A csaló tudja, mit vettél kedden

Mi történt

Képzeld el a sarki boltost, aki mindenre emlékszik. Tudja, hogy múlt kedden zabtej hiányzott a szatyrodból, hogy a harmadik emeleten laksz, és hogy nem működik a kapucsengő. Mindent felír egy füzetbe, hogy legközelebb gyorsabban segítsen. Most képzeld el, hogy valaki lefényképezi ezt a füzetet. Utána ő hív fel, és hihető lesz, mert mindent tud rólad.

A Kifli.hu (a cseh Rohlik csoport magyarországi online szupermarketje) 2026. október 5-én pontosan egy ilyen füzetet veszített el. A cég jogosulatlan hozzáférést és adatletöltést észlelt a belső ügyfélszolgálati rendszerében. A közlése szerint a hozzáférést még aznap megszüntette, a hibát kijavította, és október 11-én e-mailben értesítette az érintett ügyfeleket.

A cég levele és több egybehangzó sajtóbeszámoló szerint ez kerülhetett ki:

az ügyfélszolgálatnak küldött e-mailek 2026. július 8. óta;
a chatbeszélgetések és a telefonhívások átiratai 2026. április 21. óta, akár munkatárssal, akár a virtuális asszisztenssel beszéltél;
a beszélgetésekhez feltöltött fájlok;
a bennük szereplő nevek, e-mail-címek, telefonszámok, kézbesítési címek és rendelésszámok;
a kosárba nemrég betett vagy onnan kivett termékek;
a virtuális asszisztens rövid feljegyzései arról, mit szerettél volna.

Ugyanazon a hétvégén a csoport cseh cége, a Rohlík.cz is bejelentette, hogy az ügyfélszolgálati eszközéből adatokat töltöttek le, és az esetet jelentette a cseh kiberbiztonsági és adatvédelmi hatóságnak. Ott kifejezetten közölték, hogy a belépési és fizetési rendszerek nem sérültek. A magyar közlés ilyen mondatot nem tartalmaz, csak annyit, hogy az ügyfélszolgálati rendszerről van szó, nem a teljes vásárlói adatbázisról. Hogy a két eset ugyanaz a behatolás-e, azt a cég nyilvánosan nem mondta ki; az időzítés és a leírás azonossága erre utal.

És amit 2026. október 22-ig nem tudunk: hány ügyfél érintett, hogyan jutottak be a támadók, saját fejlesztésű vagy külső szolgáltató eszközéről van-e szó, és ki áll a támadás mögött. Az áprilisi dátum azt mutatja, meddig nyúlnak vissza a kiszivárgott beszélgetések, nem azt, mióta jártak bent a támadók. Arról sincs nyilvános hír, hogy a kiszivárgott adatokra épülő csalási hullám már elindult volna. Ez jó hír, de nem ok a megnyugvásra: az ilyen adat hetekkel, akár hónapokkal később is felhasználható.

Miért számít neked

Egy kiszivárgott jelszót le tudsz cserélni. Azt viszont nem tudod visszavonni, hogy valaki ismeri a rendelésedet, tudja, mi hiányzott belőle, és hova kérted a szállítást. Ez a kontextus a csalónak többet ér egy jelszónál, mert hitelessé teszi.

Ha 2026. április 21. óta chateltél vagy telefonáltál a Kifli ügyfélszolgálatával, vagy július 8. óta írtál nekik, számíts arra, hogy egyszer valaki a nevükben keres meg. Maga a cég is figyelmeztetett: a csalók az ügyfélszolgálatnak vagy egy visszatérítést intéző munkatársnak adhatják ki magukat.

Ha pedig céged van: az ügyfélszolgálati rendszered valószínűleg a legőszintébb adatbázisod. Az ügyfelek oda mindent leírnak, néha olyat is, aminek nem ott lenne a helye. A Rohlík szerint egyes cseh ügyfelek jelszót vagy kártyaadatot is megosztottak a beszélgetésekben; őket külön értesítették.

Magyar vonatkozás: magyar cég, magyar ügyfelek, magyar nyelvű beszélgetések. Arról, hogy a Kifli bejelentette-e az esetet a NAIH-nak (a magyar adatvédelmi hatóságnak), nincs nyilvános információ. A GDPR szerint a súlyos incidenst 72 órán belül be kell jelenteni, így ez valószínű, de nem megerősített.

