HnL412 - Senki nem teszi Szengát és Szabit a konzervbe!

Összefoglaló

Szenga, Szabi és Péla a Hack és Lángos podcast 412. adásában beszélgetnek az éves IT trendekről, különös tekintettel a 2025-ös év várható phishing kihívásaira. Az adás egy év végi visszatekintés, ahol az IT biztonság aktuális és jövőbeli kérdéseit vitatják meg, többek között a…

Röviden

Műsor

Hack és Lángos

Megjelenés

2025. 12. 25.

Hossz

58 perc

Témák

it trendek, phishing, it biztonság

Átirat

Az epizód beszélt szövege alapján indexelve

Ebben az epizódban

De szerintem Szenga úgy csinált, hogy hogy amikor amikor bemutatsz minket, akkor akkor így izé mutatkozzatok be, hogy így a hallgatók tudják, hogy kik vagytok. [nevetés] >> Nem, nem azért mondom, csak csak érted így ez mindenkinek ne legyen kellemetlen tudod hogy >> jogos, jogos, jogos. >> Csak egy pár szót mondasz magadról, hogy ki vagy, mit szeretsz, izé, hogy kerültél ide, miért vagy itt, ilyenek.

Jó jó. >> És akkor mindenki beud körülbelül. [zene] Sziasztok kedves hallgatók.

Ez itt a Hekkés Lángos 412. adása.

Ez nem egy konzerv adás, ez egy friss ropogós, aktuális adás.

Nem emlékeztek már rám, de a honlapon szerintem még kint van a nevem.

Bár honlapunk már nincsen, de [nevetés] régebben, régebben voltam ebbe a podcastbe, de elvileg a Béla megkért, hogy mutatkozzak be újra.

Szóval engem is érdekel ez az IT biztonság meg ilyenek.

Úgyhogy azért azért vagyok itt, hogy kicsit erről beszélgessünk. [nevetés] Várjál már, >> benne vagyok ebben az IT security dologban.

Így >> várjál, megy még az intro.

Na, itt van velünk >> Szabolcs.

Ő szintén ismeretlen így az IT security szénába, de szerintem azért hozzá tud tenni ez a friss adáshoz.

Illetve itt van Péla koncert. >> Sziasztok Péla vagyok.

Mindenki tudja, hogy én ki. egy nagyon híres podcaszter.

Én én azért jöttem, csak hogy egy ilyen híres podcasterrel legyek egy adásban. >> Igen.

Hát háromból kettőnknek nem jó a fix felvevő nap, és nem tudtuk átütni, hogy jó legyen.

Nem baj, a lényeg, hogy most itt vagyunk.

Ja, és boldog karácsonyt mindenkinek.

Ez egy ünnepi adás. ünnepi témákkal jöttünk a logbookba is.

Volt egy kis lejtmenet a végén, de mindegy.

Ajánlottunk filmeket, könyveket satöbbi.

Ugye évvégi adásnak megfelelően, vagy év végéhez közel mindig átnézzük az éves trendeket, történéseket.

Úgyhogy ezzel kapcsolatban Béla, kérlek, hogy kezdjük is el fishing témában a dolgokat. >> Így van.

Üdvözöllek titeket itt a podcastben.

Örülök, hogy csatlakoztatok hozzánk.

Szerintem a hallgatók is hamar meg fognak titeket szokni.

Ölletve hogy biztos, hogy majd, hogy szokták ezt mondani, hogy színesítitek a podcastnek a meg meg a meg a szakértelmetekkel [nevetés] is majd emelitek a >> tud na mi az a az vonal szí színvonal.

A feedback majd írjátok >> feedback. >> Igen.

Írjátok meg, hogy írjátok meg, hogy hívjuk-e még a k [nevetés] a két szabit megenget, mert már nem tudom, hogy hogy két s betűs hostot azt tudunk-e meg tudjuk magunknak-e engedni. >> Igen.

Vagy lehetek állandó vendég vagy ilyesmi. >> Lehetnek állandó [nevetés] vendégek. >> Így van.

