Telefonszám-hamisítás (spoofing): így ismerje fel, és ezt tegye, ha az Ön számát hamisították

Csörög a telefon, a kijelzőn egy ismerős magyar szám — akár a bankja ügyfélszolgálati száma. Felveszi, és a vonal túloldalán valaki a „bank biztonsági osztályáról" azonnali intézkedést kér. Csakhogy a hívás nem a banktól jött: a kijelzőn látott szám hamis. Ez a telefonszám-hamisítás, angolul spoofing — az elmúlt évek egyik leggyorsabban terjedő telefonos csalási módszere Magyarországon is. Ebben a cikkben közérthetően elmagyarázzuk, hogyan működik, hogyan ismerheti fel, és pontosan mit tegyen akkor, ha csalók éppen az Ön telefonszámát használják fel mások megtévesztésére.

Mi az a telefonszám-hamisítás?

A telefonszám-hamisítás azt jelenti, hogy a hívó fél szándékosan manipulálja a hívószám-kijelzést (caller ID), így a hívott fél telefonján nem a valódi, hanem egy tetszőlegesen megválasztott másik szám jelenik meg. A hívó tehát „álarcot" húz: a kijelző szerint hívhatja Önt a bankja, egy állami hivatal, egy futárcég — vagy akár egy teljesen hétköznapi magyar mobilszám, ami valójában egy gyanútlan magánember száma.

Technikailag ez azért lehetséges, mert a telefonhálózatok jelzésrendszerét — és különösen az internetalapú (VoIP) hívásokat — úgy tervezték, hogy a hívó fél maga adhatja meg a kijelzendő számot. Erre eredetileg jogos okokból volt szükség, a csalók azonban pontosan ezt a rugalmasságot használják ki. A legfontosabb tanulság már itt az elején: a kijelzett szám önmagában soha nem bizonyítja, hogy valóban az adott szám tulajdonosa hívja Önt.

Legális és rosszindulatú számkijelzés — hol a határ?

Nem minden „nem valódi" számkijelzés csalás. Van néhány teljesen hétköznapi, jogszerű felhasználás:

• Vállalati központi szám: egy nagyobb cég ügyintézői a saját mellékük helyett a központi ügyfélszolgálati számot jelenítik meg, hogy a visszahívás egy helyre fusson be.
• Kiszervezett ügyfélkapcsolat: a megbízó cég nevében eljáró call center a megbízó számát jeleníti meg — erről a jelenségről külön cikkben írtunk: miért hív ugyanaz a szám hol bank, hol webáruház nevében?
• Orvosok, segítő szolgálatok: a magánszámukról hívó szakemberek gyakran az intézmény számát jelenítik meg.

A határvonal a szándék: ha a számkijelzés célja a hívott fél megtévesztése — például egy bank vagy hatóság megszemélyesítése annak érdekében, hogy a hívott fél pénzt utaljon, kártyaadatot vagy jelszót adjon meg —, az már csalás, és Magyarországon bűncselekményt valósíthat meg.

Hogyan használják a csalók a gyakorlatban?

A magyar bejelentésekben az alábbi minták térnek vissza a leggyakrabban:

1. Banki „biztonsági" hívás

A kijelzőn a bank valódi (vagy ahhoz megtévesztésig hasonló) száma jelenik meg. A hívó „gyanús tranzakcióra" hivatkozik, sürgeti az ügyfelet, és arra kéri, hogy „biztonsági okból" utalja át a pénzét egy „védett számlára", adja meg a netbank belépési adatait, vagy telepítsen távoli hozzáférést adó alkalmazást. A valódi bank soha nem kér ilyet. A hamisított bankszám különösen veszélyes, mert sokan a saját telefonkönyvükben elmentett bankszámként látják bejönni a hívást.

2. Hatósági megszemélyesítés

Rendőrség, NAV, bíróság nevében érkező hívás, gyakran „eljárással", „letiltással", „tartozással" fenyegetve. A cél a pánikkeltés: a megijesztett ember kevésbé gondolkodik. A valódi hatóságok telefonon nem kérnek pénzt és nem kérnek bankkártyaadatot.

3. Szomszédszám-trükk (neighbor spoofing)

A csaló a hívott fél számához hasonló, azonos előhívójú és körzetű számot jelenít meg, mert az ismerősnek tűnő számot nagyobb eséllyel veszik fel. Ha kíváncsi rá, melyik előhívó melyik szolgáltatóhoz és körzethez tartozik, nézze meg a körzetszám-adatbázisunkat.

