Digitális Biztonsági Útmutató

Windowshoz, Machez, iPhone-hoz és Androidhoz

Utoljára frissítve: 2026. szeptember

Gyakorlati ellenőrzőlista a számítógéped, az e-mail-fiókod, a jelszavaid, a telefonod, a közösségi média fiókjaid és a pénzed védelmére. Egyik lépéshez sem kell technikai tudás, és mindegyikhez van ingyenes megoldás.

Hogyan használd ezt az Útmutatót?

Minden lépésnél találsz linket a hivatalos leíráshoz, és ahol segít, egy rövid videót is, amely megmutatja, pontosan hova kell kattintani. Kérjük, ezekkel kezdd.
Az 1. résszel kezdd — körülbelül egy óra, sorrendben, és innen származik a védelem döntő része. A 2. részt végezd el a következő egy-két hétben. A 3. rész csak azoknak szól, akik pénzzel vagy tagi adatokkal dolgoznak.
Kérdésed vagy aggályod van? Írj a digitalsafety@mandalaoflight.org címre (egy kis csapat olvassa), vagy hozd el a következő személyes találkozóra. Kérjük, kerüld, hogy technikai kérdésekkel közvetlenül egy-egy vezetőnek írj — a közös postafiókkal mindenkinek tudunk segíteni.

Erről a címről: soha nem fogunk arra kérni, hogy telepíts valamilyen szoftvert, ossz meg egy kódot vagy küldj pénzt — sem a digitalsafety@mandalaoflight.org címről, sem bármely más címről. Ha ilyen kérést kapsz, az hamis. Továbbítsd nekünk.

Készült egy kétoldalas ellenőrzőlista, amelyet kinyomtathatsz, és a többi papíralapú feljegyzésed mellé tehetsz — lépésenként egy sor, hely a dátumnak, és egy rész, ahol feljegyezheted, hova tetted a mesterjelszavadat, a tartalék kódjaidat és a helreállítási kulcsaidat. A tiéd; semmit nem gyűjtünk be róla. (Jelenleg angol nyelven.)

Nyomtatható ellenőrzőlista letöltése (PDF)

⚠️ Egy szabály, ami minden másnál fontosabb

Ha bármilyen üzenetet vagy hívást kapsz — e-mail, SMS, WhatsApp, Discord, Facebook, telefon, videóhívás —, amely arra kér, hogy telepíts valamit, küldj pénzt, vásárolj ajándékkártyát vagy ossz meg egy kódot, akkor állj meg, és hívd vissza az illetőt egy olyan számon, ami már megvan neked — nem azon, amelyik az üzenetben szerepel —, mielőtt bármit tennél.

Még akkor is, ha pontosan úgy néz ki vagy hangzik, mint valaki, akiben megbízol. Különösen akkor — a csalók pont azért adják ki magukat ismerősöknek, mert működik, és a mesterséges intelligencia ma már a hangot is le tudja másolni. Egy valódi kérés túléli a visszahívást. Egy csalás nem.

1. rész — A nyolc legfontosabb lépés

Körülbelül egy óra, ebben a sorrendben. A sorrend számít: először a számítógépet tisztítsd meg, hogy semmi ne figyelhesse, ahogy a többit beállítod.

Érintsd meg bármelyik lépést a kinyitásához.

1. Ellenőrizd a számítógépedet kártékony szoftverek után

Miért: Ha már van valami kártékony a számítógépeden, az mostantól minden begépelt jelszavadat el tudja olvasni — beleértve azokat az újakat is, amelyeket mindjárt létrehozol. Ezért ezzel kezdd. Indítsd el az ellenőrzést, és amíg fut, haladj tovább a többi lépéssel.

A) lehetőség — Fizetős biztonsági csomag személyazonosság-védelemmel (ha belefér a keretedbe)

Az eszközvédelmen túl ezeknek a csomagoknak a felső szintjei a személyes adataid visszaélésszerű használatát is figyelik: dark web figyelés az e-mail-címedre, jelszavaidra és azonosító számaidra; hiteladat-figyelés; riasztás közösségi médiás személyazonosság-lopásra; valamint segítség és biztosítás, ha ellopják a személyazonosságodat. Ezt a réteget egy ingyenes víruskeresés nem tudja megadni.

Malwarebytes Ultimate — eszközvédelem + VPN + személyazonosság-védelem, személyes adatok eltávolítása adatkereskedő oldalakról, és biztosítás személyazonosság-lopás esetére. malwarebytes.com/pricing
Bitdefender — a független tesztekben rendre az élmezőnyben végez, és általában ez terheli legkevésbé a régebbi vagy lassabb gépeket. A Premium/Ultimate csomagok ugyanazt a VPN- és személyazonosság-figyelő réteget adják. bitdefender.com
Norton 360 with LifeLock — a régóta bejáratott alternatíva hasonló személyazonosság-védelemmel, csomagonként több eszközre. us.norton.com/products
Bármelyik megfelelő; válaszd azt, amelyiket könnyebben kezeled. Az első évre nagyjából 100–150 dollárral (kb. 35–55 ezer forinttal) számolj. Vásárlás előtt nézd meg a meghosszabbítási árat — mindegyik jelentősen többet kér a második évtől, így állíts be egy naptár-emlékeztetőt a hosszábbítás előtt egy hónappal, hogy átgondolhasd vagy válthass.

Néhány szó a VPN-ekről. Mindhárom fenti csomag tartalmaz VPN-t, és önállóan is vehetsz — a NordVPN és a Surfshark a két leggyakrabban ajánlott (hosszabb csomaggal körülbelül havi 3–5 dollár). A VPN titkosítja az internetforgalmadat, ami valóban számít nyilvános Wi-Fi esetén — szállodák, repülőterek, kávézók, konferenciaközpontok, elvonulások helyszínei —, ahol nem tudhatod, ki van még a hálózaton. Az otthoni IP-címedet is elrejti a meglátogatott oldalak elől. De legyünk világosak abban, amit nem tud: a VPN nem állítja meg a kártévőket, nem ismeri fel az adathalász oldalakat, és nem védi meg azt a fiókot, amelynek kiszivárgott a jelszava. Tekintsd jó higiéniának utazáshoz, nem pedig az útmutató bármelyik lépésének pótlékának.

Ha az előfizetés nem fér bele: az alábbi ingyenes út ugyanazt az eszközvédelmet adja, és a 4., 6. és 7. lépés (eszközáttekintés, számzárolás, hitelzárolás) ingyen lefedi a személyazonosság-védelem legfontosabb részét.

Még két ingyenes eszköz, amely részben pótolja a figyelést: haveibeenpwned.com (megmondja, szerepelt-e az e-mail-címed ismert adatszivárgásban — érdemes feliratkozni az értesítésekre) és a Google beépített Dark web jelentése (Google-fiók → Biztonság → „Dark web jelentés”).

