Forró téma lett a kártyacsalások, online banki visszaélések ügye. Nehéz megítélni, hogy csak azért, mert sokkal többen szoktak le a készpénzről, vagy arányaiban is többeket támadnak a csalók. Történelmi távlatban, de legalábbis tíz év távlatából, hogy állunk a kibervédekezéssel?
Nemes Máté, Mastercard (N. M.): Tíz év alatt teljesen megváltozott, ahogyan fizetünk és vásárolunk. Ha korábban tíz–tizenöt bejáratott kereskedőnél fizettünk kártyával, akkor most ötven–száz helyen is megtesszük, illetve fizetünk telefonnal, órával, gyűrűvel. A terminál is megváltozott, az már lehet egy másik telefon is, és mindezek mögött teljesen más technológia is van.

Bejött a tokenizáció, azaz minden egyes eszköz olyan külön kártyaszámot kap, ami biztonságosan le van tárolva, és megváltozott a szolgáltató és kártyabirtokos vagy felhasználó közötti interakció is. Bejöttek a mobilbanki alkalmazások, a mobiltárcás fizetés, a különböző netbanki felületek, és elterjedt a kétfaktoros hitelesítés, ami teljesen felrázta az egész biztonsági kérdést.

És megváltozott a csalások trendje is. Korábban a bűnözők csak megszereztek egy kártyaszámot, és elkezdték használni. Most már át kell jutniuk a kétfaktoros hitelesítésen, meg kell szerezniük egy megerősítő sms-t, be kell tokenizálniuk, digitalizálniuk a kártyát. Mivel ez technikailag nehéz, egyet hátraléptek, és az ügyféléletútban máshol próbálkoznak. Mesterséges önazonosságokat hoznak létre, illetve a felhasználóra koncentrálnak, mint a gyenge pontra a láncban. Arra is veszik a fáradságot, és költenek is rá, hogy hamis call centert, sms-szervert vagy úgynevezett push-szervert üzemeltessenek, és onnan szórják ki a különböző csaló megkereséseket.

És valljuk be, elég ügyesen csinálják. Mit mutatnak a számok, mennyire szubjektív érzet, vagy mennyire adatokkal alátámasztható tény, hogy tömegesek a visszaélések?
Kuhárszki András, OTP Bank (K. A.): Tíz éve is voltak csalások, és most is vannak, de ahogy akkor igaz volt, most is igaz, hogy Magyarországon az online fizetés biztonságosabb, mint mondjuk az Európai Unió átlagában. A felhasználói boom mellett a csalások típusa változott nagyot, ahogy Máté is említette. Azokba a csapdákba, amiken tíz éve nemcsak a szakmabeliek, de a potenciális áldozatok is csak kuncogtak, ma kis „fejlesztés” miatt sajnos többük besétál. Ennek érdekében a bűnözők is több energiát tesznek a megtévesztésekbe.

Kritikus jelentőségű, hogy a felhasználó mennyire képes észrevenni és kezelni a csalásokat. Ha valaki odasétál hozzám az utcán, hogy tűz van a házamban, és adjam oda a lakáskulcsot, hogy gyorsan kimentse az értékeimet, érezzük, hogy ez átverés. Meg kell tanulnunk, hogy ugyanezt az online térben se vegyük be.

Juhász Katalin, Visa (J. K.): Szerintem pont az a lényeg, hogy miután a tranzakciók védettsége nagyon magas fokúvá vált, általában nem is betörésről van szó, hanem mi magunk engedünk rést a pajzson, önként odaadjuk a kulcsot a házunkhoz. És igen, a csalók a mai, amúgy legális technológiákkal is sokkal hitelesebben tudják végrehajtani a megtévesztéseiket. Vannak már deep fake videók vagy olyan megoldások, amik pár másodpercnyi hangfelvételből le tudják képezni bárkinek a hangját, meg mesterséges intelligenciára épülő megoldások, amiket egyébként mi is használunk a védekezésben. Az egész egy nagy sakkjátszma, tíz éve, sőt hatvan éve azon vagyunk, hogy lépést tartsunk az adott technológiában mindig felbukkanó csalási trendekkel.

