A Wallapopon vagy a Vinteden árulok, és a „vevő" az adataimat kéri vagy linket küld

Feltöltesz a Wallapopra, a Vintedre vagy a Milanunciosra (Spanyolországban népszerű használtcikk-piacterek; ugyanez a csalás fut a Jófogáson, a Facebook Marketplace-en és hasonló oldalakon mindenhol) valamit, amit már nem használsz, és pár percen belül jelentkezik egy lelkes vevő. Nem alkudozik, semmit nem kérdez a termékről, és nagyon siet. Elkéri a WhatsAppodat vagy az e-mail-címedet, „mert úgy gyorsabb", majd nem sokkal később küld egy linket: „Már fizettem, itt veheted át a pénzt" vagy „Lefoglaltam a futárt, erősítsd meg az adataidat, hogy jöhessen". Ha megnyitod, a platforméval megegyező oldalt látsz, amely a kártyaszámodat, a lejárati dátumot és a CVV-kódot kéri. Ez nem neked szóló fizetés: ez lopás. És a szabály, amely az egészet leleplezi, egyszerű: pénz fogadásához soha nem kell megadnod a kártyaadataidat vagy bármilyen kódot.

Hogyan működik az álvevős csalás?

Több változata van, de szinte mindig ugyanazokat a lépéseket követi:

• Kicsalogat a platformról. Az első lépés, hogy a beszélgetést WhatsAppra, SMS-re, Telegramra vagy e-mailre viszi. A hivatalos csevegőn kívül a platform nem tudja észlelni a csalást és megvédeni téged, a csaló pedig szűrés nélkül küldhet linkeket.
• Hamis linket küld. Az oldal a Wallapop, a Vinted, a Milanuncios, a posta vagy egy futárcég arculatát másolja. Azt írja, hogy a fizetés „visszatartva" vagy „megerősítésre vár", és a feloldásához meg kell adnod a kártyádat. Ezekkel az adatokkal a nevedben vásárolnak vagy terhelnek.
• Kódokat kér. A kártya megadása után SMS-t kapsz a bankodtól egy tranzakció jóváhagyásához szükséges kóddal. A hamis oldal elkéri, „hogy ellenőrizze, te vagy-e a kártyabirtokos". Ez a kód az aláírásod: vele fizetést hagysz jóvá, nem jóváírást.
• A Bizum-változat. Ahelyett, hogy pénzt küldenének, Bizum-fizetési kérelmet küldenek (a Bizum a spanyol mobilos fizetési rendszer; más országokban is vannak hasonló alkalmazások), és azt mondják, fogadd el, hogy megkapd a pénzt. Ha elfogadod, te fizetsz.
• A „túlfizetéses" változat. Azt állítják, véletlenül többet fizettek (vagy „a szállítónak"), és megkérnek, hogy utald vissza a különbözetet. Az eredeti fizetés soha nem létezett.

A közös bennük a nyomásgyakorlás: a vevő „elutazik", „ma jön a futár" vagy „a fizetés 30 perc múlva lejár". A sietség arra való, hogy ne állj meg gondolkodni.

Honnan tudom, hogy a vevő hamis?

Egyetlen jel sem bizonyíték, de több együtt elég megbízható diagnózis:

1. Már az elején WhatsAppon, SMS-ben vagy e-mailben akarja folytatni, világos ok nélkül.
2. Semmit nem kérdez a termékről, és nem alkudozik. Mindegy neki, mit vesz.
3. Linket küld a pénz fogadásához. A platformok a saját alkalmazásukban intézik a fizetést és a szállítást; a pénzt nem egy külső weboldalon kell „átvenni".
4. A domain nem a hivatalos. Kötőjeles címek, hozzáadott szavak („biztonsagos-fizetes", „szallitas-megerosites") vagy furcsa végződések. Nézd meg nyugodtan, ne csak egy pillantással.
5. A kártyádat, a CVV-t, a PIN-kódot vagy SMS-kódokat kér. Pénz fogadásához legfeljebb a számlaszámodra (IBAN) van szükség, és az is csak akkor, ha a platformon kívül adsz el. Soha a CVV-re vagy kódra.
6. Új profil vagy értékelések nélküli fiók, gyakran általános névvel és fotó nélkül.
7. Sürgetés és logisztikai kifogások: egy rokon veszi át a csomagot, „magán" futár, külföldre szállítás.

Mit tegyek most azonnal?

1. Ne nyisd meg a linket, és ne adj meg semmilyen adatot. Ha már megnyitottad, de nem írtál be semmit, zárd be; a puszta megnyitás általában nem okoz kárt.
2. Térj vissza a platform hivatalos csevegőjébe. Ha a vevő valódi, beleegyezik, hogy a beépített fizetési és szállítási rendszeren keresztül vásároljon. Ha nem, megvan a válasz.
3. A fizetéseket csak az alkalmazásban vagy a netbankban ellenőrizd, ahová te magad lépsz be a hivatalos alkalmazáson keresztül, soha nem egy kapott linkről.
4. Őrizd meg a bizonyítékokat: képernyőképek a csevegésről, a telefonszám vagy profil, a link (másold ki szövegként, megnyitás nélkül) és a dátum.
5. Tiltsd le és jelentsd a profilt a platformon, a számot pedig a WhatsAppban vagy a telefonodon. Így a platform eltávolíthatja a fiókot, mielőtt más eladókkal is próbálkozna.

