk. Ha ilyet látunk, zárjuk be az oldalt. A jó hír, hogy egy naprakész biztonsági szoftver akkor is közbelép, ha kihagyott a figyelmünk: a parancs által letöltött kártevőt még azelőtt felismeri és blokkolja, hogy kárt tenne.
2. Még a jelszavunk sem kell ahhoz, hogy belépjenek
A legfontosabb fiókjainkat már többnyire kétlépcsős azonosítással védjük, ezért a csalók nem is a jelszavunkra pályáznak, hanem egy belépési engedélyre. A ConsentFix nevű átverésnél egy feltört weboldal átküld minket a Microsoft valódi bejelentkezési oldalára. A trükk akkor jön, amikor visszatérünk az eredeti oldalra, ami azt kéri, hogy a böngésző címsorában megjelenő hosszú webcímet másoljuk vissza neki. Ebben viszont egy belépési kód van, amivel a csaló bejut a fiókunkba, miután a kétlépcsős azonosításon mi magunk mentünk át helyette. Az ilyen típusú támadások fél év alatt több mint a duplájára nőttek.
Mit tehetünk? Ne másoljunk be egy weboldalra webcímet, kódot vagy parancsot csak azért, mert az oldal ezt kéri. Egy megbízható adathalászat elleni védelem az ilyen csaló oldalakat már azelőtt kiszűri, hogy eljutnánk a webcím bemásolásáig.
3. A lecserélt QR-kód
Egy QR-kódról ránézésre nem tudjuk megállapítani, pontosan hová visz, mégis szinte gondolkodás nélkül beolvassuk. Magyarországon is előfordult, hogy ezt kihasználva a csalók parkolóautomaták QR-kódjára hamis matricát ragasztottak. Aki beolvasta, egy valódinak tűnő fizetőoldalra jutott, és miközben azt hitte, a parkolását intézi, valójában a bankkártyaadatait adta át a csalóknak. QR-kóddal e-mailben is próbálkoznak. 2026 első felében már szinte minden kilencedik adathalász levél tartalmazott ilyet.
Mit tehetünk? Gyanús, ha a kód külön matricán van, gyűrött, vagy látszik, hogy utólag ragasztották fel. Megnyitás előtt ellenőrizzük, milyen webcímre vinne. Érdemes a telefonunkon is olyan védelmet használni, amely kiszűri az adathalász weboldalakat.
4. A távolról „lemásolt” bankkártya
Az NGate egy androidos kártevő. Az átverés egy adóvisszatérítést ígérő SMS-sel kezdődik, amely egy hamis banki oldalra visz, ahol megadjuk a belépési adatainkat. Utána telefonál „a bank munkatársa”, aki szerint veszélyben a fiókunk. Egy alkalmazás telepítését kéri, amivel „ellenőrizni” tudjuk a kártyánkat. Ehhez a kártyát a telefon hátához kell érinteni, és beírni a PIN-kódot. Az alkalmazás eközben továbbítja a kártya adatait a csalóknak, akik a saját telefonjukkal úgy használhatják, mintha a kezükben tartanák, és pénzt vesznek fel vele egy ATM-ből. A telefonunk ma már ugyanúgy célpont, mint a laptopunk: az androidos NFC-fenyegetések száma 2025 második felében 87 százalékkal nőtt.
Mit tehetünk? Ha valaki a bank nevében sürget, vagy szokatlan dolgot kér, tegyük le, és hívjuk fel az ügyfélszolgálatot a hivatalos számon. Sok banknál az alkalmazásban azt is ellenőrizhetjük, hogy tényleg ők keresnek-e minket. A telefonon futó vírusvédelem pedig az ilyen kártevő alkalmazásokat is képes felismerni.
5. A hatékonyság ára - rosszindulatú AI-eszközök
Mindennapjaink részévé váltak az AI beszélgetések, amelyekben keresésre, fogalmazásra vagy kreatív folyamatokra kérjük a mesterséges intelligenciát. Azonban ma már nemcsak azt kell megkérdőjeleznünk, amit látunk, hanem azt is, amit egy látszólag intelligens rendszer tanácsol nekünk. Az ESET AI beszélgetésvédelem funkciója ellenőrzi az AI által generált válaszokat, hogy proaktív módon blokkolja az adathalász kísérleteket, a rosszindulatú programokat és a csalásokat.
Az AI agentek (döntést hozó automatizált ügynökök) és AI skillek (egy jól körülhatárolt, specifikus utasításcsomag, amit a rendszer vagy az agent meghívhat) olyan kiegészítők, amelyek meglévő alkalmazásokat tesznek hatékonyabbá azzal, hogy speciális feladatokat hajtanak végre automatizáltan. Például képesek összegyűjteni a beérkező számlákat egy e-mail fiókból és az adatokat táblázatba rendezni, a napi teendőket összefoglalni a naptár alapján, vagy adatokat összegyűjteni több rendszerből, majd riportot készíteni belőle. Az ESET közel 900 ezer AI-skillt nézett át, és ezek közül több mint 3000 rosszindulatú volt. Ha munkához is ilyen eszközt használunk, a céges rendszerek és dokumentumok is rossz kezekbe kerülhetnek.
Mit tehetünk? AI eszközt és kiegészítőt csak hivatalos forrásból telepítsünk, és ellenőrizzük, mihez kér hozzáférést. Az adatlopásra készült hamis AI-alkalmazásokat egy naprakész vírusvédelem felismeri. Az ingyenes ESET AI Skill Ellenőrzővel manuálisan ellenőrizni tudjuk, hogy a telepíteni kívánt skill biztonságos-e.