Az MNB adatai szerint tavaly a negyedik negyedévben összesen 8,1 milliárd forint volt a csalás, nagyobb része nem a kártyás forgalomban történt, hanem az átutalásoknál. Emellett még volt 4,8 milliárd forint meghiúsult kísérlet. Ugyanekkor a negyedéves banki pénzforgalom 263 ezer milliárd forint volt, tehát 0,0031 százalékát lopták el. Segítsetek értelmezni: ez sok vagy kevés?
J. K: Inkább időben érdekes nézni: a korábbi évekhez képest ez nagyon jelentős növekedés. Nagyjából a covid és az e-kereskedelem dominánssá válása óta látunk nagy megugrást az online fizetésekben és a csalásokban is. Korábban a magyar nyelv is adott némi védelmet, kevésbé támadtak minket. Ami az összegeket illeti, ahogy te is mondtad, a kártyaforgalomban még mindig mindössze három forintról beszélünk tízezer forintra vetítve, ezt érdemes figyelembe venni.

Igen, csak amit ellopnak, azt nem egyenlő arányban lopják el.
K. A.: Nem szerencsés a totál volumenekre leosztani, mert pont az a lényeg, hogy ha valakitől száz–kétszázezer forintot elvisznek, az lehet, hogy az egész megtakarítása, és borzasztó tragédia. Emiatt kell ezzel foglalkozni, nem amiatt, mert nominálisan vagy nemzetgazdasági szinten akkora összegről lenne szó. Az én személyes krédóm, hogy ha akár csak egyetlen csalás is megtörténik az országban, azt is meg kell próbálni megelőzni, mert az az egy csalás nagyon-nagyon súlyos trauma is lehet.

És ezért kell mindenkinek személyesen megtanulnia védekezni is a csalási kísérletek ellen. Még mindig több ezer ügyfél esett áldozatul a tavalyi utolsó negyedévben is, pedig jelentős javulás volt az év vége felé, közel harmadával csökkent az áldozatok száma és az így megszerzett összeg is. Most az egész hazai pénzügyi szektor azon dolgozik, hogy ezt a csökkenést lehozzuk egy tényleg kiemelkedően, akár világviszonylatban is jó és biztonságos szintre.

N. M.: Európához képest a mi régiónkban még mindig alacsony a csalások aránya, és ezen belül Magyarország a kifejezetten kevéssé kitett országok közé tartozik az elmúlt évek növekedésének ellenére is. Részben azért, mert sokáig a csalók csak angolul tudtak kis ráfordítással jó minőségű scameket csinálni, így védettebbek voltunk. Az utóbbi két évben jutottak oda, hogy már megéri a magyar ügyfeleket is megcélozniuk.

Számít ebben, hogy nagyon sok magyar Revolut- és Wise-felhasználó van? Jobban ki vagyunk téve a csalásoknak, amióta rákaptunk a neobankokra? Elsősorban Visa, Mastercard oldalról kérdezem.
N. M.: A Revolut vagy a Wise csak egy csatorna, nem gondolnám, hogy itt kell az okokat keresni. Az tény, hogy ők a hagyományos bankoknál gyorsabban vagy előbb tudták digitalizálni az ügyfélfolyamatot vagy az ügyfélregisztrációt, és lehet, hogy esetleg náluk kezdték el ezeket a kamu accountokat létrehozni.

J. K.: Én nem hiszem, hogy a bankon múlik, inkább azt hangsúlyoznám, hogy nemcsak a tranzakcióknak van szerepük a védekezésben, hanem az egész úgynevezett onboarding folyamatnak is van. Tehát már ott résen kell lenni, hogy az ügyfél egy alkalmazás használójává válik. Még bőven nem végez semmilyen banki tranzakciót, de már meg kell találnunk azokat pontokat, ahol előre jelezhetjük a kockázatokat. Mi ezen dolgozunk a Visánál, hogy bárki is az ügyfél és a bank, kaphasson tőlünk jelzést a kockázatokról. Hogy tényleg a kártyabirtokos áll-e a tevékenység mögött, vagy valamilyen csalás történt.