És egy ingyenes dolog, ami 30 másodperc: töröld a böngésző sütijeit. A sütik tartanak bejelentkezve az oldalakon, így a törlésük gyors módja annak, hogy egyszerre minden bejelentkezett munkamenetet lezárj az adott gépen — beleértve azt is, amelyikben egy behatoló ül. Chrome/Edge/Brave: Beállítások → Adatvédelem és biztonság → Böngészési adatok törlése → pipáld ki a Sütik és egyéb webhelyadatok lehetőséget → időtartam: Teljes időszak. Safari: Beállítások → Adatvédelem → Webhelyadatok kezelése → Összes eltávolítása. Firefox: Beállítások → Adatvédelem és biztonság → Sütik és oldaladatok → Adatok törlése. Utána mindenhova újra be kell jelentkezned — pontosan ez a cél, és jó alkalom arra, hogy már az új jelszókezelőddel tedd (5. lépés).

B) lehetőség — Ingyenes alternatívák (ellenőrzésre ugyanolyan hatékonyak; nem kell semmit venni)

Windows: a Windows biztonság már be van építve, és kiváló. Start → írd be: „Windows biztonság” → Vírus- és fenyegetésvédelem → Ellenőrzési beállítások → Teljes ellenőrzés → Ellenőrzés most. Akár egy óráig vagy tovább is tarthat — ez normális, közben nyugodtan használd a gépet. Lépésről lépésre, képernyőképekkel (angolul): How to run a full scan using Windows Security. Ha egy régi, lejárt vírusirtó (McAfee, Norton stb.) még fenn van, előbb távolítsd el — blokkolhatja a Windows biztonság működését.
Mac: a macOS csendben védi magát, de egyszeri ellenőrzéshez használd a Malwarebytes ingyenes változatát: malwarebytes.com/mac — telepítsd, futtass egy ellenőrzést, majd vagy tartsd meg (az ingyenes verzió ingyenes marad), vagy távolítsd el. Ha nem kéred, utasítsd vissza a fizetős próbaverziót.
Android: Play Áruház → profilképed → Play Protect → Vizsgálat.
iPhone/iPad: itt nincs mit futtatni — az Apple nem engedi, hogy biztonsági cégek olyan alkalmazást készítsenek, amely átvizsgálhatná a telefon többi részét, így az App Store-beli „iPhone vírusirtók” valójában semmit nem vizsgálnak. Ez nem azt jelenti, hogy az iPhone biztonságos. Rendszeresen fel is törik, háromféleképpen: kártékony alkalmazás, amelyet egy adathalász üzenet után telepítettek; konfigurációs profil vagy „VPN”, amelyet egy ál-ügyfélszolgálatos beszélt rád, és amely utána terelheti vagy figyelheti a forgalmadat; és ritkábban kattintás nélküli támadások iMessage-en vagy weboldalon keresztül, amelyekhez semmit nem kell tenned. Vizsgálat helyett tehát kézzel ellenőrzöl — öt perc, és érdemes évente párszor megismételni:
- Alkalmazások, amelyeket nem te telepítettél: Beállítások → Általános → iPhone-tárhely — görgesd végig a teljes listát, és törölj mindent, amit nem ismersz fel.
- Konfigurációs profilok és váratlan VPN-ek: Beállítások → Általános → VPN és eszközkezelés — hacsak nem a munkahelyed vagy az iskolád adta a telefont, ennek általában üresnek kell lennie. Távolíts el mindent, amit nem tudatosan adtál hozzá.
- Engedélyek: Beállítások → Adatvédelem és biztonság — nézd meg, mely alkalmazások férnek hozzá a Helyzethez, a Mikrofonhoz, a Kamerához, a Fényképekhez és a teljes lemezhez, és vond vissza azt, aminek semmi köze hozzá.
- Biztonsági ellenőrzés: Beállítások → Adatvédelem és biztonság → Biztonsági ellenőrzés — az Apple vezetett áttekintése arról, kivel és mit osztasz meg; van benne vészhelyzeti visszaállítás is, amely egyszerre szüntet meg minden megosztást. Apple: Hogyan működik a Biztonsági ellenőrzés

A kattintás nélküli réseket a telefon naprakészen tartása zárja be (2. lépés) — ezért számít a 2. lépés iPhone-on ugyanannyira, mint bárhol máshol.

Bármelyik utat választod — ha az ellenőrzés talál valamit: hagyd, hogy eltávolítsa, indítsd újra a gépet, majd futtasd le még egyszer. De ne állj meg itt, és ne feltételezd, hogy a tisztítás teljes volt: a mai kártévőket kifejezetten úgy készítik, hogy elrejtőzzenek a víruskeresők elől, így egy tiszta második ellenőrzés megnyugtató, de nem bizonyító erejű. Tekints úgy minden jelszóra, amelyet azon a gépen begépeltél, hogy valaki más is ismeri, és ugyanígy minden fiókra, amely felbukkant egy adatszivárgás-ellenőrzésben — változtass jelszót egy másik eszközről, és kapcsold be a kétlépcsős azonosítást (3. lépés), amíg ott vagy, mert egy új jelszó önmagában nem tartja kint azt, akinek még mindig van bejárata. Az A) függelék az útmutató végén sorrendben végigvezet a teljes tisztításon, beleértve azt is, mikor a teljes visszaállítás az őszinte válasz.

2. Kapcsold be a biztonsági frissítéseket – és telepítsd a várakozókat

Miért: A támadások nagy része olyan hibákat használ ki, amelyeket már kijavítottak — olyan gépeken, amelyekre nem telepítették a javítást. Az automatikus frissítések úgy zárják be ezeket a réseket, hogy neked nem kell rájuk emlékezned. Egyszer beállítod, és kész.

Itt számítanak a szavak: amit be akarsz kapcsolni, az a biztonsági frissítés. Sokan teljesen ésszerű okból kapcsolják ki az automatikus frissítést — egy nagy rendszerfrissítés elronthatja azokat a programokat és munkafolyamatokat, amelyektől függenek. (Jó példa erre a Rosetta 2 kivezetése az Apple-nél, ami a régebbi, Intel-korszakbeli Mac-alkalmazásokat futtatja az Apple Silicononon.) A jó hír, hogy ez két külön dolog: minden rendszer lehetővé teszi, hogy elfogadd a kicsi, gyakori biztonsági javításokat anélkül, hogy a következő nagy verzióra kényszerülnél. Ha csak egy dolgot csinálsz meg ebből a lépésből, ezt csináld.

