Ötszáznyolcvanhatmillió forint folyt át egy kis hegyi faluban élő magyar asszony számláján, és vándorolt a Távol-Keletre. A nő nem adott magyarázatot a tranzakcióra, ami csak egy azon műveletek közül, amiből az internetes bűnözésre szakosodott szervezett alvilág egyre nagyobb pénzeket szakít.
Egy miskolci cég feljelentése vezette a rendőröket K. Gy.-néhez. Az egyik hegyi faluban élő magyar nő bankszámláján keresztül valakik 586 millió forintot utaltak át a Távol-Keletre. Ezek az ismeretlenek valójában 590 millió forintot toltak át a nő számlájára, de amikor a rendőrség – már meglehetősen későn – közbelépett, csak négymilliót tudott megmenteni. De még ez az összeg sem fedezi a miskolci cég kárát, a bűnözők csak tőlük négymillió forintot loptak el. Persze nem úgy, hogy bementek és kirabolták a társaságot:
a cég egyik munkatársa – akaratán kívül – maga utalta el a milliókat.
A csalók a cég nevében az OTP honlapjáról letöltötték a smartbank alkalmazást, majd amikor a társaság ügyintézője netbankolt, a bűnözők egy az eredeti weboldalával teljesen hasonló úgynevezett függönyoldalt küldtek a számítógépére. A hamis oldalon arra kérték az ügyintézőt, hogy hagyja jóvá a smartbank alkalmazását, amit ő meg is tett. A bűnözők ezután többször megpróbálták elutalni a hatmillió forintot, és jó néhány sikertelen próbálkozás után végül el is tudták utalni, így került a pénz K. Gy.-né számlájára. (Fontos kiegészítés: az 590 millió forintnak mindössze 1 százalékát nyúlták le OTP-s számláról, erről lásd. a keretes írásunkat.)
A nő, bár eddig nem adott magyarázatot a különös pénzmozgásra, csak a legapróbb porszem egy olyan műveletben, amit az internetes bűnözésre szakosodott szervezett alvilági csoportok nap mint nap végrehajtanak. Az esetek egy jelentős részéről a közvélemény nem is nagyon értesül, mert az áldozatok nem feltétlenül szeretnék nagydobra verni, hogy áldozatokká váltak. Iparági becslések szerint a kiberbűnözés 2021-re 6 ezer milliárd dollárjába fog fájni a világnak, kétszer annyiba, mint amennyi kárt 2015-ben okozott.
Elég széles az a skála, amivel a kiberbűnözők károkat tudnak okozni, főleg az üzleti szektorban: zsaroló vírusokat küldhetnek, üzleti e-mailekkel élhetnek vissza, banki csalásokat követhetnek el, pénzintézeteket támadhatnak meg, adathalászatot folytathatnak és a sort hosszan lehetne folytatni. Ezek a műveletek sokszor összefüggenek, kiegészítik egymást, néha azért csinálják az egyiket, hogy aztán egy másik bűncselekményt elkövessenek vele.
Bármilyen illegális akcióról is van szó, a statisztikák azt mutatják, hogy mindegyikből egyre több és több van. Csak egy példa: 2016-ban 122 százalékkal nőtt a zsarolóvírus-támadások száma az előző évi adatokhoz képest. És ezek csak az ismertté vált esetek, a statisztikából kimaradtak azok, amelyeket nem jelentettek az áldozatok. A célpontok között éppúgy vannak kis- és nagyvállalatok, nagyjából fele-fele arányban.
Az, hogy az internetes bűnözés hódít, valójában egy teljesen természetes folyamat, nincs mit csodálkozni rajta. A webet 1989-ben fejlesztették ki, az első weboldal 1991-ben jött létre. Ma 1,2 milliárd van belőle, internetezőből pedig 3,8 milliárd, ami azt jelenti, hogy a Földön élő hétmilliárd ember több mint fele netezik, tehát a hálózaton van. Márpedig a netes bűnözés is olyan, mint az utcai: minél nagyobb a populáció, annál kiterjedtebb. És ahogy a való világban is régóta jelen van a szervezett bűnözés, nincs ez másképpen a neten sem. Ráadásul a valóság és a virtuális világ fokozatosan eggyé válik, minél jobban beépülnek a mindennapi életünkbe az „okos” technológiák. Ebből pedig az következik, hogy a helyzet csak rosszabb lehet, jobb nem igazán, a hegyi faluban élő K. Gy.-né esete pedig csak egy fejlődőben lévő alvilági biznisz tünete. A jéghegy csúcsa.