K. A.: Ha megnézzük a mostani három legtipikusabb esetet, abból látjuk, hogy gyakorlatilag bank- vagy eszközsemlegesek. Az első már lassan lecsengőben van, ez a csomagküldő szolgáltatásokhoz kapcsolódó csalási kísérlet. Itt tömeges telefon- vagy maillistákat felhasználva, random megkeresnek azzal, hogy csomagod érkezett, add meg a bizalmas fizetési adataidat itt és itt, hogy átvehesd. A nem kellően körültekintő ügyfél meg is teszi, és onnantól teljesen mindegy, hol bankol, odaadta a kulcsot, még az ujját is odatartotta a bejárathoz, hogy leolvashassák az ujjlenyomatát, és ezt akár többször is egymás után. A csalók meg visszaélnek vele.

De ahogy mondod is, ezt kezdjük megtanulni.
K. A.: Szerintem igen, a bankok is mindent megtesznek a felvilágosításért, és nyilván a csomagküldő szolgáltatók is, akiket ezzel besároznak. Szóval ez lejjebb megy, de helyébe lépett két másik, egyébként szintén nagyon régi, jellemző séma. Az egyik a pszichológiai ráhatás, a félelemkeltés, amikor kvázi azt mondják a csalók, hogy tűz van otthon, add oda a kulcsot, kártyát, kombinációt, jelszót, majd ők segítenek. Itt megint arról van szó, hogy hiába van védelem, biztonsági kamera, hiába vannak kutyák, járőrök, nem a biztonsági rendszereket támadják, hanem azt, akit meg lehet félemlíteni. És ennek megint semmi köze sincs ahhoz, hogy hol bankolunk.

Ezek apró trükkök, és nekünk, felhasználóknak fel kell tudnunk ismerni őket, és azzal is tisztában kell lennünk, hogy a bank – jelen esetben az OTP – soha sem fogja azzal felhívni az ügyfelét, hogy telepítsen egy szoftvert a gépére, mert kompromittálódott a számlája. Mi, ha ilyet észlelünk, egyszerűen korlátozzuk a hozzáférést a számlához, megkeressük az ügyfelet, és csak akkor engedjük vissza a házába, ha megbizonyosodtunk róla, hogy tényleg ő szeretne bemenni.

A harmadik típusú csalás a legősibb, ezt csak Pinokkió-csalásnak hívom, amikor a róka meg a macska, vagyis a csalók elhitetik a modern Pinokkióval, hogy a gonosz bankok helyett nekik adja a pénzét, mert majd biztos és nagyon magas hozammal fogják a sokszorosát visszaadni. Ezek a befektetési csalások. Na, ez megint szinte védhetetlen, hiszen minden utalás az ügyfél beleegyezésével és akaratából történik. Idővel rájön, hogy átverték, és a bankjához fordul, de ilyenkor vagyunk a legnehezebb helyzetben, mert sokszor sok idő is eltelt azóta, hogy elkezdte a pénzét kiadni, így nagyon nehéz visszaszerezni az összeget. Ez megint nem bankspecifikus, az ügyfeleket kell megtanítani védekezni, felvenni a pajzsot.

És még van egy fontos dolog, amiről nem beszéltünk. Sokkal könnyebben tudjuk megakadályozni a csalásokat azoknál, akik mobiltelefonon bankolnak, és nem a számítógépükön.

Miért?
K. A.: Legalább négy okból. Maga a mobileszköz-használat sokkal több adatot tesz elérhetővé. A mobilon biometrikus azonosítás, arcfelismerés is van, ehhez képest sokkal nehezebb ellenőriznünk, hogy a számítógépet éppen ki használja. A mobil behoz plusz azonosítási köröket, valamit jóvá kell hagynod, le kell okéznod, meg kell nézned stb. És eleve a mobilját valahogy jobban védi mindenki. Ezek így azt eredményezik, hogy a csalások nagy része általában böngészős módokon történik, a böngészőn adunk ki adatokat, és valaki utána egy böngészőn lép be az adott felületre.

A csalók gyorsan megtanulták, hogy inkább így támadjanak, nekik az a legkönnyebb, ha letöltetnek az ügyfél számítógépére egy távoli hozzáférést engedélyező programot, és úgy szerzik meg a banki adatait. Mobilbanknál a távoli hozzáférést adó programokat is sokkal könnyebb kiszűrni, tehát a házas hasonlattal élve a mobil kvázi egy plusz kulcs, nagyon nagy mértékben lehet vele csökkenteni a visszaélések esélyét.