Windows: Beállítások → Windows Update → keress frissítéseket, telepíts mindent, majd indítsd újra. A frissítés alapértelmezésben automatikus; csak ne halogasd végtelenül az újraindítást.
Mac: Rendszerbeállítások → Általános → Szoftverfrissítés → telepíts mindent, ami vár, majd kattints az ⓘ jelre az „Automatikus frissítések” mellett, és kapcsolj be mindent.
iPhone/iPad: Beállítások → Általános → Szoftverfrissítés → telepíts, majd Automatikus frissítések → kapcsold be mindkét kapcsolót.
Android: Beállítások → Rendszer → Szoftverfrissítés (a megnevezés telefononként változik). Alkalmazások: Play Áruház → profilkép → Beállítások → Hálózati beállítások → alkalmazások automatikus frissítése.
Böngésző: a Chrome, az Edge, a Safari, a Firefox és a Brave maguktól frissülnek — de csak akkor, ha bezárod és újra megnyitod őket. Ha a jobb felső sarokban látod a „Frissítés” gombot, kattints rá.
Minden más, amit telepítettél (Zoom, Adobe, Office stb.): mondj igent, amikor frissíteni kérnek. Ha egy program évek óta nem kért, lehet, hogy már nem támogatott — fontold meg az eltávolítását.

⚠️ Csak magáról a frissítési képernyőről frissíts — soha ne értesítésből.
Ez többet ér, mint amennyinek látszik, mert a „frissítened kell” az egyik legsikeresebb csalási nyitás. Valódi frissítés pontosan két helyről érkezik: az eszközöd beépített frissítési képernyőjéről (a fenti Beállítások-útvonalak), vagy a hivatalos alkalmazásboltból. Ennyi.

Valódi frissítés soha nem érkezik: weboldalon felugró ablakként, böngészőértesítésként, letöltési linket tartalmazó e-mailben, olyan üzenetben, amely szerint fertőzött a géped, olyan ablakban, amely szerint elavult a Flash/Chrome/illesztőprogramod, vagy „ügyfélszolgálati” telefonhívásban. Ezek mind maguk a támadások, és amit felígyérnek letölteni, az a kártévő. Ha egy üzenettől elbizonytalanodsz, hogy tényleg lemaradtál-e frissítésekről, zárd be, nyisd meg te magad a Beállításokat, és ott ellenőrizd.

Ha az eszközöd már egyáltalán nem kap frissítést, lásd a Gyors válaszok utolsó kérdését lentebb.

3. Kapcsold be a kétlépcsős azonosítást (2FA) a fő e-mail-fiókodon – és használj passkeyt, ahol tudsz

Miért: Az e-mail-fiókod a főkulcs — aki irányítja, minden más jelszavadat vissza tudja állítani. A passkey (belépési kulcs) lehetővé teszi, hogy jelszó helyett ujjlenyomattal vagy arcfelismeréssel jelentkezz be, és sokkal nehezebb ellopni egy hamis bejelentkező oldallal.

Melyik kétlépcsős azonosítást? Nagyjából erősség szerint:

Passkey (belépési kulcs) — jelszó helyett ujjlenyomattal, arccal vagy az eszköz PIN-kódjával jelentkezel be. Ez a legerősebb, és ezt válaszd, ahol elérhető. De még nem mindenhol az: az e-mail-szolgáltatód és a nagy platformok támogatják, sok bank, bolt és kisebb szolgáltatás még nem. Ne várj passkeyre olyan oldalon, ahol nincs — ott használd ma a 2. lehetőséget.
Hitelesítő alkalmazás (TOTP) — a hatjegyű kód, amely 30 másodpercenként frissül, a Google Authenticator, a Microsoft Authenticator, az Authy vagy az 1Password, illetve a Bitwarden beépített megoldása (5. lépés). Ez gyakorlatilag minden olyan oldalon működik, amely egyáltalán kínál kétlépcsős azonosítást, és a legtöbb fiókodnál ez a reális alapértelmezés. Sokkal jobb az SMS-nél, mert a kód az eszközödön keletkezik, és soha nem halad át a telefonhálózaton.
SMS — jobb, mint a semmi, és érdemes bekapcsolni, ha egy oldal csak ezt kínálja. De tekintsd a leggyengébb változatnak, és cseréld le, ahol csak tudod: a B) függelék elmagyarázza, miért.

🎥 Új neked a passkey? Először nézd meg ezeket:
• What is a passkey — and is it the future of online security? (BBC News, 3 perc, angolul)
• Passkeys Explained (All Things Secured, angolul) — ugyanaz a csatorna, mint az útmutató végén szereplő videóknál.

Beállítás az e-mail-fiókodon:

Gmail / Google: először kapcsold be a kétlépcsős azonosítást — Google: Kétlépcsős azonosítás bekapcsolása —, és válassz hitelesítő alkalmazást vagy Google-értesítést SMS helyett. Utána adj hozzá egy passkeyt itt: g.co/passkeys → „Passkey létrehozása” → kövesd az utasításokat (Face ID / Touch ID / Windows Hello / telefonfeloldás).
▸ Hivatalos leírás: Google: Bejelentkezés passkeyjel
▸ Bemutató videó: Google Passkeys Tutorial (angolul)
Outlook / Hotmail / Microsoft: látogass el ide: account.microsoft.com/security → „További biztonsági beállítások” → kapcsold be a kétlépcsős ellenőrzést, és adj hozzá passkeyt (Windows Hello vagy a telefonod).
Apple (iCloud e-mail): az Apple-fiókoknál a kétfaktoros azonosítás már kötelező. Ellenőrizd, hogy be van-e kapcsolva: iPhone → Beállítások → a neved → Bejelentkezés és biztonság. Apple: Kétfaktoros hitelesítés

Utána ellenőrizd a helyreállítási módokat is, ne csak a bejelentkezést. Ezt a rést hagyja nyitva szinte mindenki: gondosan beállítasz egy hitelesítő alkalmazást a belépéshez, a fiók pedig csendben megőrzi az SMS-t arra az esetre, ha kizárnád magad. A támadónak nem kell legyőznie az erős módszeredet — egyszerűen a gyengét használja, amelyről elfeledkeztél. Ugyanazon a biztonsági oldalon keresd a „helyreállítási telefonszám”, „helyreállítási e-mail”, „tartalék módszerek” vagy „fiók-helyreállítás” menüpontot, és győződj meg róla, hogy ami ott szerepel, legalább olyan erős, mint a bejelentkezésed: a kinyomtatott tartalék kódok (2. rész) és egy másik, szintén általad birtokolt e-mail-cím a jó válaszok; az a telefonszám, amelyet csak azért tartasz ott, mert valamikor kötelező volt, az eltávolítandó. Ezt először az e-mail-fiókodon végezd el, aztán a bankodnál és a fő közösségi fiókjaidnál.