Tehát akkor visszatekintés az elmúlt évre évvége van, és én ilyenkor szeretek olyan dolgokat így összeszedni, hogy oké, hogy mások hogy oké, hogy nekem van egy egy érzésem, hogy mikkel foglalkoztunk, mi az, ami foglalkoztatott, de hogy meg, hogy mi az, amivel foglalkoztam így cégen belül, hogy mik voltak nálam, de hogy mindig érdekes, hogy így mások mit gondolnak.

És ilyenkor amikor amikor látom, hogy mások is azt azt érezték, amiket én és a mondjuk a Bleeping Computeren is van egy cikk erről, hogy hogy mit kéne érezni, és ugyanazt érzik, amit én, akkor így mindig úgy érzem, hogy én igenis okos vagyok, és hogy validálnak és hogy és hogy király vagyok.

Igazából erről szól a cikk. [nevetés] Igazából Bliping Computer is ilyen nagyon híres podcastereket hallgattak. [nevetés] Igen.

Meg megírták, hogy Bélának a véleménye a 2025-es évről.

Na de komolyra fordítva a szót, féligmeddig a Blipping Computeren volt egy jó cikk a a Fishingről, tehát hogy gyakorlatilag a 225000 2025-ös évnek az egyik legnagyobb ilyen húzódolga tényleg a fishing volt.

Nyilván itt van velünk továbbra is a ranzonware, de hogy ennyire megerősödött, hát talán az elmúlt két évben, de ebben az évben mindenképpen a a fishingnek mindenféle fajtája és és színe dolga, és erről csináltok egy ilyen kis gyors összefoglalót, hogy ők ők hogyan látják ezt a témát.

És ilyen három pont van körülbelül.

Tehát az egyik ilyen karakterisztikája az újdonság, hát újdonság relatív, de hogy ugyebár ez fellerősödtek szerintük legalábbis, hogy és ezt a kifejezést még nem hallottam, de én imádok ilyen ilyen bonyolult szavakat használni, hogy omn channel, na amennyire jó, hogy omn channel fishing.

Ez ez ugyebár azt jelenti állítólag a chat GPT szerint, hogy ugyebár több fajta channelen keresztül jöhet a fishing.

Tehát, hogy nem csak ugyebár a klasszikus fisség az mindenki a szeme előtt mond, hogy kapod a levelet és akkor nem kattintasz rá a linkre meg ilyenek.

De hogy az kiderült, hogy a a levelezés arra sok cég sok pénzt költött annak tehát így észreelték így az elmúlt 20 év alatt, hogy hogy sok olyan gázos levél, tehát sok gázos levél jön be.

És így voltak korszakok, tudod, hogy először mit tudom én, ilyen malis, tehát hogy exéket küldtek, aztán Exceleket küldtek, aztán worldöket küldtek, aztán javascriptet küldtek, aztán isofileot küldtek, és így és így ez így mehet mehet mehet így évek évek évek folyamán, és így egyre jobban húzták össze a a kaput, hogy nem ez se jöhet be, nem ez se jöhet be. egyre jobbak a a felismerések.

Ugyebár ezt már többször is mondtam, hogy vannak a seggek, ami a secure email gateway, aminek pontosan az a lényege, hogy hogy összehúzódjon olyan kicsire, amennyire csak lehet, és ne engedjen be semmit.

És hát látjuk, hogy ezek egy ezek azért egyre jobban működnek, úgyhogy alternatív megoldások kellenek, úgyhogy mindenféle érdekes dolgot láttunk a az elmúlt évben.

Voltak olyanok, hogy állítólag ez nagyon népszerű volt.

Ezt mondjuk ezt én nem hallottam, de nagyon tetszik. és és kézenfekvő, hogy LinkedInen, ahol ugyebár peezseg az élet és mindenki fönt van, aki fontos, meghackeltek accountokat, ismert accountokat, és LinkedIn direct message-ben, tehát DM-ekben írtak rá emberekre, és tolták ki a fishinget ezekkel a meghackelt accountokkal.

És ugyebár ebben az a jó, hogy mint utóbb kiderült, hogy a az ilyen social média platformokon a az üzeneteket nem nagyon nem nem nagyon szokták szennelni, tehát hogy ott ott tudsz fishinget küldeni, merthogy nyilván ted amikor bent vagy a cégnél és ott van a izé a a a gateway és akkor mögötte ülsz és akkor ki kiszcennel belőle mindent, vagy hogyha amit nem szennel ki, az megy a karanténba, és akkor onnan kiveheted, vagy megy a junkba.

