Egy átlagos kedd délután 14:27-kor megcsörren a telefonod. A vonal másik végén nyugodt, gyakorlott hang: a neveden szólít, bemutatkozik, és felolvassa az utolsó két kártyás vásárlásodat. Stimmel mindkettő. Elmondja, hogy támadás alatt áll a számlád, épp fut egy utalási kísérlet, amit csak úgy tud megállítani, ha azonnal átvezetitek a pénzt egy biztonsági számlára. Amikor tétovázni kezdesz, jön a megnyugtató ajánlat: „Megértem az óvatosságát, a kolléganőm mindjárt visszaigazolja videón, hogy tényleg a banktól hívjuk.” Rákattintasz az SMS-ben kapott linkre, és ott van: fiatal nő, banki háttér, névtábla, épp a te ügyszámodat olvassa fel.
Egyetlen probléma van vele: nem létezik. Se a kolléganő, se a hang, ami az előbb megnyugtatott. Évekig azt tanultuk, hogy ne higgyük el, amit a telefonban hallunk – a deepfake-korban azonban már a látvány sem bizonyíték. Ráadásul pont akkor vetik be, amikor a leginkább hat: abban a pillanatban, amikor gyanakodni kezdesz.
Amiből ipar lett
A meggyőző arc- és hangklónozás néhány éve még a kutatólaborok és filmstúdiók kiváltsága volt. Ma már szolgáltatás, amire elő lehet fizetni: a csalóknak nem kell érteniük a mesterséges intelligenciához (AI), elég megvásárolniuk. A számok jól érzékeltetik a léptékváltást: a deepfake-ek 2026-ban már az összes csalási kísérlet 6,5 százalékát adják, a mesterségesen előállított felvételek száma pedig a 2023-as félmillióról nagyjából nyolcmillióra ugrott. Az iparági elemzések szerint a pénzügyi szektor a legkitettebb célpont, a generatív AI-jal támogatott csalások miatti kár 2027-ben elérheti a 40 milliárd dollárt.
Hogy ez a gyakorlatban mit jelent, arra a legismertebb eset a válasz. Az Arup nevű nemzetközi mérnökcég hongkongi pénzügyi munkatársa 2024 elején tizenöt utalásban összesen 25 millió dollárt küldött el csalóknak, miután videókonferenciára hívták. A hívás minden résztvevője, köztük a cég pénzügyi vezetője, mesterségesen előállított figura volt. A munkatárs eredetileg gyanakodott a levélre; a videohívás oszlatta el a kételyeit. A pénzt azóta sem találták meg.
A magyar valóság: nem a technológia, hanem a rábeszélés visz el mindent
Itthon a csalások összképe javul, a szerkezete viszont rosszabb lett. Az MNB adatai szerint a kibercsalások okozta kár 2025-ben 28,2 milliárd forint volt, szemben az egy évvel korábbi 42,4 milliárddal, 2026 első negyedévében pedig összesen körülbelül 6 milliárd forintot vittek el a csalók. A lényeg a részletekben van: az átutalásos csalásokból származó károk nagy részét pszichológiai manipulációval, vagyis a számlatulajdonos közvetlen megtévesztésével követték el. Nem hackelnek, nem törnek be: rábeszélnek. A pénzt maga az ügyfél utalta el, saját kezűleg, minden biztonsági ellenőrzésen átmenve.
Ez a fajta csalás – az authorised push payment (APP), vagyis engedélyezett utalásos csalás – a deepfake technológia igazi felhasználási területe. A csalónak nincs szüksége arra, hogy megkerülje a bank rendszereit; elég meggyőznie téged, hogy kerüld meg a saját óvatosságodat.
A támadás anatómiája
Egy ilyen támadás nem a telefonhívással kezdődik, hanem hetekkel korábban. Az első lépés az adatgyűjtés: kiszivárgott adatbázisokból, közösségi médiából, korábbi adathalász kampányokból összeállítható annyi információ rólad, ami hitelesíti a hívót.
A második a csatorna hamisítása: a hívószám-spoofing révén a telefonodon a bankod valódi, a kártya hátulján szereplő száma jelenik meg. A régi tanács, miszerint „ellenőrizd a hívószámot”, ezzel semmivé foszlott.
A harmadik lépés a bizonyíték adása. A hívó nem kérdez, hanem tud: a nevedet, a bankod nevét, néha az utolsó tranzakciód összegét. Az emberi agy ilyenkor gyorsan zárja le a hitelesítést – aki ennyit tud, az csak a bank lehet.
A negyedik a nyomásgyakorlás: sürgető határidő („két percen belül lefut az utalás”), tekintélyre hivatkozás, és szinte mindig titoktartás kérése („senkivel ne beszélje meg, mert a nyomozás érdekét sérti”). Végül jön a kimenet: utalás egy „biztonsági számlára”, az SMS-ben kapott kód felolvasása, vagy távoli hozzáférést adó alkalmazás telepítése.
A módszer nem a hiszékenységre épít, hanem az időhiányra és a tekintélytiszteletre. Ezért dőlnek be magasan képzett, pénzügyileg tudatos emberek is, ahogy az Arup munkatársa is, aki nem naiv volt, csak egy videóhívásban látta a saját vezetőjét.
A védekezés
Két illúziót érdemes eloszlatni. Az első, hogy majd a technológia felismeri a hamisítványt. Bár a deepfake-detektorok laborban 90 százalék felett teljesítenek, valós körülmények között a pontosságuk jócskán visszaesik.