Tipp: amint a passkey vagy a hitelesítő alkalmazás működik, távolítsd el az „SMS”-t mint bejelentkezési módot, ahol az oldal engedi. Az SMS-kódokat el lehet fogni vagy átirányítani — a B) függelék elmagyarázza a három gyakori módot. A passkeyt sokkal nehezebb ellopni: az adott oldalhoz van kötve, így egy hamis bejelentkező oldal nem tudja használni, és pont ezt a leggyakoribb támadást hárítja el. A „sokkal nehezebb” azonban nem „lehetetlen” — lásd a C) függeléket.

4. Nézd meg, mely eszközök vannak bejelentkezve a fiókjaidba

Miért: Ha valaki korábban bejutott egy fiókodba, lehet, hogy még mindig bejelentkezve van a saját eszközén — és a jelszócseré nem mindig lépteti ki. Ez az oldal megmutat minden eszközt és alkalmazást, amely kapcsolódik a fiókodhoz. Amit nem ismersz fel, azt távolítsd el.

Google (Gmail): futtasd le a vezetett Google Biztonsági ellenőrzést — egy helyen végigvezet az eszközökön, a kapcsolt alkalmazásokon és a helyreállítási adatokon.
Eszközök: myaccount.google.com/device-activity — minden ismeretlen eszköznél kattints rá → Kijelentkezés.
A fiókodhoz hozzáférő alkalmazások: myaccount.google.com/connections — távolíts el mindent, ami ismeretlen.
Egy további Gmail-ellenőrzés: Gmail → ⚙ → Összes beállítás megtekintése → Továbbítás és POP/IMAP → győződj meg róla, hogy nincs beállítva olyan továbbítás, amelyet nem te hoztál létre. Ez az első számú dolog, amit a behatolók beállítanak, hogy továbbra is megkapják a leveleid másolatát. Ha már ott vagy, nézd meg a Szűrők és tiltott címek fület is — egy szűrő, amely csendben archiválja vagy törli a biztonsági értesítéseket, a második dolog, amit beállítanak.
Microsoft (Outlook/Hotmail): account.microsoft.com/security → „Bejelentkezési tevékenység megtekintése” az ismeretlen bejelentkezésekért, és account.microsoft.com/devices az ismeretlen eszközök eltávolításához.
Apple: iPhone → Beállítások → a neved → görgess le az eszközlistához. Érintsd meg azt, amelyiket nem ismered fel → Eltávolítás a fiókból. ▸ Apple: Az eszközlista ellenőrzése. Nézd meg azt is: Beállítások → a neved → Bejelentkezés és biztonság → a megbízható telefonszámok mind a tiéid-e.
A többi nagy fiókodnak (Facebook, Instagram, Amazon, PayPal, a bankod) ugyanilyen oldala van, általában a Beállítások → Biztonság → „Hol vagy bejelentkezve” vagy „Eszközök” alatt. Érdemes átnézni azokat, amelyek számítanak neked — a 2. részben külön szakasz szól a közösségi médiáról.
Ennek a lépésnek a nyers változata: ha egy oldal kínál „kijelentkezés minden eszközről” lehetőséget, használd, majd töröld a böngésződ sütijeit (a 30 másodperces leírás az 1. lépésben). Ketten együtt minden létező bejelentkezett munkamenetet lezárnak — a tiédet és bárki másét —, anélkül, hogy listából kellene felismerned mindegyiket.

Ha találtál ismeretlen eszközt: először készíts képernyőképet, aztán távolítsd el, majd változtasd meg annak a fióknak a jelszavát (az 5. lépés leírja, hogyan tedd ezt rendesen). És szólj nekünk a digitalsafety@mandalaoflight.org címen — segít észrevennünk a mintázatokat.

5. Telepíts egy jelszókezelőt, és hagyd, hogy ő készítse a jelszavaidat

6. Zárold a telefonszámodat a szolgáltatódnál

7. Védd meg a hiteladataidat

8. Tanuld meg, hogyan néz ki egy csalás (5 perc olvasás)

2. rész — A következő egy-két hét

Egy-két óra. Oszd el több alkalomra.

Vidd át a fontos jelszavaidat a jelszókezelőbe

Védd meg a közösségi média fiókjaidat

Az eltérített közösségi fiókokon keresztül terjednek a csalások az ismerőseidhez — „én vagyok az, külföldön ragadtam, tudnál pénzt küldeni” —, és ezeket hagyják a legtöbben védtelenül.

Kapcsold be a kétlépcsős azonosítást mindegyiken: Facebook és Instagram — accountscenter.facebook.com → Jelszó és biztonság → Kétlépcsős azonosítás (hitelesítő alkalmazást vagy passkeyt válassz, ne SMS-t). Ugyanezt tedd meg az X, a TikTok, a LinkedIn, a WhatsApp (Beállítások → Fiók → Kétlépcsős ellenőrzés) és a Discord esetében is.
Nézd át, hol vagy bejelentkezve ugyanezen az oldalon („Hol vagy bejelentkezve”), és jelentkezz ki mindenhonnan, amit nem ismersz fel. Továbbá: „Alkalmazások és weboldalak” → távolíts el minden harmadik féltől származó alkalmazást, amit nem használsz. Ezekről feledkeznek meg a legtöbben: egy kvízalkalmazás vagy fényképszűrő, amit 2017-ben engedélyeztél, ma is olvashatja a fiókodat, közben pedig régóta nem karbantartja senki. Ha nem vagy biztos benne, mi az, távolítsd el — egy valódi alkalmazás egyszerűen újra bejelentkezést fog kérni, amikor legközelebb használod.
Szűkítsd, ki láthatja a bejegyzéseidet: állítsd az alapértelmezett közönséget Ismerősökre, rejtsd el az ismerőslistádat a nyilvánosság elől, és korlátozd, ki találhat meg telefonszám vagy e-mail alapján. A csalók a nyilvános adatokból építenek meggyőző álprofilokat.
Ismerd fel a közösségi médiás csalásformákat: ismerőskérés valakitől, akivel már ismerős vagy (klónozott fiók — szólj a valódi személynek); „ez te vagy ezen a videón?” linkek privát üzenetben; „kellene egy kód, amit a telefonodra küldtek”; vagy egy „ismerős”, aki hirtelen kriptó- vagy befektetési lehetőséget ajánl. Soha ne oszd meg a hitelesítő kódot senkivel, még ismerőssel sem.
Ha egy fiókot átvesznek: Facebook — facebook.com/hacked; Instagram — instagram.com/hacked. A helyreállítás az első órákban a leghatékonyabb, tehát cselekedj azonnal, és szólj az ismerőseidnek más csatornán, hogy az onnan érkező üzenetek hamisak lehetnek.
Ha közösségi oldalt vagy csoportot adminisztrálsz: kapcsold be a Facebook Protectet (Beállítások → Biztonság → Facebook Protect) — a Meta szigorúbb biztonsági módja oldaladminoknak —, és gondoskodj róla, hogy legalább két admin legyen, hogy egy kizárás ne legyen végzetes.

