A jegybank kíméletlenül lecsap a bankokra, ha azok nem szűrik eléggé a csalókat

Varga Mihály, a Magyar Nemzeti Bank elnöke bejelentette, hogy öt csapással lép fel a jegybank a kibercsalások ellen, a lépésekről kedden tartott sajtótájékoztatót a jegybank. Az MNB abban tökéletesen igaza van, hogy a kívánatos az lenne, ha senki nem válna az online banki csalók áldozatává, vagyis a sikeres elkövetések kárértéke 0 forint lenne.

Abban is szinte biztosan igaza van a jegybanknak, hogy a pénzforgalmi szolgáltatók (a köznyelvben a bankok) felkészültsége különböző, a szűrési rendszerek eltérő minőségűek. Egy banki ügyfél számára a számlavezetés és utalás díjai jól összehasonlíthatók, az már nem, hogy melyik banknál van jobb azonnal szűrési rendszer, vagyis melyik banknál van inkább biztonságban a pénze.

Viszont az MNB továbbra sem fog feketelistákat közölni, pedig egyes bankoknál még arra sem képes az ügyfél, hogy beállítson egy olyan utalási limitet, amit a rablók nem tudnak azonnal módosítani, ha illetéktelenül bejutnak a netbanki rendszerbe. A bankok egy része nem alakított ki olyan vörös telefonvonalakat sem, ahol a kliensek azonnal le tudnák tiltani a kártyát, vagy a számlát, ha csalók mozgását észlelik. Még mindig vannak olyan nagy bankok, amelyek a döbbenetesen lassú call centereikben várakoztatják nyugtató zenékkel, csalási figyelmeztetésekkel, értékajánlatokkal az ügyfeleket, miközben a csalók már nagyban garázdálkodnak.

Ugyanakkor olyan kritikus kérdések is felvethetők, nem lesz-e újabb csalástípusok melegágya, amikor a bank felelősségévé válik azért, ha a bank nevében csalók kopasztják meg az ügyfeleket. Vagy, ha az MNB az egyik kezével most mindenkit arra buzdít, hogy utalási limiteket állítson be, akkor a másik kezével miért növelte az azonnali fizetési rendszerben (AFR) 10 millió forintról, 20 millió forintra az utalási lehetőséget? Illetve, ha egy banknál (mint most az MBH-nál) tömegesen váltak csalás áldozatává az ügyfelek, akkor valóban az a jó válasz, ha minden bank szigorúbb szabályokat kap a nyakába?

Az öt csapás

Varga Mihály, az MNB elnöke először egy Facebook-videóban jelentette be azt az öt csapást, amellyel a jegybank a kibercsalások elharapózására szeretne reagálni. Virág Barnabás, az MNB alelnöke egy június 3-i háttérbeszélgetésen világította meg a részleteket, vagyis a fokozott digitális átmenet által felszínre hozott biztonsági problémákat, illetve a jegybank erre adott válaszait. Mint rögzítette, a digitalizáció tényleg veszélyt is jelent, a technológia gyorsabban fejlődik, mint ahogyan az ügyfelek képesek azt a biztonságos használat oldaláról követni. Márpedig a bankrendszerben a legfontosabb a bizalom, ha pedig az MNB kiemelt célja a pénzügyi stabilitás fenntartása, akkor itt is lehet feladata.

Az említett öt lépést a következő:

• 2025. július 1-től elindul a Központi Visszaélésszűrő Rendszer (KVR) az MNB alá tartozó Giro Zrt. közreműködésével. Amikor a banki ügyfél utalást indít, annak adatai bekerülnek a központba, és a tesztek alapján fél másodperc alatt ez a központi rendszer megvizsgálja a tranzakciót.
• Az MNB eddig is, a jövőben is kibervédelmi ajánlásokat fogalmaz meg a bankoknak, utóbbiaknak ezeket a jövőben kötelezően végre is kell hajtani. Itt mindig az ügyfélélmény és a biztonság viaskodik egymással, de most az MNB azt javasolja, hogy határozottan az utóbbi, vagyis a biztonság legyen fontosabb.
• A jegybank célzott MNB-vizsgálatokat is tervez az egyedi megelőző intézkedések monitorozására.
• Törvénymódosítás is készül az ügyfelek védelme érdekében, ez azt szolgálja, hogy mindenki legyen érdekelt a lépések megtételében. vagyis ne kényelmesedjenek el a bankok azáltal, hogy úgyis az ügyfél viseli a kárt.
• Végül fontos a kommunikáció, a kormánnyal közösen a jegybank tájékoztató kampányt tervez, ahol be kell mutatni, hogy mik a visszaélési kockázatok. és természetesen felhívják az ügyfelek figyelmét arra, hogy őrizzék megfelelően a szenzitív adatokat, ha pedig mégis bekövetkezik a baj, akkor a bankot és a rendőrséget is azonnal tájékoztassák.