A második illúzió, hogy a bank majd megállítja. A bankok csalásmegelőzési rendszerei valóban sokat fejlődtek – viselkedésalapú elemzés, eszközazonosítás, tranzakciós minták figyelése -, és több hazai nagybank is arról számolt be, hogy csökkent a sikeres csalások száma. Ha azonban te magad indítod az utalást, saját eszközről, saját azonosítással, akkor a rendszer szempontjából ez érvényes tranzakció. Legjobb esetben megjelenik egy figyelmeztetés vagy egy visszahívás – épp ez az a pillanat, amikor a csaló a manipulált ügyfél fülébe súgja, hogy „ne törődjön vele, ez rutinkérdés”.
Vagyis a védelem nem technológiai kérdés, hanem folyamat kérdés: nem azt kell felismerni, hogy hamis-e az arc, hanem el kell dönteni, hogy egyáltalán hitelesítünk-e bárkit egy beérkező hívás alapján.
Ki állja a kárt, ha bedőlsz?
Itt jön a legfontosabb gyakorlati tudnivaló. A magyar szabályozás tavaly év vége óta egy fontos ponton az ügyfél oldalára állt: az MNB kezdeményezésére a bank köteles állni a kibercsalásból eredő kárt, ha nem alkalmazta a kötelező többfaktoros ügyfélhitelesítést. Ez erős védelem a jogosulatlan tranzakciók ellen, csak épp nem arra az esetre szól, amikor a manipulált ügyfél maga hitelesíti az utalást. Márpedig, mint láttuk, ma épp ez a leggyakoribb forma: a szakértők szerint a banki csalásokból eredő kárt még mindig jellemzően az ügyfelek nyelik le.
Máshol ezt a rést már betömték. Nagy-Britanniában 2024 októberétől kötelező kártalanítási rendszer működik: a szolgáltatóknak 85 ezer fontig meg kell téríteniük a rábeszéléses csalások áldozatainak kárát, a költséget az utaló és a fogadó bank felezi. Az első év eredményeit idén júliusban tette közzé a brit hatóság: az azonnali fizetési rendszerben elkövetett csalások kára körülbelül 21 százalékkal csökkent. Vagyis a kártalanítási kötelezettség a bankokat is rákényszerítette a hatékonyabb szűrésre. Itthon ilyen rendszer egyelőre nincs; aki rábeszélésre utal, az a saját kárán tanul.
Már nem csak a nagymama a célpont
Érdemes elfelejteni azt a sztereotípiát, ami szerint ez csak az idős emberek problémája. A digitálisan képzett középkorú felhasználó legalább ennyire sebezhető, méghozzá pont a rutinja miatt: ő az, aki naponta tízszer nyitja meg a banki appot, ismeri a folyamatokat, és ezért nem áll meg gyanakodni. A csalók pedig alkalmazkodnak: a hívás nyelve, a hivatkozott termék, a sürgetés stílusa mindig a célcsoporthoz van szabva.
Van ennek egy súlyos következménye is. Az áldozatok jelentős része szégyenből be sem jelenti az esetet. Így nemcsak a nyomozás esélye csökken, hanem a statisztikát is “szépíti”. Aki bedőlt egy ilyen hívásnak, az nem ostoba volt, hanem egy iparági szinten optimalizált manipulációs forgatókönyv célpontja.
Amit ma este be lehet állítani
A jó hír, hogy a hatékony védelem nem igényel magas fokú technológiai képzettséget. A legfontosabb szabály: beérkező hívás soha nem hitelesít semmit. Bármit mond a hívó, tedd le, és hívd vissza a bankot – ez az egyetlen dolog, amit a csaló nem tud meghamisítani, mert a hívást te kezdeményezed.
Érdemes továbbá bevezetni egy családi jelszót: egy szót, amit csak a szűk család ismer, és amit a klónozott hangú „unokának” vagy „gyereknek” is meg kell tudni mondani. Nem egy nagy dolog, de a deepfake ellen mégis kiválóan működik.
Állíts be előre alacsony napi utalási limitet – csalásnál a limit az egyetlen fék, ami akkor is dolgozik, amikor te már nem gondolkodsz tisztán -, és ha a bankod kínálja, használd a bizalmi kedvezményezettek listáját, hogy ismeretlen számlára nehezebben menjen a pénz.
Soha ne oszd meg a képernyődet, és ne telepíts semmit egy hívás kérésére. És rögzítsd magadban a legfontosabb tényt: nincs olyan banki eljárás, amely biztonsági számlára utalást kér. Aki ezt kéri, az kivétel nélkül mind csaló.
Ha már megtörtént a baj, az első öt perc dönt: hívd a bankod bejelentő számát, kérd a tranzakció megállítását és a kártya letiltását, tegyél rendőrségi bejelentést, és ments le mindent – a hívás időpontját, a számot, a képernyőképeket, az üzeneteket. A visszaszerzés esélye az első órákban a legnagyobb.
Nem az arcot, a csatornát hitelesítjük
Visszatérve a bevezetőben bemutatott esethez: a megmenekülésnek egyetlen forgatókönyve van, és nem az, hogy kiszúrod a hamisítványt, hanem hogy leteszed a telefont, és visszahívod a bankot a kártyádon szereplő számon. Ott két mondatból kiderül, hogy senki nem keresett. Semmi zseniális nincs ebben: pontosan az az egyetlen reflex, ami a technológia fejlődésétől függetlenül működni fog.
Ez a deepfake-kor legfontosabb tanulsága. Az arc, a hang, a névtábla, a logó, a hívószám, minden hamisítható, és a hamisítványok napról-napra jobbak lesznek. Egyetlen dolog marad, ami nem: az, hogy ki kezdeményezi a beszélgetést.
(A cikk eredetileg az Economx oldalán jelent meg.)
(Címlapkép: Depositphotos)