MI-eszközök biztonságos használata

Az MI-asszisztensek (ChatGPT, Claude, Gemini, Copilot) hasznosak és biztonságosan használhatók — a kockázat abból ered, amit hozzáadnak hozzájuk, és amit beírsz beléjük.

„Skillek”, bővítmények és ügynökök telepítése

Tekints úgy mindenre, ami egy MI-eszközt kibővít — „skill”, plugin, GPT, bővítmény, MCP-szerver vagy automatizmus —, mint egy szoftverre, amelyet telepítesz, mert az. Kódot futtathat, és használhatja mindazt a hozzáférést, amelyet az MI-nek adtál.
Csak az adott eszköz hivatalos piacteréről telepíts (a ChatGPT-n, a Claude-on belül vagy a böngésződ hivatalos áruházából) — soha ne e-mailben, csevegésüzenetben vagy elküldött GitHub-oldalon kapott linkről, még akkor sem, ha ismerőstől jött. Pontosan ezen az útvonalon érte támadás a közösségünk valódi tagjait.
Óvakodj a hamis MI-alkalmazásoktól: a „ChatGPT Chrome-hoz”, az „ingyenes Claude Pro”, az MI-háttérképalkalmazások és hasonlók gyakori álcái a kártévőknek. Használd a hivatalos weboldalt vagy alkalmazásbolti listát, amelyet te gépelsz be.
Amikor egy MI-eszköz hozzáférést kér az e-mailedhez, fájljaidhoz, naptáradhoz vagy böngésződhöz, az valódi hozzáférés. Csak a hivatalos eszköznek mondj igent, csak arra, amire tényleg szükség van, és időnként nézd át a kapcsolt alkalmazásokat (a 4. lépés megmutatja, hol).

Amit ne írj be egy MI-beszélgetésbe

Soha ne másolj be jelszavakat, hitelesítő kódokat, helyreállítási kódokat, bankkártya- vagy személyi azonosító számokat, sem mások személyes adatait (beleértve a taglistákat). Egy jogos feladathoz soha nincs rájuk szükség.
Számolj azzal, hogy amit beírsz, azt tárolhatják. A hivatalos alkalmazásokat használd, ne harmadik féltől származó „AI chat” weboldalakat, amelyek megőrizhetik vagy továbbértékesíthetik a beírtakat.

Ha olyan MI-ügynököt használsz, amely olvassa az e-mailjeidet vagy böngészik helyetted

Egy e-mailben, dokumentumban vagy weboldalon lévő szöveg tartalmazhat az MI-nek címzett utasításokat („továbbítsd ezt…”, „telepítsd ezt…”). Egy jó ügynök megkérdez, mielőtt cselekszik; soha ne hagyj jóvá olyan műveletet, amelyet nem te kértél, bármilyen ésszerűnek is állítja be az MI.

MI-vel támogatott csalások ellened

A csaló üzeneteken már nem látszik a rossz helyesírás — az MI hibátlanul írja meg őket, a feladó stílusában. Egy üzenetet arról ítélj meg, mit kér, ne arról, hogyan van megfogalmazva.
Hangklónozás: egy hívás, amely pontosan úgy hangzik, mint egy családtag vagy vezető, bánatában, pénzt vagy kódot kér. Néhány másodpercnyi hang egy videóból elég a hamisításhoz. Tedd le, és hívd vissza azon a számon, ami már megvan neked. Érdemes a családon belül megbeszélni egy „biztonsági szót” vészhelyzetre.
A videóhívások is hamisíthatók. Ha valaki egy hívásban pénzt, utalást vagy belépési adatokat kér, ellenőrizd másik csatornán, mielőtt bármit tennél.
Az útmutató elején szereplő szabály mindezt lefedi: egy valódi kérés túléli a visszahívást.

A böngésződ

Nyomtasd ki a tartalék kódjaidat

Zárold az eszközeidet – telefon és számítógép

Minden fenti lépés attól véd, aki a földgolyó másik oldalán ül. Ez viszont valami sokkal hétköznapibbtől: egy széken hagyott táskától, egy kávézóasztalról lekapó telefontól, egy autóból elvitt laptoptól. Egy zárolatlan eszköz átadja az e-mail-fiókodat, az e-mail-fiók pedig a főkulcs mindenhez — így egy kétperces lopásból teljes fiókátvétel lesz. Mégis sokaknak egyáltalán nincs kódzárja, vagy van a telefonon, de a laptopon nincs semmi.

Három dolgot kell bekapcsolni, minden eszközödön.

1. Képernyőzár, rendes kóddal

Az ujjlenyomat vagy arcfelismerés a kényelemért van, de a mögötte lévő kód az, ami tényleg tart — ezért legyen legalább hatjegyű, ne négy, és ne születési dátum vagy ismétlődő számjegy.

iPhone: Beállítások → Face ID és kód → Kód bekapcsolása → Kódbeállítások → Egyéni numerikus kód.
Android: Beállítások → Biztonság és adatvédelem → Eszközfeloldás → Képernyőzár → PIN vagy jelszó.
Windows: Beállítások → Fiókok → Bejelentkezési lehetőségek → állítsd be a Windows Hellót (arc, ujjlenyomat vagy PIN), és a „További beállítások” alatt állítsd az újra bejelentkezést alvó állapotból való ébredéskorra.
Mac: Rendszerbeállítások → Zárolási képernyő → a „Jelszó kérése a képernyőkímélő indítása után” legyen Azonnal, a képernyőkímélőnek pedig adj rövid késleltetést. A napi használathoz Touch ID, de a fiókjelszó is számít — legyen erős.

2. Lemeztitkosítás — erről feledkeznek meg a legtöbben

A képernyőzár önmagában nem akadályozza meg, hogy valaki kiszedje a laptopból a meghajtót, és közvetlenül kiolvassa a fájlokat. A titkosítás igen. Mind a négy rendszerben be van építve és ingyenes, és ha egyszer bekapcsolod, soha többé nem veszed észre.

Windows: Beállítások → Adatvédelem és biztonság → Eszköztitkosítás (Home változat) vagy BitLocker (Pro). Mentsd el a helyreállítási kulcsot oda, ahol megtalálod — a jelszókezelődbe és a papíralapú mappádba.
Mac: Rendszerbeállítások → Adatvédelem és biztonság → FileVault → Bekapcsolás. Őrizd meg a helyreállítási kulcsot.
iPhone és Android: alapértelmezésben titkosított — de csak akkor, ha van beállított kódzár. Ez a másik ok, amiért a fenti 1. pont számít.