4. Visszahívásos csalás (wangiri)

Egyetlen csörgés külföldi vagy emelt díjas számról, abban bízva, hogy a hívott fél visszahív — a visszahívás pedig emelt díjas percdíjakat generál. Ismeretlen külföldi számot soha ne hívjon vissza ellenőrzés nélkül: előbb keressen rá a számra a keresőnkben, hátha mások már jelentették.

Hogyan ismerheti fel a hamisított hívást?

Nincs olyan jel, ami száz százalékban leleplezi a spoofingot — épp ez teszi veszélyessé. Néhány árulkodó körülmény azonban szinte mindig jelen van:

• Sürgetés és félelemkeltés. „Azonnal intézkednie kell", „percei vannak", „letiltjuk a számláját". A jogszerű ügyintézés soha nem így működik.
• Érzékeny adat kérése. Teljes bankkártyaszám, CVC-kód, netbank-jelszó, SMS-ben kapott kód — ezeket soha, semmilyen hívásban nem szabad megadni, akárki is a hívó.
• Szokatlan fizetési mód. Ajándékkártya, kriptovaluta, „védett számlára" utalás — ezek mindig csalásra utalnak.
• Távoli hozzáférés kérése. Ha a hívó AnyDesk, TeamViewer vagy hasonló program telepítésére kér, azonnal tegye le.
• A történet nem stimmel. Ha visszakérdez, a csaló gyakran belezavarodik, ingerültté válik, vagy még jobban sürget.

A legbiztosabb védekezés az úgynevezett visszahívás-szabály: ha bármilyen kétsége van, tegye le a hívást, majd hívja fel az adott szervezetet a saját maga által kikeresett, hivatalos számon — a bankkártya hátoldalán, a hivatalos weboldalon vagy a szerződésében szereplő elérhetőségen. Soha ne a hívó által megadott számot hívja vissza, és lehetőleg ne is ugyanarról a vonalról azonnal, mert egyes csalási módszereknél a vonal „nyitva tartásával" is trükköznek.

Mit tegyen, ha az Ön telefonszámát hamisították?

A spoofing másik oldala, amiről kevesebb szó esik: bárkinek a száma válhat a csalók „álarcává". Ilyenkor gyanútlan emberek tömege hívja vissza Önt, gyakran dühösen, mert azt hiszik, Ön zaklatta őket. Ez ijesztő élmény, de fontos tudnia: Ön nem tett semmi rosszat, és nem felelős a hamisított hívásokért. A teendők lépésről lépésre:

1. Őrizze meg a nyugalmát, és dokumentáljon. Jegyezze fel, mikor kezdődtek a visszahívások, mit mondanak a visszahívók (kinek adta ki magát a csaló, mit kért). Ez később a bejelentésekhez is kell.
2. Ne vitatkozzon a visszahívókkal — tájékoztassa őket. Egy rövid mondat elég: „A számomat csalók hamisították, nem én hívtam Önt, kérem, ne adjon meg senkinek adatot." Ezzel másokat is véd.
3. Értesítse a környezetét. Szóljon a családnak, ismerősöknek, üzleti partnereknek, hogy a nevében és számában érkező hívásokat kezeljék gyanakvással, és inkább írásban egyeztessenek Önnel.
4. Jelentse a szolgáltatójánál. A Telekom, a Yettel és a One ügyfélszolgálata rögzíti a bejelentést; a szolgáltatók hálózati szinten dolgoznak a hamisított hívások szűrésén, és a bejelentések ehhez is adatot adnak.
5. Tegyen bejelentést az NMHH-nál. A Nemzeti Média- és Hírközlési Hatóság fogadja a hívószám-hamisítással kapcsolatos panaszokat, és hatósági eszközökkel léphet fel a jelenség ellen.
6. Ha kár is keletkezett, tegyen feljelentést a rendőrségen. Feljelentés bármely rendőrkapitányságon vagy online is tehető. Ha az Ön nevében követtek el visszaélést, a feljelentés jegyzőkönyve később Önt is védi.
7. Átmenetileg csökkentse a terhelést. A hamisítók jellemzően 1–2 nap után számot váltanak. Amíg a visszahívási hullám tart, használhat híváskorlátozást, „ne zavarjanak" módot úgy, hogy csak a névjegyeit engedi át, és jelezheti ismerőseinek, hogy pár napig üzenetküldő alkalmazáson biztosabban elérhető.
8. Ellenőrizze a számát a keresőnkben. Nézze meg, érkezett-e bejelentés az Ön számára — ha igen, hozzászólásban jelezheti, hogy a számot hamisították. Ezzel a visszahívók egy része már a keresés pillanatában megkapja a magyarázatot, és Önt kevesebben zaklatják.

Kell-e számot cserélnie?