Red // támadói szemmel

Hogy hogyan jutottak be, azt most nem tudom elmondani. Nem titkolózom: ezt nyilvánosan senki nem tudja. Azt viszont igen, mit kezd egy csaló egy ilyen füzettel.

A kontextus a kincs, nem a jelszó. Rendelésszám, hiányzó termék, korábbi panasz, a kosár tartalma. Ezekből építek ürügyet, és három kézenfekvő kínálkozik: visszatérítés („a hiányzó tételt jóváírnánk, csak erősítse meg az adatait”), ügyfélszolgálati visszahívás („a múlt heti panaszával kapcsolatban keresem”) és kódkérés egy „gyanús belépés” miatt. Ez a megszemélyesítéses adathalászat (phishing) legerősebb formája.

A valódi részlet kikapcsolja a gyanút. Ha tudom, mi hiányzott a múlt heti szatyrodból, miért kételkednél bennem? A sürgetés pedig gondoskodik róla, hogy ne legyen időd gondolkodni.

Az AI-asszisztens megírta helyettem a forgatókönyvet. A virtuális asszisztens feljegyzései összefoglalják, mit akartál és mi zavart. Nem kell kitalálnom a történetet, elég felolvasnom.

Az ügyfélszolgálat sokajtós ház. Sok munkatárs, néha külsős partnerek, integrációk és AI-eszközök férnek hozzá ugyanahhoz a füzethez. 2025 októberében a Discordnál is egy külső ügyfélszolgálati partneren keresztül jutottak a támogatási beszélgetésekhez. Hogy a Kiflinél is így történt-e, azt nem tudjuk. A kérdés inkább az, hogy a te cégednél hány ajtó nyílik erre a füzetre.

Blue // mit tegyél most

Magánszemélyként (Kifli-ügyfélként, de bármely más webshopnál is)

Ha a Kifli nevében hívnak vagy írnak, tedd le, ne válaszolj, és te vedd fel velük a kapcsolatot az alkalmazásból vagy a böngészőbe kézzel beírt kifli.hu címen.
Üzenetben kapott linkre ne kattints, és visszatérítés ürügyén ne telepíts semmit.
Kéretlen hívásra vagy üzenetre soha ne adj meg jelszót, netbanki adatot, kártya biztonsági kódját vagy SMS-kódot.
Ha valaha jelszót írtál az ügyfélszolgálatnak, cseréld le, mindenhol, ahol ugyanazt használod. Ha banki adatot adtál meg, azonnal szólj a bankodnak.
Szólj a szüleidnek, nagyszüleidnek: ők kapják a legmeggyőzőbb hívásokat.

Cégként (webshop, szolgáltató, ügyfélszolgálatot üzemeltető szervezet)

Kezeld az ügyfélszolgálati platformot (jegykezelő, chat, hívásrögzítés, AI-asszisztens) kiemelt adattárként: többlépcsős azonosítás, naplózás, a tömeges exportok és a szokatlan belépések figyelése.
Állíts be megőrzési időt, és kapcsold be a kártyaszám- és jelszómintázatok automatikus maszkolását, ha a rendszer tudja.
Nézd át, ki fér hozzá a rendszerhez (munkatársak, külsős partnerek, integrációk, AI-eszközök), és a feleslegeset vond vissza, gyorsan visszavonható módon.
Írd le előre az ügyfeleidnek nyíltan: „így keresünk, és így soha”, a hivatalos csatornák megnevezésével. Incidensnél ez legyen a levél első bekezdése.
Incidens után ne álljon meg a munka a lyuk betömésénél: vizsgáld meg, hogyan került a hiba a rendszerbe (erről szól Péter megjegyzése lent).