3. Eszközkeresés, hogy távolról zárolhasd vagy törölhesd

Ezt azelőtt állítsd be, hogy bármi eltűnne; utólag nem lehet bekapcsolni.

iPhone/iPad/Mac: Beállítások → a neved → Keresőap → kapcsold be az iPhone keresését, valamint a Kereső hálózatot és az Utolsó helyzet küldését. Megkeresés, zárolás vagy törlés innen: icloud.com/find. ▸ Apple: Ha elveszett vagy ellopták az eszközödet
Android: a Google megfelelője a Find Hub (korábban Eszközkereső), és minden Android telefonban benne van. Ellenőrizd: Beállítások → Google → Összes szolgáltatás → Find Hub. Megkeresés, csörgetés, zárolás vagy törlés innen: google.com/android/find. ▸ Google: Elveszett Android eszköz megkeresése, zárolása vagy törlése. Két további dolog, amit érdemes bekapcsolni (Beállítások → Biztonság és adatvédelem → Lopás elleni védelem): Theft Detection Lock, amely automatikusan zárolja a képernyőt, ha a telefon észleli, hogy kikapták a kezedből, és Remote Lock, amellyel pusztán a telefonszámoddal zárolhatod a készüléket, ha hirtelen nem férsz hozzá a Google-fiókodhoz.
Windows: Beállítások → Adatvédelem és biztonság → Eszköz megkeresése → Be. Utána: account.microsoft.com/devices.

És ha egy eszköz tényleg eltűnik: azonnal jelöld elveszettnek vagy töröld távolról, majd változtasd meg az e-mail-jelszavadat egy másik eszközről, és jelentkezz ki minden munkamenetből (4. lépés) — ebben a sorrendben. Ha a telefon volt a kétlépcsős azonosításod, most jönnek jól a kinyomtatott tartalék kódok.

Telefonbeállítások, amelyeket érdemes bekapcsolni (iPhone)

3. rész — Ha pénzzel, tagi adatokkal vagy adminisztrációval dolgozol

Pénztárosok, a weboldalunk / levéllisztánk / fizetési eszközeink / közösségi oldalaink adminisztrátorai, és bárki, aki hozzáfér a taglistákhoz: kérjük, előbb az 1. és 2. részt végezd el, aztán ezeket.

Az adminisztrátori ellenőrzőlista

Figyelmeztető jelek — és mi a teendő

Szólj nekünk, ha azt veszed észre, hogy:

Egy ismerősöd azt mondja, furcsa üzenetet kapott „tőled”, amit nem te küldtél.
Bejelentkezési értesítést vagy jelszóváltozásról szóló levelet kapsz olyasmiről, amit nem te csináltál.
A telefonod hirtelen elveszíti a térerőt, vagy azt írja: „Nincs SIM”.
Banki vagy kártyaterhelést látsz, amit nem ismersz fel — bármilyen kicsi is.
Rájössz, hogy telepítettél valamit egy üzenetben kapott linkről — még akkor is, ha semmi nem tűnik rendellenesnek.
Egy eszköz hirtelen felforrósodik, szokatlanul gyorsan merül, vagy olyan alkalmazásokat, profilokat vagy beállításokat mutat, amelyeket nem emlékszel, hogy hozzáadtál volna.

Nem sürgős / kérdésed van: írj a digitalsafety@mandalaoflight.org címre.

Sürgős — úgy gondolod, valaki éppen most van bent a fiókjaidban: hívj fel vagy Signalon írj egy vezetőnek, akit személyesen ismersz, ahelyett, hogy e-mailt küldenél, mert az e-mailedet figyelhetik. Ha pénzről van szó, először hívd a bankod csalásbejelentő vonalát — a nap 24 órájában elérhető, és számít az idő.

Mielőtt bármit megváltoztatnál: készíts képernyőképeket arról, amit láttál. Utána segítünk végigmenni rajta a megfelelő sorrendben. Az A) függelék pontosan ez a sorrend leírva, ha inkább azonnal kezdeni szeretnél.

Hivatalos bejelentési helyek Magyarországon: rendőrség — 112, vagy online a rendorseg.hu oldalon; Nemzeti Kibervédelmi Intézet (nki.gov.hu) kiberbiztonsági incidensekhez. Bankkártyás visszaélésnél mindig előbb a bankodat hívd.

Az Egyesült Államokban: reportfraud.ftc.gov · identitytheft.gov (ha a személyazonosságodat használták fel) · ic3.gov (FBI, ha pénz veszett el)

Gyors válaszok gyakori kérdésekre

„Nem vagyok technikai beállítottságú – hol kezdjem?”

„Nincs Face ID vagy ujjlenyomat a számítógépemen.”

„Nem egyetlen sérülékeny pont a jelszókezelő?”

„Tényleg elég az ingyenes vírusirtó?”

„Tényleg foglalkoznom kell a hiteladataimmal?”

„Androidot használok.”

„Ha a passkeyt is el lehet lopni, mi értelme?”

„Nem akarom frissíteni a Macemet, mert elrontja a programjaimat.”

„Nagyon régi a Windowsom / még Windows 7-et vagy 8-at használok.”

Függelékek

Részletesebb háttér három olyan témához, amelyre az útmutató végig hivatkozik.

A) függelék – Ha azt gyanítod, hogy egy eszközöd feltörték

Haladj végig ezen sorrendben. A legrosszabb esetre íródott; ha nem vagy biztos benne, mennyire súlyos a helyzet, akárhogy is csináld végig — semmi nem árt benne.

1. Válaszd le az eszközt az internetről. Kapcsold ki a Wi-Fit, és húzd ki a hálózati kábelt. Az eszközt hagyd bekapcsolva — még ne törölj semmit.

2. Minden további lépéshez használj másik eszközt. Egy telefont, a párod laptopját, egy könyvtári gépet. A gyanús gépről ne jelentkezz be sehová, még azt „ellenőrizni” sem, hogy rendben van-e egy fiók.

3. Fogadd el, hogy az eltávolítás lehet, hogy nem elég. Ennek áll ellen a legtöbb ember, és ez a függelék legfontosabb mondata. A kártévőket kifejezetten úgy írják, hogy túléljék a felfedezést: elrejtőznek a víruskeresők elől, törlés után újratelepítik magukat, és olyan helyekre is be tudnak épülni, ahová egy szokásos vizsgálat sosem néz. Ha egy víruskereső azt írja, „eltávolítva, minden tiszta”, azt mondja el, amit lát — nem azt, ami ott van.

Tehát: ha a fertőzés kicsi és nyilvánvaló volt (egy reklámbővítmény, egy csomagolt eszköztár), az eltávolítás és egy második tiszta vizsgálat ésszerű megállópont. De ha az alábbiak bármelyike igaz, akkor az egyetlen őszinte válasz a teljes visszaállítás — az operációs rendszer tiszta újratelepítése:

Üzenetben kapott linkről telepítettél valamit, vagy hagytad, hogy egy „ügyfélszolgálatos” rácsatlakozzon a gépedre.
A vizsgálat olyasmit talált, amit trojánnak, kémprogramnak, adatlopónak, rootkitnek vagy távoli elérést nyújtó eszköznek nevezett.
Pénz mozdult, vagy egy fiókodból másoknak üzentek.
A probléma az eltávolítás után visszatért.
Egyszerűen nem tudsz szabadulni az érzéstől, hogy valami nincs rendben.