Az OTP Bank cikkünkhöz az alábbi kiegészítést küldte: A cikkben említett 590 millió forintos kárból összesen 6 millió forint, azaz 1% érint OTP-s ügyfelet. K.Gy. számlája, amin keresztül a csalók a pénzt külföldre juttatták, nem OTP-s bankszámla. Az egyetlen érintett OTP-s ügyfél kárából négymillió forintot sikerült az OTP kezdeményezésére zárolni K.Gy. számláján, így ez az összeg várhatóan meg fog térülni ügyfelünknek. Az OTP Bank folyamatosan, több csatornán tájékoztatja ügyfeleit arról, hogy hogyan védhetik ki az adathalász és egyéb csalási kísérleteket.
Az internetes csalók – ahogy az a cikkben is helyesen szerepel – nem az igen fejlett biztonságú banki rendszereket támadják, hanem az ügyfelek gondatlanságát használják ki. Ezért a csalások kivédése érdekében javasoljuk, hogy ha bármely bank ügyfele egy online utalás, vagy online fizetés során problémát, nem megszokott jelenséget tapasztal, vagy olyan utalást, tranzakciót kellene jóváhagynia, amiről nem tudja pontosan megállapítani, hogy tényleg szükséges-e, akkor semmi képpen ne hagyják jóvá a tranzakciót, hanem haladéktalanul kérje a banki ügyintézők segítségét telefonon, online, vagy személyesen.
Piti netes bűnöző bárki lehet, aki elég gátlástalan ahhoz, hogy másoknak kárt okozzon. De a szervezett bűnözés nem magánszám. A profi netes bűnözői csoportok olyanok és úgy működnek, akár egy legális vállalat. Ezt szó szerint kell érteni, ami azt jelenti, hogy szervezetileg tényleg úgy épülnek fel, mint a törvényes üzleteket folytató cégek. Vannak felsővezetők, középvezetők, egyszerű dolgozók. Van vezérigazgató, vannak hr-esek, programozók, pénzügyesek. Vannak partnerhálózataik, munkatársaik, viszonteladóik, értékesítőik, egyszóval minden, ami egy jól működő céghez kell. Akár még call centert is üzemeltetnek.
És ahogy egy normális cég, ők is megjelennek például a munkaerőpiacon, amikor álláshirdetéseket adnak fel. Ráadásul a vezetésen kívül nem is feltétlenül tudják a dolgozók, legfeljebb csak sejtik, hogy egy bűnözői szervezet apró vagy kevésbé apró fogaskerekei. A lánc legalján lévő K. Gy.-nének, akinek a feladata mindössze annyi volt, hogy engedte a csoportnak, hogy használják a bankszámláját, sejtenie kellett, hogy valami nem kóser, ha milliókat talál a bankszámláján.
A profi csoportoknál szigorú hierarchia van, mindenkinek le van osztva, mi a feladata, miért felel. Általában egy főnök van, ő a koponya, az agy, a legtöbbször rendkívül képzett, nagyon intelligens ember, jó irányító. Ezekben a csoportokban rendszerint vannak bankárok, szoftvermérnökök, nagyon ügyes hackerek is, nélkülük nem is tudna működni egy ilyen szervezet. Sok csoport olyan embereket is alkalmaz, akik korábban rendvédelmi szerveknél dolgoztak, akik járatosak a konspirációban, ismerik az ügynökségek lehetőségeit, a nemzetközi jogsegélyezés mindennapi gyakorlatát. A tagok, de legalábbis a szervezet vezetői gyakran a való életben is szoros kapcsolatban állnak egymással. Tipikusnak mondható, hogy a közvetlen környezetük tiszteletben álló vállalkozóként, üzletemberként ismeri őket, akik teljesen legális üzletekben érdekeltek.
