Hamis csomagértesítő és banki SMS: így ismerd fel, és ezt tedd, ha már kattintottál

A legtöbb csaló üzenet ugyanarra épül: sürget, egy linkre küld, és a végén kártyaadatot, banki jelszót vagy egy SMS-ben kapott kódot kér. A Magyar Posta SMS-ben csak a nemzetközi küldemények vámkezelési díja miatt kér fizetést, a bank pedig soha nem kéri el telefonon a PIN-kódot, a CVV-t vagy a netbanki jelszót. Ha már megadtál valamit, azonnal hívd a bankodat a saját, ismert számán, tiltasd le a kártyát, és tegyél feljelentést. Az alábbiakban a 2026. novemberi állapot szerint nézzük végig a gyakori mintákat és a teendőket.

Hamis csomagértesítő: miről ismered fel?

A minta szinte mindig ugyanaz. Jön egy rövid üzenet, hogy a csomagod nem kézbesíthető, mert hiányzik vagy hibás a cím, esetleg vámot vagy kis összegű díjat kell fizetni. A link egy olyan oldalra visz, amely a posta vagy egy futárcég logóját és színeit használja. Először csak a címedet kéri, aztán a kártyaadatokat. A Nemzeti Kiberbiztonsági Intézet (NKI) 2025 júniusában pont egy ilyen, a Magyar Posta nevével visszaélő hullámra figyelmeztetett, amelyben a hamis oldal a szállítási cím mellett bankszámla-információkat is kért.

Az NKI szerint az ilyen üzenetek egy része már nem hagyományos SMS-ként, hanem végponttól végpontig titkosított RCS-üzenetként érkezik. Ezek tartalmát a szolgáltató szűrője nem látja, ezért az sem jelent biztonságot, ha az üzenet nem került a spam közé.

A Magyar Posta tájékoztatója alapján így választhatod szét a valódit és a hamisat:

Egy friss ürügyre is számíts. Az Európai Unió 2026. november 1-jétől kezelési díjat vezetett be a nem uniós webáruházakból rendelt csomagokra: a posta szerint ez 2 eurónak megfelelő forintösszeg, amelyet a vám-árunyilatkozat tételsorai után számítanak fel. A valódi díjat a posta szedi be a címzettől, a hivatalos csatornán. Ha „uniós díj” címén valaki egy ismeretlen oldalon kér kártyaadatot, az csalás.

A legegyszerűbb ellenőrzés: ne a linkre kattints, hanem nyisd meg magad a posta vagy a futárcég oldalát, és ott írd be a nyomkövetési számot.

Banki SMS és hívás: ezeket a bank soha nem kéri

Az MNB leírása szerint a csalók gyakran hamisítják a hívószámot. A kijelzőn a bankod valódi száma jelenik meg, a vonal túlsó végén mégis csaló van. A hívószám tehát semmit nem bizonyít. A szokásos történetek:

• „Gyanús tranzakciót látunk a számláján, segítünk leállítani.”
• „Fertőzött a telefonja, telepítse ezt az alkalmazást.” Ez valójában távoli hozzáférést ad a készülékedhez.
• „Mondja be az SMS-ben kapott kódot az azonosításhoz.” Ez a kód a csaló által indított utalást vagy kártyaregisztrációt hagyja jóvá.

A bank munkatársa sosem kéri a PIN-kódot, a CVV-kódot, az online banki jelszót vagy a második hitelesítési kódot. Ha egy hívás ezek közül bármelyikre kitér, tedd le, és hívd vissza a bankot azon a számon, amelyet a kártyád hátoldalán vagy a bank saját honlapján találsz, ne azon, amelyet a hívó mond. Az SMS-ben kapott hivatkozásra pedig akkor se kattints, ha ismerős számról jött: az MNB szerint ez sem garancia.

Minél sürgetőbb egy üzenet vagy hívás, annál gyanúsabb. A valódi bank kibírja, hogy leteszed és visszahívod.

QR-kódos csalás: matrica a parkolóautomatán

A QR-kód csak egy link, amelyet nem látsz, amíg be nem olvasod. A csalók ezt használják ki: a parkolóautomatákra és plakátokra saját kódot ragasztanak az eredeti fölé. A KiberPajzs 2025 márciusában parkolóautomatákra ragasztott hamis kódokra figyelmeztetett, amelyek kártyaadatot kérő oldalra vittek.