Az online csalások a leginkább a 2020-as években harapóztak el, amikor a számuk és elkövetési értékük is nagyon megnőtt.

2024-ben már 226 ezer visszaélést követtek el, az összesített kár értéke pedig 42 milliárd forint volt.

A kár nagy részét a lakosság szenvedte el (31 milliárd forint), a cégek 10 milliárdot, egyéb intézmények kevesebb, mint 1 milliárd forintot veszítettek. Számosságában a kártyás csalások a leggyakoribbak, de az utalásos csalások kárértéke sokkal nagyobb, és sajnos az esetszámok és a kárértékek gyarapodása is mindenhol aggasztó.

Mint megtudtuk, a nemzetközi helyzet is hasonló, máshol is gyarapodnak az esetek, és egyre inkább az adathalászattal, manipulációval megszerzett személyes adatok a fő elkövetési típus. Virág Barnabás öt elkövetési típust emelt ki,

• a hamis befektetési ígéretet (ahol a magas beígért hozam a vonzó),
• a hamis banki oldallal történő megtévesztést, vagy egy webshop lemásolását,
• az adok-veszek oldalak eladóinak megtévesztését (Foxpost-csalás),
• a romantikus csalásokat
• és az unokázós csalást.

Ha bekövetkezik egy ilyen kibercsalás, akkor Magyarországon szinte kizárólag az ügyfelek viselik a kárt, a 2024-es évben 92 százalékban (utalásos csalásoknál 98 százalékban) a súlyos gondatlansággal megvádolt ügyfelek nyelték le a békát. Pedig a bankok is tehetnének többet. Mint hallottuk, a legfontosabb az lenne, hogy vezessék be a valós idejű szűrőrendszereket, ezek ugyanis 90 százalékban megakadályozzák a visszaéléseket. Az MNB egész kommunikációjából az jött át, hogy szűrni kell, ez a helyzet kulcsa, de ezt csak úgy lehet elérni, ha a bank sokat veszít azon, ha ezt nem teszi.

Az ilyen bevezetések után az adatigényes rendszereknek tanulniuk kell, de nagyon jól használhatók, ugyanakkor egyes hazai bakok ebben nagyon le vannak maradva, mások, mint például az Erste pedig kifejezetten jól állnak, ami természetesen a szűrési számokban, vagyis az elhárított csalásokban is megmutatkozik. Erről ugyan összehasonító adat nem ismert, de azért a jobbak elkezdték kommunikálni az eredményeiket.

Az MNB-nek az az elképzelése, hogy épüljön ki egy kétszintű védekezés, vagyis legyen egy központi rendszer és legyenek a bankoknak saját rendszerei, vagyis egy olyan ökoszisztémára van szükség, ahol a központi infrastruktúra és az egyedi megoldások együttműködnek, erős szabályozási rendszerrel, az ügyfelek bevonásával, edukációval, ahol természetesen a bűnüldözésnek is megmarad a szerepe.

A vitatható elem

Az MNB-s csomag legérdekesebb eleme, hogy a bankokat nem csak akkor terhelné a jövőben pénzügyi felelősség, ha nem monitorozták megfelelően az utalást, de akkor is, ha a bank nevében léptek fel a csalók. Ez elsőre eléggé felfoghatatlan, természetesen senki sem szeretne azért felelni, ha a nevében csalt ki egy bűnöző bárkitől is pénzt.

Mindenesetre a nemzetközi trendek is vizsgálják az ilyen jellegű kármegosztást, a holland példa pedig azt mutatja, hogy jelentősen sikerült csökkenteni az ügyfélkárt, de a teljes kárt is azzal, hogy a bankokat érdekeltté tették az erősebb monitorozásban.

A Telex kérdéseire Virág Barnabás ugyanakkor megerősítette, hogy arra figyelni fognak, hogy az összejátszó csalók és „ügyfelek” ne tudják módszeresen kopasztani a bankokat, az így jóváírható tranzakciószám nem lesz végtelen, vagyis, ha jól értettük, ezt legfeljebb egyszer lehet eljátszani, a következő alkalomra már meg kell tanulnia az ügyfélnek, ha csaló hívta, hogy ezáltal ne kerüljön bele egy ún. morális kockázat a rendszerbe.