A legtöbb esetben nem. Mivel a hamisítók gyorsan váltogatják a megjelenített számokat, a visszahívási hullám jellemzően napokon belül lecseng. Számcserét akkor érdemes megfontolni, ha a zaklatás hetekig elhúzódik, vagy ha a számához más visszaélés (például személyazonosság-lopás gyanúja) is kapcsolódik. A számcsere ára, hogy minden kapcsolatát, regisztrációját és kétlépcsős azonosítását át kell vezetnie — ezt érdemes mérlegre tenni a türelmes kivárással szemben.

Miért nem tudják a szolgáltatók egyszerűen letiltani a spoofingot?

Jogos kérdés. A nehézség abból fakad, hogy a nemzetközi telefonhálózat évtizedes protokollokra épül, amelyekben a hívószám-információ a hívó oldali rendszerből érkezik, és a közbenső hálózatok hagyományosan megbíznak benne. A hívások jelentős része ráadásul külföldi VoIP-átjárókon keresztül érkezik, ahol a magyar szolgáltatók mozgástere korlátozott. A helyzet fokozatosan javul: a szolgáltatók és a hatóság hálózati szintű szűréseket vezetnek be a nyilvánvalóan hamisított (például külföldről érkező, de magyar mobilszámot mutató) hívások kiszűrésére. Amíg azonban a technikai védelem nem teljes, a leghatékonyabb védelem a tudatos felhasználó marad — ezért is éri meg megosztani ezt a tudást az idősebb családtagokkal, akik a telefonos csalások leggyakoribb célpontjai.

A spoofing írásos testvére: a feladó-hamisított SMS (smishing)

A hívószám-hamisítás nem áll meg a hanghívásoknál. Az SMS-eknél a feladó neve is manipulálható: a csalók üzenete ugyanabba a beszélgetési szálba érkezhet be a telefonján, ahová a bankja vagy a futárszolgálat valódi üzenetei — mert a telefon a feladó neve alapján rendezi az üzeneteket. Ez az egyik legveszélyesebb változat, mert a hamis üzenet a korábbi, jogos üzenetek közé ékelődve rendkívül hitelesnek tűnik. A tipikus forgatókönyv: „csomagja kézbesítésre vár, kattintson a linkre a vámdíj rendezéséhez" vagy „gyanús belépést észleltünk, erősítse meg adatait" — a link pedig egy megtévesztésig hasonló, hamis oldalra vezet. A védekezés elve ugyanaz, mint a hívásoknál: az SMS-ben érkező linkre soha ne kattintson, hanem gépelje be maga a szolgáltató címét, vagy nyissa meg a hivatalos alkalmazást. Ha az üzenetben telefonszám szerepel, hívás előtt ellenőrizze a keresőnkben.

Egy valós forgatókönyv — így épül fel egy hamisított banki hívás

Érdemes egyszer végignézni, hogyan dolgozik a csaló, mert a módszer ismerete a legjobb oltóanyag. Az első lépés gyakran nem is hívás, hanem egy adathalász SMS vagy e-mail, amelyre az áldozat megadja az adatai egy részét. Ezután jön a hívás — a bank hamisított számáról —, ahol a „biztonsági munkatárs" már névvel köszönti, és a korábban megszerzett részadatokkal (kártyaszám vége, lakcím) igazolja a „hitelességét". Ekkor közli, hogy „támadás érte a számlát", és felajánlja a „segítséget": utalást egy biztonsági számlára, vagy egy alkalmazás telepítését. A jelenet minden eleme pszichológiailag tervezett — az ismerős szám bizalmat kelt, a részadatok hitelesítenek, az időnyomás kikapcsolja a mérlegelést, a „segítő" szerep pedig hálát ébreszt. Aki ismeri ezt a felépítést, annak már az első fázisban gyanús lesz a hívás: a valódi bank sosem építi a beszélgetést arra, hogy Önnek azonnal kell cselekednie.

Ha megtörtént a baj

Ha egy hamisított hívás nyomán adatot adott meg vagy utalást indított, a sorrend a következő: azonnal hívja a bankját a hivatalos számon és kérje a kártya/hozzáférés letiltását, majd tegyen rendőrségi feljelentést, változtassa meg az érintett jelszavakat, és figyelje a számlamozgásokat. A gyorsaság kulcskérdés: a friss utalások egy része a bankok közötti együttműködéssel még megfogható. Ne szégyellje a történteket — a hamisított hívószám pontosan arra való, hogy óvatos, tapasztalt embereket is megtévesszen. A gyanús számot pedig jelentse be a keresőnkben: minden bejelentés a következő potenciális áldozatot védi. Ha pedig arra kíváncsi, hogyan jutottak hozzá a csalók egyáltalán az Ön adataihoz, olvassa el a témáról szóló részletes cikkünket: Honnan tudják a nevem és a telefonszámom?