A visszaállítás valóban fárasztó és valóban meggyőző. Semmi más nem meggyőző.

4. Csak a dokumentumokat mentsd — aztán állítsd vissza. Másold át a fájljaidat (fényképek, dokumentumok, táblázatok) külső meghajtóra vagy felhőbe. Ne ments alkalmazásokat, telepítőket vagy rendszerbeállításokat, és ne állíts vissza olyan rendszermentésből, amely a fertőzés kezdete után készült — azzal egyenesen visszatennéd a kártévőt. Amikor a gép tiszta, vizsgáld át a fájlokat, mielőtt megnyitnád őket.

Windows: Beállítások → Rendszer → Helyreállítás → A gép alaphelyzetbe állítása → Minden eltávolítása → Felhőalapú letöltés.
Mac: Rendszerbeállítások → Általános → Átvitel vagy visszaállítás → Teljes tartalom és beállítások törlése.
iPhone: Beállítások → Általános → iPhone átvitele vagy visszaállítása → Teljes tartalom és beállítások törlése.
Android: Beállítások → Rendszer → Visszaállítási lehetőségek → Összes adat törlése (gyári visszaállítás).

5. Változtass meg minden jelszót — a tiszta eszközről, ebben a sorrendben. Mindig az e-maillel kezdd: aki az e-mailedet birtokolja, minden mást vissza tud állítani. Aztán jön a bank és minden, ahol pénz van. Utána minden más, aszerint haladva, mekkora kárt okozhat. Hagyd, hogy a jelszókezelőd hozza létre az újakat, és soha ne használj újra régit.

Kiemelten figyelj minden fiókra, amely felbukkant egy adatszivárgásban — ellenőrizd a címeidet a haveibeenpwned.com oldalon —, és minden olyanra, ahol ugyanazt a jelszót használtad, mint máshol. Ezekkel fog először próbálkozni egy támadó.

6. Kapcsold be a kétlépcsős azonosítást minden fiókon, ahogy a jelszavát cseréled. Ez az a lépés, amely tényleg kint tartja őket. Egy új jelszó önmagában csak addig segít, amíg legközelebb el nem lopják; a kétlépcsős azonosítás azt jelenti, hogy a jelszó önmagában soha nem elég. Ahol lehet, hitelesítő alkalmazást használj SMS helyett (3. lépés), és amikor már ott vagy az egyes biztonsági oldalakon, nézd meg a helyreállítási lehetőségeket is — értelmetlen megerősíteni a bejárati ajtót, ha a pótkulcs ott marad a lábtörlő alatt.

7. Zárd le az összes létező munkamenetet. A jelszócserе nem mindig lépteti ki a behatolókat. Minden fontos fióknál használd a „kijelentkezés minden eszközről” lehetőséget (4. lépés), és töröld a sütiket a böngészőidben — a sütik maguk a bejelentkezett munkamenetek, így a törlésükkel egyszerre mind megszűnik. Utána újra be kell jelentkezned; ez így van rendjén.

8. Keresd meg azt, ami túléli a jelszócserét. Egy behatoló első lépése általában az, hogy hagy magának egy visszautat, amelyet az új jelszó nem érint:

E-mail-továbbítási szabályok és szűrők (Gmail → ⚙ → Összes beállítás → Továbbítás és POP/IMAP, valamint Szűrők és tiltott címek).
Helyreállítási telefonszámok és e-mail-címek, amelyek nem a tiéid.
Kapcsolt alkalmazások fiókhozzáféréssel (myaccount.google.com/connections és a megfelelői).
Alkalmazás- vagy eszközjelszavak, amelyeket ismeretlen eszközöknek adtak ki.
Telefonon: ismeretlen konfigurációs profilok és VPN-ek (az 1. lépés iPhone-ellenőrzései; Androidon: Beállítások → Biztonság és adatvédelem → További biztonsági beállítások → Eszközadminisztrátor-alkalmazások).

9. Védd meg a pénzt. Hívd a bankod csalásbejelentő vonalát — a kártyád hátulján szereplő számot, ne azt, amelyik egy üzenetben érkezett. Nézd át a legutóbbi tranzakciókat, a kicsiket is (a csalók gyakran egy apró összeggel tesztelnek először). Ha még nem tetted, ellenőrizd a hiteladataidat (7. lépés).

10. Szólj másoknak, és jelentsd. Figyelmeztess mindenkit, aki „tőled” kaphat üzenetet — más csatornán, mint amelyiket feltörték. Írj a digitalsafety@mandalaoflight.org címre, hogy figyelmeztethessük a közösséget a mintázatra. Jelentsd a rendőrségen, illetve az nki.gov.hu oldalon.

Egy dolog, amit ne tegyél: ne reméld csendben, hogy semmiség volt. A túlreagálás ára egy elvesztegetett délután. Az alulreagálásé az, hogy valaki a következő fél évben olvassa az e-mailjeidet.

B) függelék – Miért az SMS-kód a leggyengébb láncszem

Az SMS-alapú kétlépcsős azonosítás sokkal jobb, mint a semmi, és feltétlenül kapcsold be ott, ahol ez az egyetlen lehetőség. De ez az egyetlen módszer, amelyet úgy lehet legyőzni, hogy a jelszavadhoz hozzá sem érnek — ezért terel ez az útmutató folyamatosan a hitelesítő alkalmazás vagy a passkey felé. Három út van, és érdemes felismerni őket.

1. SIM-csere. Valaki felhívja a szolgáltatódat a te nevedben — a közösségi médiából összegyűjtött vagy adatszivárgásból vásárolt adatokkal felszerelkezve —, és kéri, hogy a számodat vigyék át egy általa birtokolt SIM-kártyára. Elég gyakran sikerül ahhoz, hogy iparággá váljon. Attól a pillanattól a kódjaid az ő telefonján csörrennek, nem a tiéden. Az árulkodó jel: a telefonod hirtelen, ok nélkül elveszíti a térerőt, vagy azt írja: „Nincs SIM”. Kezeld vészhelyzetként, ne üzemzavarként — hívd azonnal a szolgáltatódat egy másik telefonról. A védekezés: a 6. lépés — ügyfélazonosító és számhordozási zár, amely olyan akadályt állít, amelyen egy telefonhívás nem tud átbeszélni.

