A SIM-csere csalás ellen már több európai mobilhálózat jelez a bankoknak

Az osztrák A1, Magenta és Drei 2026. október 14-én közösen indított el három hálózati lekérdezést, hat nappal később pedig a portugál MEO, NOS és Vodafone is elindította közülük kettőt. A lekérdezésekkel egy bank vagy egy webáruház a mobilszolgáltatótól tudhatja meg, kapott-e nemrég új SIM-kártyát az ügyfél telefonszáma, valóban az ügyfél készülékében van-e a szám, és egyeznek-e a megadott adatok a szolgáltató nyilvántartásával. A lekérdezések a GSMA, a mobilszolgáltatók világszervezete Open Gateway programjában és a CAMARA nevű nyílt projekt közös leírása szerint működnek, ezért minden szolgáltatónál ugyanúgy kell őket meghívni.

Hogyan működik a SIM-csere csalás?

A csaló a KiberPajzs leírása szerint először a banki belépés adatait szerzi meg, jellemzően adathalász üzenettel vagy kártevővel. Utána eléri, hogy az áldozat telefonszáma egy nála lévő új SIM-kártyára vagy eSIM-re kerüljön. Attól a pillanattól a bank SMS-ben küldött ellenőrző kódjai hozzá mennek, az áldozat telefonja pedig hálózat nélkül marad. A CAMARA leírása SIM-cserének vesz minden esetet, amikor a telefonszám új SIM-kártyához kerül, tehát a kártyacserét, a számhordozást és az új előfizetést is.

Az eSIM új készülékre kerülése egyes szolgáltatóknál az ügyfélfiókból online is kérhető, és ezt a csalók ki is használják. A Niedersachsen tartományi bűnügyi hivatala szerint futárnak adják ki magukat, és rábeszélik az áldozatot, hogy olvassa fel a kapott SMS-kódot. Ez valójában a mobilszolgáltatói fiók belépőkódja, amelyet bárki kérhet, aki ismeri a telefonszámot, a csalók pedig ezzel a saját készülékükre rendelnek eSIM-et. A Niedersachseni Fogyasztóvédelmi Központ 2025 márciusában szolgáltatói munkatársnak kiadott telefonálókról számolt be, akik ugyanígy SMS-kódot kértek, és nagyjából 1000 eurós károkat okoztak. A Nemzeti Kibervédelmi Intézet tájékoztatója ezért a banki belépéshez SMS-kód helyett hitelesítő alkalmazást javasol, amely a készülékhez kötött, nem a telefonszámhoz.

Mit kérdez meg a bank a mobilhálózattól?

A három lekérdezés közül a SIM-csere ellenőrzése a legegyszerűbb. A bank csak a telefonszámot küldi el, és kétféle választ kérhet: a legutóbbi csere időpontját, vagy egy igent vagy nemet arra, volt-e csere egy általa megadott időszakban. Az időszak a CAMARA leírása szerint 1 és 2400 óra között adható meg, alapértéke 240 óra, vagyis tíz nap, a szolgáltató azonban a helyi szabályok miatt ennél rövidebb időszakot is engedhet. Ha a szolgáltató nem őrzi meg az időpontot, üres választ ad, és megmondja, hány napra visszamenőleg figyeli a cseréket. Nevet, címet vagy a SIM-kártya azonosítóját a bank nem kapja meg.

A számellenőrzés (Number Verification) SMS-kód nélkül dolgozik: a szolgáltató a mobil adatkapcsolatból ismeri fel, melyik telefonszámról érkezik a kérés, ezért a CAMARA leírása szerint sem SMS-ben kapott egyszer használatos kód, sem hitelesítő alkalmazás nem kell hozzá. Wifin csak akkor működik, ha a készülék a szolgáltatótól előzetesen külön azonosítót kapott, a Vodafone 2026 júliusában bevezetett változata a cég szerint már így, wifin is ellenőriz. A bank engedélye egyszer használható, és legfeljebb 300 másodpercig érvényes. Az adategyezés (KYC Match) a bank által megadott adatokat tételenként veti össze a szolgáltató nyilvántartásával, és mindegyikre egyezik, nem egyezik vagy nincs adat választ ad, a nyilvántartott adatokat viszont nem adja ki.

Hol működik már a SIM-csere jelzése?

Az egyes országokban a szolgáltatók jellemzően közösen, egy időben indították a lekérdezéseket:

Németországban 2024 februárjában a SIM-csere lekérdezés még fejlesztői előzetesként futott, Görögországban a két nagy szolgáltató 2026 márciusában jelentette be mindkét lekérdezés indítását. A szolgáltatók közleményei egyetlen európai bankot sem neveznek meg, amely a SIM-csere lekérdezést használná. Franciaországban két online bank, a BforBank és a Fortuneo az adategyezést használja. Több ország szolgáltatóinak lekérdezéseit egyetlen szerződéssel az Aduna árulja, amelyet az Ericsson és tizenkét szolgáltató, köztük a Deutsche Telekom, az Orange, a Telefónica és a Vodafone hozott létre 2025 júliusában. A GSMA indulási közleményei között magyar szolgáltató nem szerepel, és hazai bank sem számolt be a lekérdezések használatáról.

Mit vár az uniós pénzforgalmi rendelet a mobilszolgáltatóktól?

Az új uniós pénzforgalmi rendeletet (PSR) az Európai Unió Tanácsa 2026. október 29-én fogadta el, az Európai Parlament szavazása még hátravan. A szöveg a SIM-kártyát nem említi, a telefonos csalás ellen viszont a telefon- és üzenetszolgáltatókat is kötelezi: közvetlen kapcsolattartási csatornát kell kiépíteniük a pénzforgalmi szolgáltatókkal, vagy információmegosztó rendszerhez kell csatlakozniuk, és szervezeti és technikai intézkedésekkel kell kiszűrniük a megszemélyesítéses csalást, a hívószám meghamisítását is. Ha a csaló a fogyasztó bankjának adja ki magát a bankhoz köthető csatornán, és az ügyfél így maga hagy jóvá egy utalást, a bank a teljes összeget köteles visszatéríteni, ha az ügyfél haladéktalanul jelezte a csalást a banknak és a rendőrségnek, és nem járt el csalárd módon vagy súlyos gondatlansággal. A szabályok többségét a hatálybalépés után 21 hónappal kell alkalmazni. A SIM-csere lekérdezés bevezetése tehát a rendelet után is a szolgáltatók és a bankok saját döntése marad.