Arról nem is beszélve, hogy a mobilunk használata sokkal sajátosabb, mint a gépünké. Időnként persze váltogatjuk őket, de már az is ritka, hogy valaki ios-esről androidosra váltson, vagy vissza, és a használatban is sokkal jellemzőbb mintát ad az ügyfél. Úgyhogy én mindenkinek azt tanácsolom, hogy ha elsődlegesen nem is szeretné a telefonját használni bankolásra, mert ódzkodik tőle, akkor is töltse le a banki appot, mert az egy plusz biztonsági faktor. Jobban véd, mint ha csak böngészőn érjük el a bankunkat.

Mennyi erőforrást visz el tőletek ez az egész? Védekezésben, a rendszerek fejlesztésében, kommunikációban, panaszkezelésben?
K. A.: Csak az OTP-ben több mint százzal többen dolgozunk most is ezen a témán: online védelem, felderítés, a bejelentett csalási esetek bankbiztonsági vizsgálata, panaszkezelés, kommunikáció. Az OTP csoportnál ez még nagyobb szám, persze nem minden csoporttagnál jellemzők ezek a visszaélési formák.

Mennyi volt öt éve, tíz éve?
K. A.: A töredéke. Jelentős kiberbiztonsági csapataink voltak akkor is, de alapvetően azon dolgoztak, hogy a bankot ne érje támadás. Ezek a rendszerek tökéletesen működtek tíz éve, és tökéletesen működnek most is. Amihez most sokkal több ember kell, az a bejelentett csalások vizsgálata – hiszen sokkal több lett belőlük –, az esetek felgöngyölítése, megértése, a nyomozati szervek segítése, illetve a panaszkezelés.

N. M.: Nagyon nagy hatékonyságnövekedést figyeltünk meg a csaláskezelésben. Tíz éve a fraud scoring alapvetően szabályokat jelentett. Nagyon leegyszerűsítve azt nézték, hogy ha este kilenc és reggel öt között történik valami valakinek a kártyájával, az valószínűleg gyanús, mert alapvetően nem ebben az időszakban szokott vásárolni. Ma a mesterséges intelligencia lehetővé teszi, hogy ne ilyen rugalmatlan szabályokat alkalmazzunk, hanem a korábbi tranzakciókból és egyedi szokásokból valós időben, tehát ötven milliszekundum alatt automatikusan adjunk egy score-t, egy értékelést, amivel megbecsülhető a tranzakció kockázata.

Egy nyugdíjas ügyfél tranzakcionális története egész más, mint egy utazó üzletemberé, aki este kilenckor is vásárol, vagy Szlovákia után hirtelen Romániában költi a pénzét, ez nála teljesen elfogadható kockázati szint. Ha a nyugdíjas harmadszorra is fel akar venni az automatából pénzt, vagy harmadszor szeretne este kilenckor Szlovákiában vásárolni, az már gyanús. De ezeket már nem szabályokkal, manuálisan kell kezelni.

Erre vannak a score-ok, amik ráadásul a globális trendeket is figyelik, mert felbukkanhat Dél-Koreában egy csalási típus, majd öt másodperc múlva nálunk is felütheti a fejét. Hatalmas adatszettekből kell dolgozni, hogy ezeket a trendeket megállíthassuk, és hatalmas sikereink is vannak. Nagyon sok olyan csalást állít meg az iparág, amik pár éve még megvalósultak volna.

De hogyan? Értem, hogy vannak gyanús pontok, amiket lehet észlelni, de utána mi történik? Mi a munkamegosztás bank és kártyatársaság között?
J. K.: A bank, és ezt majd András biztosan elmondja, szofisztikált csalásfigyelési rendszert működtet, amiben hetven–száz paraméter mellett az általunk adott előrejelző score-okat is figyelembe tudja venni. Ha magas kockázatot észlel, elutasíthatja, nagyon alacsony kockázatnál pedig átengedi a tranzakciót.