A kiberbűnözők nem szoktak vegyülni a szervezett bűnözés azon, rendszerint börtönviselt, erőszakos figuráival, akik a hatóságok előtt is ismertek. Ez Magyarországon sincs másképpen. Egy fehérgalléros bűnözésben, áfacsalásokban és egyéb gazdasági bűncselekményekben jártas alvilági figura az Indexnek ezt azzal magyarázta, hogy a nem virtuális alvilág fejesei számára nem átlátható műveleteket végeznek például a hackerek, ezért a bizalom sincs meg. Egy áfacsalást vagy más intellektuális bűnügyet viszonylag könnyű átlátni, de más a helyzet a számítógépes csalásokkal. A gyakorlatban ugyanis ez úgy nézne ki, hogy ha például az áfacsalásokból vagy drogkereskedelemből vagyonokat felhalmozó bűnöző milliókat fizetne hackereknek, hogy banki csalásokat kövessenek el, nem lehetne biztos benne, hogy nem verik át, képtelen lenne kontrollálni a folyamatot. Csak akkor tudná ezt megtenni, ha ő maga is professzionális szinten értene hozzá.
A pitibb bűnözők többsége általában fórumokon, csetszobákban cserélgeti az információkat, eszközöket, technikákat, de a profi csoportok tagjai igyekeznek távol tartani magukat ezektől a helyektől, mert tudják, hogy a hatóságok emberei ezeket a platformokat szemmel tartják. Ezért a profik inkább kiszervezik a munkát, és főállásban alkalmaznak embereket egy-egy részfeladatra. Az ilyen szervezetek vezetői a rizikó minimalizálására és a profit maximalizálására törekednek.
A különféle területen nekik dolgozó embereket vagy éppen specialistákat általában a deep weben toborozzák, ezeknek az embereknek a bérük pedig nagyban függ attól, mire tudják őket használni, milyen tudás birtokában vannak. Van, aki vírusokat, rosszindulatú szoftvereket ír, más a hálózati rendszereket menedzseli, megint más a toborzáshoz ért. Értelemszerűen az alvilági vállalatnál egy csomó olyan ember dolgozik, aki nem ért az informatikához, de például nagyon jó pénzügyi kapcsolatai vannak, a kisujjában van a pénzmosás, esetleg ügyes hamisító.
A netes bűnözők világát jól ismerő biztonsági szakemberek amúgy nem tanácsolják, hogy egy adott cég IT-biztonságáért felelős munkatársa a sötét webbe merülve próbáljon meg információkat szerezni arról, miben utaznak a netes gengszterek, ez ugyanis kontraproduktív lehet, és egy amatőr érdeklődés könnyen céltáblává teheti az adott céget, erre már bőven akadt példa. Ennél hatékonyabb, ha ezt a munkát olyan biztonsági cégre bízzák, amely fedésben napi szinten benne van a web sötét bugyraiban.
Egyes államokban, ilyen például Oroszország, az állami titkosszolgálatok együttműködnek ezekkel a bűnözői csoportokkal. Ilyenkor ez mindkét fél érdeke. A bűnözők végrehajtanak olyan munkákat, amit az állami szerv nem tud vagy nem akar megcsinálni, mert nem szeretné, ha emiatt például diplomáciai vagy egyéb konfliktusai lennének. Cserébe a bűnözők hatósági védelmet kapnak, és nem kell amiatt aggódniuk, hogy letartóztatják őket. Észak-Koreában pedig, ahol a diktatúra külföldön aktívan kiveszi a részét a nemzetközi szervezet bűnözésből, közvetlenül az államnak dolgoznak a hackerek.
A kiberbűnözés is a pénzről szól, de a pénzzel okosan kell bánniuk, különben megette a fene. Arra például ügyelniük kell, hogy a lopott pénz ne landoljon közvetlenül a hacker bankszámláján, hanem meg legyen futtatva különböző számlákon úgy, hogy a végén már nehezen legyen lekövethető az útja, de legalábbis ne vezesse el a hatóságokat a bűnözőkhöz. Ehhez kellenek azok az alvilágban „money mule"-nak, azaz pénzöszvérnek nevezett emberek, akik virtuálisan mozgatják a lopott vagy kicsalt pénzt. Ezeket az embereket gyakran olyan netes hirdetésekkel toborozzák, amelyek otthonról elvégezhető munkát kínálnak. Ilyen „money mule" volt K. Gy.-né is. A feladata mindössze annyi, hogy a számlájára utalják a pénzt, ő megtart egy kis részesedést, a többit továbbutalja a megadott számlaszámra, ami a legtöbbször fizikailag nagyon messze van tőle. Aztán a pénz onnan még újabb és újabb számlákra vándorolhat, ezeket a számlákat pedig egyes tranzakciók után megszüntetik, így még nehezebb utólag tisztázni, honnan, ki és mikor utalt. A legvégén pedig valaki egy automatánál felveszi a pénzt.