2. Üzenettükrözés. Egy alkalmazás a telefonodon, amelynek engedélye van az értesítések vagy az SMS-ek olvasására, csendben továbbküldi az üzeneteidet máshová. Ez rendszerint egy „segítőkész” alkalmazással érkezik, amit telepítettél, vagy azon a funkción keresztül, amely engedélyezi, hogy az üzenetek tábleten vagy számítógépen is megjelenjenek — egy támadó, akinél rövid ideig ott van a feloldott telefonod, másodpercek alatt párosítja a saját eszközét. A védekezés: nézd át, mely alkalmazásoknak van SMS- és értesítés-hozzáférése (Android: Beállítások → Alkalmazások → Speciális alkalmazás-hozzáférés → Értesítés-hozzáférés), ellenőrizd a párosított eszközök listáját az üzenetküldőidben, és zárold rendesen a telefonodat („Zárold az eszközeidet”, 2. rész).

3. Hálózati szintű lehallgatás. Azokat a jelzésátviteli protokollokat, amelyeken a globális telefonhálózat működik, évtizedekkel ezelőtt tervezték, amikor csak néhány megbízható szolgáltató fért hozzájuk, és gyakorlatilag semmilyen hitelesítés nincs bennük. A hozzáférés ma már megvásárolható. Az SMS-ek ezen felül titkosítatlanul haladnak át a szolgáltató rendszerein, vagyis egy elszánt támadó elvileg el tudja olvasni vagy át tudja irányítani őket anélkül, hogy hozzád vagy a telefonodhoz közel kerülne. Ez a háromból a legritkább, és ez ellen tehetsz a legkevesebbet — épp ezért a válasz az, hogy semmi értékeshez ne támaszkodj SMS-re.

És a rés, amelyet szinte mindenki nyitva hagy: mindent jól csinálhatsz a bejelentkezésnél — hitelesítő alkalmazás, passkey, minden —, és a fiók még mindig elfogad egy SMS-t a helyreállításhoz. A támadók ezt tudják, és egyenesen oda mennek. Amikor kétlépcsős azonosítást állítasz be, nyisd meg ugyanazt a biztonsági oldalt, és nézd meg, mi szerepel a helyreállítás, tartalék módszerek vagy fiók-helyreállítás alatt, és vedd ki onnan az SMS-t, ha az oldal engedi. A kinyomtatott tartalék kódok (2. rész) a helyettesítője.

Egy mondatban: használj hitelesítő alkalmazást vagy passkeyt, ahol elérhető; SMS-t csak ott tarts meg, ahol nincs más; zárold a számodat a szolgáltatónál (6. lépés); és ellenőrizd a helyreállítási lehetőségeidet, ne csak a bejelentkezésedet.

C) függelék – Mi ellen véd a passkey, és mi ellen nem

A passkey a legjobb bejelentkezési technológia, ami a felhasználók rendelkezésére áll, és ez az útmutató ajánlja is. Ugyanakkor gyakran úgy hirdetik, hogy „adathalász-biztos” és „lehetetlen ellopni” — ez nem egészen igaz. Érdemes tudni, hogy egy ezzel ellentétes cím ne vegye el a kedvedet valami valóban jótól.

Mi a passkey valójában: egy közös titok begépelése helyett az eszközöd őriz egy privát kulcsot, és bizonyítékot ad az oldalnak arról, hogy nála van. A kulcs soha nem hagyja el az eszközödet, soha nem kerül továbbításra, és a valódi oldal címéhez van kötve.

Amit megbízhatóan elhárít:

Adathalászat. Ez a lényeg. Egy hamis bejelentkező oldal nem tudja használni a passkeyedet, mert a passkey egyszerűen nem ajánlja fel magát rossz címen. Semennyi meggyőző kinézet nem segít rajta. Az emberek túlnyomó többsége éppen adathalászat miatt veszíti el a fiókjait, így már ezért is megéri a váltás.
Jelszó-újrahasználat és adatszivárgás. Nincs jelszó az oldal szerverein, ami kiszivároghatna.
Kód-lehallgatás. Nem utazik kód sehová, így nincs mit elfogni vagy SIM-cserével megszerezni.

Amit nem hárít el:

Az eszközödön már ott lévő kártévőt. Kutatók bemutattak olyan támadásokat — a szinkronizált passkeyek elleni „pass-ta-key” a legismertebb példa —, amelyekben egy már irányított gépen futó szoftver úgy manipulálja a passkey-folyamatot, hogy a támadó saját kulcsát regisztrálja, vagy elkapja a bejelentkezést. Az előfeltétel a kártévő az eszközön. Ezért az „ellenőrizd a számítógépedet” az útmutató 1. lépése, nem a 8.
▸ Malwarebytes (angolul)
▸ Forbes (angolul)
A feloldott eszközhöz való fizikai hozzáférést. A passkeyed az arcoddal, ujjlenyomatoddal vagy az eszköz PIN-kódjával oldódik fel — vagyis aki a feloldott telefonodat tartja a kezében, gyakorlatilag a passkeyedet tartja. A 2. rész eszközzárolási szakasza a válasz erre.
A fiók-helyreállítást. Ha az oldal enged SMS-sel helyreállítani a fiókot, akkor már nem a passkey a leggyengébb láncszem, hanem a helyreállítási útvonal. Lásd a B) függeléket.
Azt, hogy rábeszélnek valamire. Semmilyen bejelentkezési technológia nem akadályozza meg, hogy önként utalj pénzt egy csalónak. Erre az útmutató elején lévő szabály való.

Az ésszerű következtetés: használj passkeyt ott, ahol elérhető, tarts meg egy hitelesítő alkalmazást ahhoz a sok oldalhoz, amely még nem kínálja, tartsd tisztán és zárolva az eszközeidet, és ellenőrizd a helyreállítási lehetőségeidet. A passkey áthelyezi a támadót onnan, hogy „küldj egy meggyőző e-mailt” — ami olcsó, jól skálázható, és amiért szinte mindenki lépre megy — oda, hogy „juttass kártévőt pont annak az embernek az eszközére, vagy lopd el feloldott állapotban”. Ez nagyon nagy javítás. Csak nem védőpajzs.

Továbblépnél?

Az útmutatóban szereplő videók közül három az All Things Secured csatornáról való, amelyet közérthető biztonsági tanácsai miatt szeretünk. Még kettő tőle annak, aki tovább menne (mind angol nyelvű):

🎥 7 Cybersecurity Tips Nobody Tells You — jó hétköznapi szokások, körülbelül 10 perc.
🎥 12 Privacy & Security Tools I Use Every Day — a teljes eszköztára; több elem pont az, amit ez az útmutató is ajánl (1Password, Signal, személyazonosság-figyelés), a többi opcionális extra. A videó leírásában szereplő linkek affiliáte linkek.
A csatornája: youtube.com/@AllThingsSecured

Köszönjük, hogy időt szántál rá. Mindenki, aki elvégzi az 1. részt, megnehezíti, hogy egy csaló elérje a többieket is — mert ezek a támadások megbízható ismerősökön keresztül terjednek.

Kérdésed van? digitalsafety@mandalaoflight.org

Read this guide in English →