De visszatérnék egy korábbi kérdésedre, hogy mekkora erőfeszítés mindez. A Visa például tízmilliárd dollárt fektetett a kiberbiztonságba és hálózati rendszerének erősítésébe, és csak az elmúlt pár évben ötszázmillió dollárt kizárólag AI-ba és az adatmodellek fejlesztésébe. Óriási összegek vannak a globális hálózatok mögött, csak nálunk a világszerte három kontinensen létrehozott kiberbiztonsági operációs központokban több mint ezer szakértő figyeli 0–24-ben a hálózatot. Operációs értelemben percek alatt tudunk reagálni, ha valamilyen nagy támadás éri magát a hálózatot. Tehát amellett, hogy számos eszközt adunk a kártyakibocsátóknak a tranzakció és az ügyféléletút minden pontján, egy csomó beruházás védi magát a hálózatot is.
Megosztok egy adatot, érdekes lehet: a Visa infrastruktúráját naponta kétmillió támadási kísérlet éri. Ha meg tudnának valósulni, arról azért hallanánk. Csak tavaly negyvenmilliárd dollárnyi kárt hárított el a Visa, ez is óriási szám. Vagyis a score-ok és az AI-modellek hatékonysága mögött azért nagyon sok beruházás is van.

Még mindig az érdekel, hogy ha annyi mindent tudnak rólam, hogy hogyan gépelek, hogyan mozgok, mikor költök, mikor alszom stb., akkor ezekkel az információkkal lépésekre lebontva mégis mit kezd a bank és a kártyatársaság? Tényleg tudja a kellő pillanatban a javamra használni őket?
K. A.: Nem fogom tudni részletesen elmondani, hogy a bank mit kezd ezekkel az információkkal, mert tippeket adnánk a csalóknak is. Jól követhető, hogy amikor erősen kommunikál egy témát a bankszféra, azonnal rárepülnek a csalók is.

De kezd velük valamit, nyugtassatok meg!
K. A.: Persze, hogy kezd. Erre én is tudok számokat hozni, 2023 negyedik negyedévében volumenben és darabszámban is több csalási kísérletet hárított el az OTP, mint amennyi bekövetkezett, és ezek csak azok az esetek, amikről tudjuk, hogy valaki próbálkozott, nagy lehet a látencia. Azt nyilván nem is tudjuk ide számolni, amikor az ügyfeleket támadták, de eleve védte őket valamilyen, a bank által alkalmazott eszköz.

Még egy adat: a nem kártyás csalások 5,8 milliárd forintjából 4,3 milliárdot az ügyfelek viseltek, a 2,3 milliárdos kártyás kárból 1,1 milliárdot. Tehát az ellopott pénz nagyobb részét a károsultak nyelik be, és kevesen kapják vissza végül a pénzüket. Akik mégis, azok azért, mert annyira dühödten verik az asztalt, és jogászokat küldenek az intézményekre?
N. M.: A Mastercardnál főszabály, hogy ha a felhasználó nem tett semmit, kitalálták a kártyaszámát, és azzal visszaéltek, akkor nem ő viseli a kárt. Ha valamilyen módon részt vett a folyamatban, telefonon kiadta a kártyaszámát, rákattintott egy linkre, ahol megadta a kártyaszámát, akkor igenis felróható legalább részben a felelőssége.

És itt jön be az, hogy változtak a csalási sémák, növekszik a felhasználók felelőssége, mert legtöbbször nem a technológiát támadják, hanem az embert. Manipulálják, megijesztik, vagy valami pozitív ígérettel verik át, hogy mondjuk ő a százezredik látogató a weboldalon, aki Iphone 15-öt tud vásárolni kilencven dollárért, vagy Bill Gates osztogatja a vagyonát, csak adja meg a banki adatait.

Sokat finomodtak az elmúlt tíz évben az ilyen próbálkozások, de mindig ott van az érzelmi nyomás vagy zsarolás, amire a felhasználó ugrik, mert valamit villámgyorsan el akar hárítani vagy meg akar nyerni. És hiába tanítjuk meg egyik nap, hogy a bank vagy a futárszolgálat kamutelefonjainak ne dőljenek be, másnap jöhet a Magyar Nemzeti Bank, a Netflix vagy a rendőrség nevében egy sms 4500 forintos hátralékról. És akkor egyszerre ijed meg, és örül is, hogy csak 4500 forint, persze, hogy befizeti, nem probléma.

K. A.: A bankok mindig a jogszabályoknak és a szerződéses feltételeknek megfelelően járnak el. Nem azon az alapon térítünk vagy nem térítünk vissza bármilyen összeget, hogy ki milyen dühösen reklamál. Ezt nem tehetjük meg, minden esetet egyedileg, körültekintően kivizsgálunk. A másik, és ez nem mindig kap kellő hangsúlyt, hogy minden esetben nagyon keményen dolgozunk azon, hogy például a külföldi bankokba kerülő pénzekből megpróbáljunk összegeket visszahívni.