De hogy érted, megnyitod a, hogy hív megnyitod a LinkedInt, és akkor látod, hogy nem tudom, hogy Mark Zuckerberg írt neked, hogy á tesó, itt van, ahogy hívják, itt van a legújabb állásajánlatom neked, vagy éppen szeretnék bitcoint küldeni, és kattints el rá, csak be kell jelentkezned a Microsoft oldalra, SharePointunkba.

Ö, tehát rá fogsz kattintani, a LinkedIn nem szennelte ezeket a dolgokat ki, és hát ebből egy egy ez egy ilyen visszatérő trükk volt, de nem csak a LinkedIn, de ez ez más platformokra is igaz.

Ugyebár Teamsen lehet, mondjuk Teamset is ott ott ott lehet sczennelni, de nem igazán jellemző.

Mi ezzen röhögtünk anno nindzával is, hogy például Webexen bármit lehetett küldeni. >> Lehet, hogy vannak lehet, hogy vannak konfigurációk, amiket be lehet állítani szerver oldalon, hogy azt mondják, hogy ú ez vagy az, de hogy nem tudom, hogy ez hány cégnél van valójában beállítva.

Szóval Omni channel, másik channel például klasszikus Google searchben ugyebár show poisoning, hogy be bejönnek a top találatok és a top találatok oldalán van a fishing link elrakva.

Igen, ez egy olyan dolog, hogy érted mit tudsz ezzel csinálni.

Malvertising továbbra is nagyon jól működik.

Ki tudja ezeket a a reklámokat, amennyi beömlik a Facebookhoz, meg Facebookhoz, Google-höz, ezt mind-mind átnézni mindig, mindig közé kerül valami, oké, hogy leszedik egy idő után, de hogyha már 10 embert meglőttél és sikerült, akkor már 10 emberrel belő beljebb vagy, és utána leveszik.

Hát ez egy folyamatos ilyen harc.

Úgyhogy gyakorlatilag ez ez a ez a ez az egyik tanulság, hogy nem csak az emailre kell figyelni, ami szerintem egy tök jó dolog.

A másik dolog, ami kiderült, az az, hogy a hú, hogy mondják ezt?

Fas >> fas. [nevetés] >> Ez ez ez iszonyatosan megy.

Tehát a a a fekete piacokon egyre több ilyen szolgáltató jelent meg, aki fishinget szolgáltat.

Tehát, hogy ugyebár ez a klasszikus, hogy ugyebár befizetsz hozzájuk és akkor kampányt indíthatsz.

Te te töltöd meg kontenttel, hogy kit akarsz megfiselni, kinek akarod kiküldeni.

És a probléma az az, hogy a multifaktoros autentikációval is megküzdenek ezek a ezek az oldalak már.

És és ez ez a klasszikus probléma.

Az egyik kollégám, és most egy kicsit eldriftelek, az egyik kollégám majdnem kiesett a székéből, amikor amikor közölték velünk, hogy izé nem is tudom már, ki volt az, hogy így mondtak, hogy á nálunk be van állítva a izé a az authentikátor alp, és csak az authentikátor alppal meg mit tudom én, és csak mondták, hogy az nem fishing resistant.

És akkor úgy mond >> mondták, hogy >> hm, >> hogy kerüli meg? úgy kerüli meg, hogy jele a jelenlegi fishing folyamat az úgy történik, hogy revers proxyént közéd áll, tehát a a victim, mi az a izé, az áldozat, és a szerver közé, mondjuk a Microsoft szerverek közé beáll.

Tehát >> ő neked megb, tehát tehát gyakorlatilag a nevedben küldi el, és a token, amit visszakapsz, mert ugyebár az autentikációnak a végén most leegyszerűsítve megadod a izét, tudod a második faktort, azt ők továbbítják a második faktort.

Tehát, hogy a klasszikus, hogy tudod, amikor kódot kell beírni, most ez a legegyszerűbb példa, amit így mindenki el tud képzelni maga előtt.