A bűnözői csoportok egy-egy akció költségeit kriptovalutával, jellemzően bitcoinban fizetik, ez különösen igaz akkor, ha például zsarolásokban utaznak. A zsarolóvírusok vagy angol nevükön ransomware-ek olyan kártékony programok, amelyek egy számítógépre jutva titkosítják a fájlokat, és váltságdíjat követelnek azért, hogy a tulajdonos újra hozzájuk férhessen. A leggyakoribb, hogy a bűnözők e-mailek csatolmányaiban rejtik el a kártevőt (vagy a letöltését elindító programot), de az is gyakori, hogy fertőzött weboldalakra kattintva indul a letöltés. Rendszerint a működésbe lépéshez valamilyen sebezhetőséget is kihasznál a zsarolóvírus. Olyannyira nem távoli és idegen dolog ez, hogy magyar kórházakat is támadtak már meg így bűnözők.
A bűnözők azért is szeretnek zsarolni, mert ha fizet a megzsarolt, akkor elég jól lehet vele keresni. Egy teljesen új ransomware kifejlesztése 5-6 ezer dollárba kerül, és bitcoinban 300-400 ezer dollárt tudnak egy komolyabb változattal havonta beszedni, de vannak, akik milliós összegekről beszélnek. A zsarolások felét általában kis cégek ellen követik el. Szakértők szerint 2019-ben minden 14. másodpercben történhet egy ilyen zsarolás. Összehasonlításképpen: 2017-ben minden 40. másodpercben zsaroltak így meg áldozatokat. A zsarolással okozott kár az elmúlt két évben tizenötszörösére nőtt.
A bűncselekményekhez használt rosszindulatú szoftvereket is be lehet szerezni a sötét weben, egy adatlopáshoz használatos szoftvert nagyjából 300 dollárért árulnak. Ezekkel az eszközökkel a bűnözők távolról irányítani tudják azokat a gépeket, amelyeket megfertőztek, onnantól fogva már gyerekjáték az adatlopás.
A bűnös úton megszerzett szajré ára is eltérő. Bankkártyaadatokat például már 10 dollárért lehet vásárolni a sötét weben. Ebben benne van a kártyatulajdonos teljes neve, címe, telefonszáma, társadalombiztosítási száma és egyéb adatai. Ezeket az adatokat egy csomó minden másra fel tudják használni a bűnözők, a társadalombiztosítási számát például egészségügyi csalásokra.
De a netes bűnözők sem mind keresik degeszre magukat, sőt, a többségnek a kevéssel kell beérnie. A többség ugyanis nem a nagyon jól képzett, tapasztalt figura, hanem egyszerű katona. A legtöbben nagyjából 1000-3000 dollárt kereshetnek havonta, és kábé 20 százalékuk az, aki havi húszezer dollárt, vagy annál többet szakít a bűncselekményeken. Az viszont biztos, hogy maga az iparág már több pénzt termel, mint például a kábítószer-kereskedelem.
A bűnözők mindig lépéselőnyben lesznek, hiszen rengeteg olyan kiskapu van, amit ki tudnak használni. Azáltal, hogy a technika fejlődik, az adatainkat egyre inkább közszemlére tesszük. Már egy okostévén, okoskarkötőn, de akár egy wifire csatlakoztató légkondin keresztül is be tudnak törni a gépeinkre, és megszerezhetik azt, amire szükségük van. A különféle kütyük gyártóinak nem fűződik érdeke ahhoz, hogy megvédjenek minket a rosszakaróktól, ez a mi dolgunk. Arról nem is beszélve, hogy ha a bűnözők valamit meg akarnak szerezni, akkor meg is tudják azt szerezni, feltéve, ha megéri annyi pénzt és időt fektetni a balhéba, amennyi pénzt abból remélni lehet. Jó példa erre a miskolci cég esete, és annak utóélete. A károsult cég az OTP-től várna kártérítést, a pénzintézet viszont azzal érvel, hogy a csalók nem az ő rendszerüket törték fel, hanem a felhasználót tévesztették meg, tehát az áldozat hibázott. Márpedig ezzel az állítással vitatkozni se nagyon lehet.