Kávé mellé · Cybersec
Az Arup eset után sok cég belül rendezi: visszahívás, két aláíró, nincs kivétel sürgős ügyre (deepfake cikk). Jó lépés — de a pénz a bankon megy át. Ha ott egy ember, egy jelszó és egy jóváhagyás elég, a belső policy csak félig véd.
A deepfake nem a vízjellel áll meg. A támadó nem jelöli meg a hamis hívást. A védelem folyamat: belül és a banknál is.
Mit kérdezz a kapcsolattartótól (most, nem az incidens után)
1. „Van-e vállalati internetbankban több aláírós / több lépéses jóváhagyás?”
Magyarországon a nagy bankok (OTP, K&H, Raiffeisen, MBH stb.) vállalati ügyfeleknek adnak több felhasználós, szerepkör-alapú internetbankot: egy munkatárs rögzít, a cégjegyző vagy második meghatalmazott külön lépésben hagyja jóvá (Economx, 2026-05). Ez nem automatikus — a cégjegyzési rendhez és a szerződéshez kell igazítani.
Ha a válasz: „Nincs beállítva, egy aláíró elég minden utaláshoz” — kérd be ma. Példa belső küszöb: 500 ezer–2 millió forint felett második jóváhagyó; a pontos összeget a bankkal és a cégjegyzéssel egyeztesd. A második aláíró ne ugyanabból a Teams-hívásból kapja a kérést.
2. „Ismeretlen számlaszámra milyen limit van — és lehet-e csak rögzített partnerre engedni a nagyobb összeget?”
A magyar bankoknál nem általános szabály, hogy minden új IBAN 24 órát vár. Amit viszont gyakran be lehet állítani: napi tranzakciós limit, jogosultsági szintek (ki rögzít, ki ír alá), és hogy a nagyobb összegek csak mentett partnerről menjenek. Raiffeisen vállalati ügyfeleknél a kettős aláírásos megbízás az „Aláírásra váró” sorba kerül, amíg a második aláíró is jóvá nem hagyja (Raiffeisen Felhasználói kézikönyv, 2026).
A deepfake-csaló gyakran új számlaszámot ad meg. Kérdezd ki: mi a limit ismeretlen kedvezményezettre, és ki tudja módosítani.
3. „Belföldi azonnali forintutalásnál mi a visszahívás menete — és hol jelzem a csalást?”
A magyar azonnali fizetés (GIRO Instant / RTP) jóváhagyás után pár másodperc alatt teljesül — az OTP szerint ilyenkor a tranzakció már nem vonható vissza automatikusan (OTP Azonnali Fizetés). Téves utalásnál visszahíváskérés indítható; a pénz visszajöhet, ha a kedvezményezett beleegyezik (Raiffeisen: napon belüli elszámolás, visszahívási kérés 2012 óta — Raiffeisen tájékoztató).
Csalás gyanúja esetén az OTP kifejezetten írja: előbb rendőrségi feljelentés, és ilyenkor a visszahívás jellemzően nem eredményes — csak telefonon (+36 1 366 6666) vagy bankfiókban kezdeményezhető. Jegyezd fel a saját bank csalás/visszahívás vonalát — bankonként más; ne feltételezd, hogy mindenhol 24/7 ugyanaz a szám.
(Deviza SEPA instant: hasonló logika — nincs automatikus recall, kedvezményezett hozzájárulása kell.)
Egy mondat a holnapi kávéhoz
„Utalás előtt visszahívás belül — és a banknál be van állítva a második jóváhagyó ismeretlen számlára?”
Ha a második fele nincs meg: a belső szabály egyedül harcol a deepfake ellen.
Mi következik belül
A fenti három kérdés nem helyettesíti a belső policy-t. Párosítva működik:
- Out-of-band visszahívás — előre mentett szám, nem a hívásból (utalás-sablon)
- Két aláíró nagyobb összegnél
- Nincs kivétel „titkos, sürgős CEO-kérésre”
A banki beállítás + belső szabály együtt az, amit ellenőrzésnél is várnak NIS2 alatt — nem a „tudtuk, mi a deepfake” prezentáció.
Gyakori kérdések
Visszavonható egy azonnali forintutalás, ha deepfake-csalás áldozata lett a cég?
Az azonnali fizetés jóváhagyás után másodpercek alatt teljesül, és automatikusan már nem vonható vissza. Visszahíváskérés indítható, de a pénz csak akkor jön vissza, ha a kedvezményezett beleegyezik; csalásnál az OTP szerint előbb rendőrségi feljelentés kell.
Mit kérjen a cég a bankjától a deepfake-utalások ellen?
Több aláírós, szerepkör-alapú vállalati internetbankot, ahol egy munkatárs rögzít és egy második jóváhagyó külön lépésben enged; napi tranzakciós limitet; és azt, hogy nagyobb összeg csak mentett partnerre mehessen.
Elég a belső utalási szabály a deepfake ellen?
Nem. A belső out-of-band visszahívás, a két aláíró és a „nincs kivétel sürgős CEO-kérésre” szabály csak a banki beállítással együtt véd. NIS2-ellenőrzésnél is a kettőt együtt várják.
Jogi megjegyzés: Tájékoztatás, nem tanácsadás. Banki termékek és szerződések bankonként eltérnek; a saját vállalati internetbank-szerződésed az irányadó.
AI-közreműködés: AI-asszisztált szöveg — emberi szerkesztés, forrás-ellenőrzés (OTP, Raiffeisen, Economx, 2026-07-06). Loop Magazin, 2026.