Elküldöd elküldöd a kódot a szervernek, amit ők üzemeltetnek, a szerver tovább küldi, és a szerver kéri meg, tehát a támadónak a szervere kéri meg a sessiont, és a sessiont azt így elfogják, és megvagy. >> Hm. >> Tehát érted, tehát ha azt nézed, hogy ugyebár a régi fishing az úgy működött, hogy beírtad a felhasználónnevet, beírtad a jelszót, azt a támadó megkapta az ő szerverére, lementette és utána használta azt.

Ez tök egyszerű volt, érted? elárultad effektíve egy egy nem nem nem lét és akkor erre volt akkor oké akkor legyen a izé multifaktor akkor küldjél egy kódot is.

De most értem most kimondhatja azt, hogy a hogy a multifaktor kódot azt azt nem tudják lehúzni és egyszerűen nem az van, hogy a a te böngésződt kéri a az autentikációt, hanem a az ővőn effektív az övők, tehát ők a izé ők a proxi közte.

Erre számtalan ilyen program van, illetve szerver megoldás van, amivel ezt meg lehet csinálni.

Aziszem az Evil Genix az egyik ilyen legegyszerűbb dolog, amit nagyon sokan használnak erre.

Bármelyik kaliban mindenben van, és ez egy ilyen oldalt pillanatok alatt össze lehet hozni, és csodálatosan működik.

Ugyebár mik erre a a megoldások?

Vannak vannak erre mindenféle trükkök, hogy ezek hogyan hogyan lehet ugye nyilván a gépet kell autentikálni, tehát hogy hardwarehez kötött legyen az autentikáció, tehát hogy illetve a belépés, tehát hogy excess control liszteket kell csinálni, hogy erről a g tehát hogy csak olyan példá hogyha céges környezetben van, hogy a és ez az, amit nálunk egyébként nagyon sokszor megmentett minket, hogy oké, hogy megvan neki a session, de a session csakis kizárólag egy regisztrált gépről alkalmas alkalmazható. >> Hm.

Te és az az a gép az nyilván domain joid vagy mit tudom én.

Tehát hogy van valamilyen izé device regisztráció és ha már device regisztráció van, akkor akkor jók vagytok.

De visszatérve a fishinghez, hogy a másik probléma, hogy azért nagyon nehéz a a fishinggel jelenleg a jelenlegi lendcképben harcolni, mert olyan kikerülő technikákat használnak, evasion technikákat használnak, amikkel nagyon nem tudunk mit kezdeni.

Ugyebár én nem tudom mikor láttam utoljára olyan fishing oldalt, ami nem cloud flires kapcsa mögött volt.

Tehát hogy azt hogyan találja meg a a mit tudom én, több millió dolláros izé mindenféle szánneren, de nem tud nem tud keresztülmenni rajta, mert pont ez a lényege, hogy ne tudjon keresztülmenni rajta. illetve egy rakás redirect van benne, tehát hogy megnézik, hogy honnan jössz, ki vagy te, és ha már ha csak valami nem stimmel, akkor már nem abba az irányba redirectelnek, illetve egy pillanatok alatt tudják a redirect chainben cserélni a a tartalmakat.

Tehát, hogy eddig ez a ez volt a fishing oldal, a végső fishing oldal, de most ez megváltozott, az kompromitálódott, tehát az azt illetve azt letiltották, akkor átirányít egy másikba.

Ö nyilván az első címet is meg lehet változtatni, de nehéz egyébként, vannak problémák, illetve vannak olyan trükkök is, hogy lokálba csinálja meg neked a fishing oldalt.

Tehát csak egy javascriptet töltesz le valahonnan, és az összestől vit neked lokálb a böngészőben intézi neked a téma.

Úgyhogy ez is nehezíti a helyzetet.

Úgyhogy ezek az egyik leg leggázosabb dolgok, amik jelenleg vannak.

Jó, nyilván mondom, mer van ez a fishing resistant multifaktor authentikáció, ezeket be lehet állítani, de ennek nyilván van megint egy overheadje, tehát hogy ugyebár egyre nehezebb.

Oké, először van jelszó, oké, azt az megvan.

Oké, és akkor jön a következő faktor, oké és akkor izé adminisztráljuk a gépeket.

Oké, illetve a device-okat, tehát kell egy device regisztráció.

És akkor most így a következő az így mi lesz?