Mielőtt fizetnél egy beolvasott kóddal:

1. Nézd meg a kódot. Ha matricának tűnik, ami egy másik kódra van ragasztva, ne használd.
2. Nézd meg a linket, mielőtt megnyitod. A QR-kód olvasó megmutatja a kód tartalmát, és csak utána döntesz, hogy megnyitod-e. Ha képernyőképed vagy fotód van a kódról, azt is feltöltheted.
3. Ellenőrizd a domaint. A parkolási vagy szolgáltatói oldal címe egyezzen a szolgáltató ismert címével.
4. Fizess inkább az automata saját felületén vagy a szolgáltató hivatalos alkalmazásában, kétség esetén hívd fel az automatán feltüntetett számot.

Az NKI arra is figyelmeztet, hogy a banki QR-kódos fizetésnél megjelenő kedvezményezettnév és számlaszám összetartozását a bank nem ellenőrzi. Egy ismerős cégnév tehát nem bizonyítja, hogy jó helyre utalsz.

Ha már kattintottál vagy megadtad a kártyaadatot

Itt a percek számítanak. A sorrend az MNB és a KiberPajzs ajánlásai alapján:

1. Hívd a bankodat azonnal, a saját, ismert számán, és jelezd a csalás gyanúját. A legtöbb banki alkalmazásban a kártyát magad is felfüggesztheted vagy letilthatod; ha a netbanki belépési adataid is kiszivárogtak, a hozzáférést is tiltasd le.
2. Nézd át a számlatörténetet. Írd fel, melyik tranzakció a tiéd és melyik nem.
3. Ellenőrizd a banknál rögzített telefonszámot és e-mail-címet. A csalók ezeket átírhatják, hogy az értesítések hozzájuk menjenek.
4. Törölj minden távoli elérést adó programot, amelyet valaki kérésére telepítettél, és futtass vírusellenőrzést.
5. Cseréld le a jelszavakat egy tiszta, nem érintett eszközről. Új jelszót a jelszógenerátorral készíthetsz, a jó jelszó szabályairól az erős jelszóról szóló útmutatóban írtunk.
6. Tegyél feljelentést a rendőrségen, akkor is, ha végül nem ért kár. Vidd magaddal a bizonyítékokat: képernyőképet az üzenetről, a hívásnaplót, a banki értesítéseket.

Ha csak kattintottál, de adatot nem adtál meg, az NKI a készülék teljes körű vírusellenőrzését javasolja. Ha a link alkalmazást telepített, vagy nem vagy biztos benne, mi történt, kérj informatikus segítséget, és a banki alkalmazást addig ne használd azon a telefonon.

Óvakodj a második körtől is: aki a csalás után felajánlja, hogy díj fejében visszaszerzi a pénzed, az az MNB szerint gyakran újabb csaló.

Kit hívj? Telefonszámok egy helyen

A bankot ne a gyanús üzenetben vagy hívásban kapott számon hívd. Ha nem találod a számot, a bank hivatalos honlapját a böngészőbe magad írd be, ne keresési hirdetésből nyisd meg.

Gyakori kérdések

Küld a Magyar Posta SMS-t fizetési linkkel?

Csak nemzetközi küldemény vámkezelési díja miatt, és ilyenkor az online fizetésre az értesítéstől számítva 48 óra van. Belföldi csomagra, címegyeztetésre vagy újrakézbesítésre SMS-ben nem kér pénzt.

Ha a bank száma jelenik meg a kijelzőn, akkor biztosan a bank hív?

Nem. A hívószám hamisítható. Tedd le, és hívd vissza a bankot a saját, ismert számán.

Rákattintottam a linkre, de semmit nem adtam meg. Mi a teendő?

Zárd be az oldalt, ne telepíts semmit, és futtass teljes vírusellenőrzést a készüléken. Ha bármilyen alkalmazás települt, kérj segítséget, és szólj a bankodnak.

Mit kérhet a bank telefonon?

Azonosíthat, de PIN-kódot, CVV-kódot, netbanki jelszót vagy SMS-ben kapott jóváhagyó kódot soha nem kér. Ha egy hívó alkalmazás telepítését vagy pénz átutalását kéri, azt az MNB szerint soha ne teljesítsd.

Hogyan nézhetem meg, hová visz egy QR-kód?

Olvasd be egy olyan olvasóval, amely előbb kiírja a linket, például a QR-kód olvasóval, és csak akkor nyisd meg, ha a domain egyezik a szolgáltató ismert címével.