Mindenesetre a háttérben azt is hallottuk, hogy egy banknak nemcsak arra kell felkészülnie, ha egy csaló akarja a bank nevében a jóhiszemű ügyfelet lehúzni, de arra is, ha a bank és a rosszhiszemű ügyfél összejátszik. Egy jó rendszer ugyanis a számlára érkező pénzek, az egyszeri nagy utalás és hasonló elemek mentén ezt is ki tudja szűrni, illetve ott van még az az érv, hogy amennyiben a bank helytáll, később bíróságon még mindig megtámadhatja az ügyfelet. Persze nincs előttünk, hogy a bíróságon megtámadott csalók akkor még elérhetők és kártalanításra kötelezhetők.

Az államra nem vonatkozik

Arról is érdeklődtünk, hogy amennyiben a bankoknak felelőssége van, ha a nevükben átverik az ügyfelet, akkor vajon ez a felelősség érintheti-e a csalásoknál szintén gyakran felhasznált NAV-ot, MVM-et, rendőrséget. Nos, nem, hiszen, mint megtudtuk a pénzforgalmi szolgáltatók abból élnek, abból szednek díjat, hogy ilyen rendszereket működtetnek, vagyis tehetnek azok biztonságáért, de a felsorolt szervezetek nem.

Felmerült bennünk az is, hogy az öt csapás mennyiben kapcsolódik ahhoz, hogy az MBH Banknál több visszaélésről is lehetett mostanában hallani, de Virág Barnabás azt mondta, hogy egy konkrét esetet nem emelne ki. Ugyanakkor az természetesen számít, hogy a sajtóban, a baráti társaságokban egyre gyakrabban téma a sok visszaélés, már mindenkinek van egy személyes élménye, egy ismerőse, aki szembesült ezzel a problémával.

Kérdésekre válaszolva Virág Barnabás azt ugyanakkor érdemben nem kommentálta, hogy az elkövetők milyen arányban lehetnek ukránok, mert az elkövetők kilétének vizsgálata nem az MNB, hanem a bűnüldöző szervek felelősség.

Rákérdeztünk arra is, hogy a Magyarországon úttörő és sikeres azonnali fizetési rendszer (AFR) mennyire melegágya a csalásoknak, hiszen így a bankoknak kevesebb idejük van megfogni a csalókat. Az MNB szakemberei szerint minél gyorsabb egy technológia, az annál több lehetőséget kínál a jóhiszemű és a rosszhiszemű felhasználóknak is, de ilyenkor nem az a helyes válasz, hogy ne lehessen azonnal utalni, hanem az, hogy a bankoknak azonnal kelljen az utalásokat monitorozni.

Verseny a csalókkal

A csomagról megkérdeztük Suppan Márton informatikai szakembert, a Peak-csoport alapító-tulajdonosát is, aki szerint maguk a megfogalmazott pontok kifejezetten jók. Szerinte ugyanakkor az egész kérdés olyan, mint a dopping és a dopping elleni küzdelem,

a csalók mindig egy kicsit előrébb járnak, de ezt a fáziskésést, a trendkövetést nem kell feltétlenül elfogadni.

A bankoknak erős szerepük van az utalások piacán, de tehetnének többet is, ahogyan a központi szervek is, például a központi szűrést legkésőbb az AFR bevezetésével párhuzamosan meg lehetett volna lépni. Emellett lehetnek olyan formabontó módszerek is, például az „etikus hekkerek” alkalmazása, amelyet meg lehetne próbálni. Illetve az edukáció tényleg nagyon fontos. Talán jelkép is, hogy az öt pont közül ez csak az utolsó lett, de lehet, hogy el kellene azon gondolkodni, hogy valamilyen befizetést (piaci részesedés, nyereség alapján) kötelezővé kellene tenni a jobb edukáció érdekében.

Nyilván egy tájékoztató kampány lehet teljességgel hatástalan is, de ha egy kampány valóban javítja az ügyfelek tudatosságát, az nagy segítség, az ügyfélnek is, de a bankoknak is. Utóbbiaknak azért, mert ha kevesebb a csalás, ha kevesebb a call centeres ügyfél-érdeklődés, vagy ha kevesebb a tudatlanságból eredő panaszos Facebook-poszt, az valójában a bankoknak is jó.