Szakmabelieknek: technikai részletek

CVE, érintett termék: nem ismert; a cég sem a rendszert, sem a sérülékenységet nem nevezte meg. Nem tudni, saját fejlesztésű vagy külső szolgáltató eszközéről van-e szó.
Kiszivárgott adatkör (HU): ügyfélszolgálati e-mailek 2026. július 8. óta; chat- és hívásátiratok 2026. április 21. óta (munkatárs és virtuális asszisztens); csatolmányok; PII (név, e-mail, telefon, kézbesítési cím); rendelésszámok; kosáresemények; az AI-asszisztens összefoglaló jegyzetei.
Eltérő időszakok (CZ): a cseh beszámolók szerint a chatek 2026. április 1. és október 5., a hívásátiratok április 28. és október 5., az e-mailek június 28. és szeptember 22. közöttiek. Az eltérés oka nem ismert.
Valószínű MITRE ATT&CK technikák (a következményekre, nem a behatolásra): T1566 / T1598 (adathalászat a kiszivárgott kontextussal), T1656 (megszemélyesítés). A behatolás technikája nem ismert.
Észlelési ötletek ügyfélszolgálati platformokra: tömeges export vagy API-lekérdezés, szokatlan időpontú vagy helyről érkező ügynöki belépés, új integrációs token vagy alkalmazás, nagy mennyiségű csatolmány-letöltés.
Hivatalos ajánlások: a cég ajánlásai (lásd Blue). A cseh hatóságok (NÚKIB, ÚOOÚ) bejelentést kaptak, az esetről nyilvános ajánlást nem tettek közzé.
Indikátorok: nincsenek nyilvánosan közölve.
Előzmény: 2025. október 3-án a Discord jelentette be, hogy egy külső ügyfélszolgálati partnerén keresztül a támogatási beszélgetésekhez és mintegy 70 000 felhasználó személyazonosító fotójához fértek hozzá.

Péter // a főnök megjegyzése

Ennél az esetnél magáról a támadás módjáról kevés az információ: nem tudjuk, hogyan jutottak be, saját vagy külső eszközről van-e szó, és ki áll mögötte. Így ezt nehéz elemezni. Inkább beszéljünk arról, hogyan történt maga az incidenskezelés.

Kommunikációs szempontból úgy tűnik, a Kifli megtette az ilyenkor kötelező lépéseket. Október 5-én észlelték a jogosulatlan hozzáférést, és a cég közlése szerint még aznap megszüntették. Október 11-én levélben értesítették az ügyfeleket, megírták, milyen adatok érintettek, és konkrétan figyelmeztettek arra, hogy a csalók az ügyfélszolgálat nevében jelentkezhetnek. Elméletileg tehát a hibát is gyorsan javították, miután észlelték.

Azonban az egy kérdés, hogy a hiba maga mennyi ideig volt kihasználható, és hogyan került a rendszerbe. Erre a nyilvános közlések nem adnak választ. Ilyenkor felül kell vizsgálni a fejlesztési ciklusba épített biztonsági kontrollokat, és érdemes ránézni a biztonsági tesztelések gyakorlatára, a korábbi riportokra is: jelzett-e már valamit egy korábbi teszt, és ha igen, mi lett vele. Ezeknek a kontrolloknak az erősítésével a jövőben sokkal kisebb lehet a kockázata annak, hogy egy ilyen eset előfordul.

Sajnos tapasztalatom szerint a mai rohanó, agilis fejlesztési világban ezek az elvek sokszor még a klasszikus fejlesztési modellekhez képest is háttérbe tudnak szorulni a nagy tempó miatt. Ezért lenne fontos a security by design alapelv alkalmazása: a biztonság ne a végén, egy utolsó ellenőrzésként kerüljön képbe, hanem a tervezés első napjától a követelmények része legyen.

A gyors reakció jó hír. Egy jó incidenskezelés viszont nem áll meg a lyuk betömésénél: azt is megnézi, hogyan kerülhetett oda, és mi akadályozza meg, hogy legközelebb is odakerüljön.

Háttéranyag szakmabelieknek

A teljes kutatás egy PDF-ben

Idővonal, szereplők, hogyan működik a támadás, teendők célcsoportonként, szakmai részletek és forrásértékelés. Egy helyen, nyomtatható formában, továbbküldhetően.

PDF · 5 oldal · 193 KB · kutatási változat v1

PDF megnyitása (magyar) English version (PDF)

Források

AI-csapattal készült, átnézte: Péter