Így próbálnak kicsalni adatokat az adat- és pénzhalászok a NAV nevében

Naponta több bejelentés is érkezik a Nemzeti Adó- és Vámhivatalhoz (NAV) és a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézetéhez (NBSZ NKI), miszerint a közelgő adóbevallási időszakra hivatkozva adathalászok próbáltak megszerezni ügyfélkapus bejelentkezési és bankkártyaadatokat. A csalók repertoárja egyre szélesebb, már nemcsak e-mailben, hanem SMS-ben, sőt, élő telefonhívással is próbálkoznak.

A NAV informatikai fejlesztései révén már nagyrészt elektronikusan kommunikál ügyfeleivel. Az adathalászok ezt használják ki, s megpróbálnak bizalmas információkat szerezni. A NAV nevében írt adó-visszatérítés lehetőségére felhívó elektronikus levelek, SMS-ek olyan nyelvi fordulatokat tartalmaznak, például tegező megszólítást, szándékos, ugyanakkor a megtévesztésre tökéletesen alkalmas megnevezéseket, melyeket a hivatal nem szokott.

A csaló email- és az SMS-értesítések általában egy linket is tartalmaznak, ami a gyanútlan ügyfelet egy felugró űrlaphoz, honlaphoz vezeti. Az űrlapon a csalók általában az ügyfélkapus bejelentkezési adatokat, valamint a bankkártyák hátlapján található háromjegyű szám, az úgynevezett CVV/CVC kód megadását kérik. Ha valaki megadja a bankkártyaadatait, számolnia kell azzal, hogy illetéktelenek pénzt emelhetnek le számlájáról.

Az ügyfélkapus adatokat pedig mindenki csak a megfelelő oldalon (nav.gov.hu, magyarorszag.hu) adja meg, ugyanis a csalók sokszor olyan oldalakat szerkesztenek, amelyek arculati elemeiben is rendkívül jól utánozzák a legitim bejelentkezési felületeket, azonban a webcím ebben az esetben árulkodó lehet.

A NAV soha, semmilyen körülmények között nem kér bankkártyaadatokat!

A NAV értesítési gyakorlata merőben eltér a megtévesztő módszertől, a hivatal ugyanis Ügyfélkapun keresztül, illetve postán, adószámla-kivonaton értesíti az ügyfeleket a többletként megjelenő tételekről, és hivatalos honlapja a www.nav.gov.hu címen található.

A gyanús üzenetekkel kapcsolatos további információkért, hasznos tanácsokért látogasson el az NBSZ NKI honlapjára.

Mi rákattintottunk arra, amire Önnek nem szabad

Kipróbáltuk, milyen lépéseken kell túlesnünk akkor, ha szeretnénk a kártyánkon lévő pénzt  önként és dalolva átadni a csalóknak. Az SMS-ben kapott link természetesen működött és az üzenetben ígért, nem létező Országos Adóhivatal (OAV?) helyett a NAV honlapjához hasonló képződményre érkeztünk.

Mindössze a nevünk (Gyanútlan Bárányka) és emailcímünk megadásával az ál-NAV rögtön kiderítette, hogy 191.658 forint adóvisszatérítésre vagyunk jogosultak. Remek, ez a pénz jól fog jönni! (Elnézést kérünk, ha véletlenül egy másik Gyanútlan Bárányka nevű adóalany adataival éltünk vissza.)

Ezután már csak bankkártyánk adatai kellettek, természetesen kártyaszám, lejárat és biztonsági kód feltüntetésével, amire majd a pénz jön. (Vagy ahonnan megy rövid úton.) Mi ehhez eléggé el nem ítélhető módon egy évekkel ezelőtt lejárt kártyánkat használtuk, kicsit módosított lejárati dátummal.

Az ál-NAV köszönte az adatokat és hogy biztosan mi legyünk azok, akiknek a pénz jár még elkérte a Facebook belépési adatainkat is. Ahogyan azt az igazi NAV, vagy a rendőrség is csinálja. "Azonnal azonosítsa magát a Facebook-profiljával!" - mondják el naponta többször a rendőrök az éles bevetéseken, egy párhuzamos univerzumban.

Mivel feláldozható Facebook-profilunk nincs, így megálltunk ennél a pontnál, pedig lehet, hogy még izgalmasabb kérdések is jöttek volna, ha vagyunk annyira balekok, hogy ezt is megadjuk. Ilyenekkel lehetne még fokozni, hogy "Milyen időpontokban nem tartózkodik senki odahaza? (Nehogy rosszkor indítsuk az utalást), vagy adja meg három legjobb barátja telefonszámát, hogy nekik is elküldhessük az adóviisszatérítést stb.

Bízunk benne, hogy olvasóink időben rájönnek, hogy ezek a pénzt igérő üzenetek átverések. El kell felejteni, hogy "de mi van, ha igaz"? Nem, nem az. És egyetlen hatóság, szerv sem fog Facebook, Pinterest, Snapchat, Instagram adatokat kérni azonosításként.