Mert hogy már ezt is elkezdték megkerülni, mert vannak olyanok, hogy Ooutot térítenek el. például aminek egyébként nem kéne lennie, de tudod, ez a ez a engedélyezete ennek az applikációnak, hogy autentikáljon neked, mint ahogy engedélyezed, mit tudom én, hogy a hogy a Gmailt használod, a vagy a Google accountodat használod, tehát hogy van egy van egy van egy Malisus applikáció, és hogyha nem figyelsz oda, akkor akkor engedélyezed neki, és akkor el tudja vinni az az autentikációdat.

Tehát most már itt ott tartunk, hogy a fishing resistanceot is elkezdik megkerülni.

Nyilván egyre nehezebb a dolog, de még mindig mindig működik.

Na és akkor itt itt voltunk az egyébként még más…

Említett entitások

Témák

• it trendek
• phishing
• it biztonság

Hallgasd meg

Gyakori kérdések erről az epizódról: „HnL412 - Senki nem teszi Szengát és Szabit a konzervbe!”

Több epizód a Hack és Lángos-ből

• HnL431 - Béla blokkolná 2026-05-07

  A Hack és Lángos 431. adásában Antana és Béla beszélgetnek. A srácok egy rövid szünetet tartanak, miközben mindenki szerez magának innivalót. Béla a rajzolásról mesél, majd a Wind…

• Logbook 431. 2026-05-06

  A "Hack és Lángos" podcast vendégei az adás rögzítésének UX buktatóiról, a spontaneitás fontosságáról és a hétköznapi rutinfeladatokról beszélgetnek. Kitérnek a tibeti homokképek…

• HnL430 - A szekuriti pénzbe kerül 2026-04-30

  Béla és Nindzsa Antenával beszélgetnek a Hack és Lángos 430. adásában. Két fő téma merül fel: a közelgő adóbevallási időszak kapcsán a NAV-os adathalász (scam) próbálkozások, vala…

• Logbook 430. 2026-04-29

  A Hack és Lángos podcast házigazdái, akik magukat Nindzsának és Heknek nevezik, egy rövid "logbook" epizódot készítettek. Fő témájuk egy okos konnektor (smart plug) bemutatása, am…

• HnL429 - Persona non secura 2026-04-23

  A Hacker és Lángos 429-es adásában a srácok a LinkedIn adatgyűjtési gyakorlatáról beszélgetnek. Kiderül, hogy a LinkedIn és a Microsoft közös adatgyűjtőként működik, és a LinkedIn…

• Logbook 429. 2026-04-22

  A műsorban a vendégek a bambusz és a merino gyapjú közötti különbségeket vitatják meg, különös tekintettel az etikai és tartóssági szempontokra. Az állatvédelem és a vegán életmód…

• HnL428 - Slack my b*tch up 2026-04-16

  Az adásban Antena, Nindzsa és Szabi beszélgetnek az iráni dróntámadásokról, amelyek Amazon adatközpontokat is érintettek. Kitérnek arra, hogy az ilyen globális infrastruktúrát ért…

• Logbook 428. 2026-04-15

  A Hack és Lángos podcast 428. adásában a technológiai és életmódbeli élményeket osztják meg a hallgatókkal. Az egyik műsorvezető arról mesél, hogyan énekelgetett véletlenül a mikr…

• HnL427 - Gundalf és a nagy AHa élmény 2026-04-09

  A Hack és Lángos podcast vendégei Antenna, Szenga és Nindzsa, virtuálisan pedig Béla is csatlakozik hozzájuk. A beszélgetés fő témája egy aktuális kibervédelmi jellegű ügy, amely…

• Logbook 427. 2026-04-08

  A "Hack és Lángos" podcast vendégei ezúttal az ultrafeldolgozott élelmiszerek világába kalauzolnak. Megvitatják az "Ultrafeldolgozott emberek" című könyvet, amely az élelmiszerek…

Hasonló epizódok más magyar podcastokból

• A kibertámadások anatómiája — PROtACTION

  A PROtACTION podcast legújabb epizódjában a kritikus infrastruktúrák kiberbiztonsági védelme áll a fókuszban. Mester Sándor és Csinos Tamás Gélák Róbertet, a HungaroControl Zrt. k…