És ha már megadtam az adataimat vagy egy kódot?

Ne hibáztasd magad: ezek az oldalak nagyon jól el vannak készítve. A gyorsaság a lényeg:

1. Azonnal hívd fel a bankodat a kártya hátoldalán vagy a hivatalos alkalmazásban szereplő számon. Kérd a kártya letiltását és a legutóbbi tranzakciók átnézését.
2. Jelentsd az ismeretlen terheléseket jogosulatlan tranzakcióként, és kérd a visszatérítésüket. Minél hamarabb teszed, annál nagyobb az esélyed. Erről itt írunk: hogyan szerezd vissza a pénzed egy telefonos csalás után.
3. Ha elfogadtál egy Bizum-kérelmet (vagy kérelmet egy hasonló fizetési alkalmazásban), értesítsd a bankot is: a Bizum rajta keresztül működik. Bővebben: a Bizum-csalás.
4. Változtasd meg a jelszavaidat a platformfiókodban és az e-mailedben, és kapcsold be a kétlépcsős azonosítást.
5. Ha megosztottál egy WhatsApp-kódot, valaki megpróbálhatja átvenni a fiókodat: nyisd meg a WhatsAppot, kapcsold be a kétlépcsős ellenőrzést, és figyelmeztesd az ismerőseidet, hogy ne foglalkozzanak a pénzkérésekkel.
6. Figyeld a számláidat a következő hetekben. Az adataidat felhasználhatják olyan hívásokban, amelyekben valaki a bankodnak adja ki magát; előbb tanuld meg, hogyan ellenőrizd, valódi-e a bankod hívása vagy SMS-e.

Hol tegyek feljelentést?

• Spanyolországban a Policía Nacionalnál (091) vagy a Guardia Civilnél (062): tegyél feljelentést az összes képernyőképpel, a linkkel és a banki igazolásokkal. A bank a panasz elbírálásához kérheti. Máshol az adott ország rendőrségénél.
• Spanyolországban az INCIBE 017-es számán: ingyenes és bizalmas kiberbiztonsági segélyvonal. Tanácsot adnak, és az Internetfelhasználók Biztonsági Irodájának (OSI) weboldalán figyelmeztetéseket találsz az aktív kampányokról. Máshol a nemzeti kiberbiztonsági hatóságnál vagy a csalások bejelentésére szolgáló hivatalos szolgálatnál.
• Magánál a platformnál: jelentsd a profilt és a beszélgetést az alkalmazásból.
• 112 (európai segélyhívószám) csak valódi vészhelyzetben, például fenyegetés esetén vagy ha valaki megjelenik az ajtód előtt.

Ha pedig a megkeresés telefonszámról érkezett, add hozzá a spamszámok jegyzékéhez, hogy más eladók is felismerjék.

Gyakori kérdések

Meglophatnak csak a kártyaszámommal? A számmal, a lejárati dátummal és a CVV-vel lehet online vásárolni, különösen ha a bank által küldött megerősítő kódot is megszerzik. Ezért kérik ezek az oldalak egyszerre az összeset. Soha ne oszd meg őket azért, hogy pénzt kapj.

A vevő azt mondja, a platform „megköveteli" a kártyám ellenőrzését. Igaz ez? Nem. Ha a platformnak szüksége lenne valamire, a hivatalos alkalmazásában kérné, nem egy idegen által WhatsAppon küldött linken keresztül.

Biztonságos a személyes átadással történő eladás? Nyilvános helyen találkozni és készpénzben vagy a platform rendszerén keresztül fizettetni ésszerű. Ne bízz semmilyen képernyőképként vagy e-mailben küldött „fizetési igazolásban": az számít, amit a számládon vagy az alkalmazásban látsz.

A linket SMS-ben kaptam, nem a csevegőben. Ez változtat valamin? Nem. A csatorna más, a csapda ugyanaz. Ugyanaz a logika, mint a hamis csomagkézbesítési SMS esetében.

Összefoglalva

Ha eladsz, a pénz hozzád érkezik: soha nem kell fizetned, megadnod a kártyádat vagy kódokat adnod ahhoz, hogy megkapd. Tartsd a beszélgetést és a fizetést a platformon belül, gyanakodj a sürgetésre és a linkekre, és ha már megadtál adatokat, először a bankodat hívd, utána tegyél feljelentést. Ha extra figyelmeztetést szeretnél a gyanús számok és SMS-ek ellen, a NoCall segít kideríteni, ki van a vonal másik végén, mielőtt válaszolsz.