Valamikor sikerül is, és arra is láttunk példát, hogy a rendőrség több nagy létszámú bűnszervezetet lekapcsolt. Ezzel együtt az lenne az elsődleges, hogy senki se bazírozzon arra, hogy majd reklamál, és a bank megfogja az ellopott pénzt, vagy a rendőrség elkapja a tolvajokat, hanem érezze, hogy ő is felelős a pénzéért. Alakítsa ki magában azt a néhány apró mentális trükköt, amiről beszéltünk.

Több konkrét csalást megismerve visszatérő elem volt az Apple Pay-es és más mobiltárcás fizetéseknél az a hárítás, hogy az ilyen visszaéléseknél a bankok és a kártyatársaságok közötti szabályok szerint biztosan nem jár visszatérítés. Mondván, ez a fizetési mód alapból annyira biztonságos, hogy csakis az ügyfél lehet a hunyó. Nálatok van ilyen szabály?
K. A.: Ezt nem is tudom értelmezni, teljesen jogszabályellenes lenne, ilyen szabály nem lehet, és nincs is.

Ezek konkrétan revolutos ügyek voltak, ott erre hivatkoztak.
K. A.: Más bankok nevében soha semelyik bank nem szeret nyilatkozni, de ismereteim szerint a Revolut is az EU területén végzi a tevékenységét, így ilyet nem mondhat. Legfeljebb azt tudom elképzelni, hogy egy szerencsétlen mondat volt egy ügyfélszolgálati munkatárstól, mert ha ez a szolgáltató üzletpolitikája lenne, az áldozatok valószínűleg másodpercek alatt perelnék be.

Úgy tudom, már alakul egy pertársaság.
K. A.: Azt tudom mondani, hogy sem az OTP, sem az általam ismert hazai szereplők egyike sem szokott ilyen eljárással intézkedni. Ezt onnan is tudom, hogy mi vagyunk messze a legnagyobb kártyaelfogadó bank az országban, nagyon sok olyan esetet látunk, ahol mi vagyunk az elfogadói, és egy másik bank a kibocsátói oldalon. Ezekben az esetekben is értesülünk arról, hogy mi történt, és sose láttuk, hogy bármelyik kibocsátó alapból az ügyfélre hárítaná a mobiltárcás csalást. Biztos, hogy nem általános jelenség.

J. K.: A konkrét esetet nem ismerem, de a mobiltárcás fizetésnek alapvetően biztonságosabbnak kellene lennie, mint egy nem tokenizált tranzakciónak. A kérdés az, hogy amikor az illetéktelen felhasználó tokenizálta (összekapcsolta az Apple vagy Google Pay-jel) a kártyát, az hogyan történhetett meg. A Visa oldaláról azt tudom mondani, hogy ehhez is nyújtunk eszközöket, tehát például a regisztrációs folyamatban tudunk olyan valószínűségi, kockázati pontszámokat adni, amiket a bankok fel tudnak használni annak megítélésére, hogy a jogos kártyabirtokos végzi-e a tokenizációt.

N. M.: Én is azt tenném hozzá, hogy nem lehet általánosítani, hogy ha Apple Pay, akkor biztos, hogy a felhasználóé a felelősség. Minden esetet egyedileg kell megvizsgálni.

K. A.: Ahogy egyébként az MNB mint a hitelintézeti szektor felügyeleti hatósága is alapelvként fogalmazza meg. Az nyilván extra kockázat, hogy például a Revolut nem tartozik az MNB felügyeleti ernyője alá, itt az ügyfeleknek kell felmérniük, hogy vállalják-e ezt az extra kockázatot.

J. K.: Ami talán még fontosabb, hogy most kiragadtunk egy Apple Pay-es tranzakciót, de semmiképp ne jussunk el oda, hogy a wallettranzakciókat vagy egyáltalán a technológiai fejlődést kezdjük kárhoztatni. Ezek a technológiák azt szolgálják, hogy ne csak a kényelmet, hanem a biztonságot is javítsák. Csak mert ezeket is éri támadás, és publicitást kapnak, nincs okunk a célkeresztbe tenni őket.