Vigyázz, mit posztolsz! Egy ártatlan kép miatt is kifoszthatnak a csalók: egyre többen járnak pórul Magyarországon

Sokan még mindig úgy gondolnak a közösségi médiára, mint egy digitális családi albumra: oda kerül a repülőtéri indulás, az első lakáskulcs, a gyerek bizonyítványa, a fesztiváljegy, az új autó, a hotelmedence, a koncertbelépő. Csakhogy ezek a képek nem csak az ismerősöknek árulnak el rólunk valamit. Hanem bárkinek, aki adatokat gyűjt, visszaélne velük, vagy éppen csalást készít elő.

Az amerikai Szövetségi Kereskedelmi Bizottság, az FTC friss adatai szerint 2025-ben az anyagi kárral járó csalások közel 30 százaléka a közösségi médiából indult. Az így bejelentett veszteség 2,1 milliárd dollár volt. Az szervezet egy másik jelentése arra is figyelmeztetett, hogy a nagy közösségi és videóplatformok hatalmas mennyiségű személyes adatot gyűjtenek és hasznosítanak, ami önmagában is növeli a magánszféra, a személyazonosság-lopás és akár a zaklatás kockázatát.

A magyar KiberPajzs is külön figyelmeztet arra, hogy a közösségi médiában megszerzett személyes adatokkal csalók jogosulatlan vásárlásokat hajthatnak végre, bankszámlát nyithatnak, előfizetéseket köthetnek, hitelt vehetnek fel, vagy továbbadhatják az adatokat más bűnözőknek.

Vagyis a kérdés ma már nem az, hogy „érdekel-e bárkit az én posztom?”, hanem az, hogy látszik-e rajta bármi, amit egy csaló, adathalász, zaklató vagy betörő fel tud használni.

Beszállókártya, repülőjegy, foglalási kód: ne posztold, még sztoriba se

A beszállókártya klasszikus „nyaralás indul” tartalom, pedig az egyik legrosszabb dolog, amit csak ki tudunk tenni. A rajta lévő név, járatszám, ülés, foglalási azonosító és főleg a vonalkód vagy QR-kód több adatot árulhat el, mint amit szabad szemmel látunk.

A Condé Nast Traveler által megszólaltatott adatvédelmi szakértők szerint a beszállókártya vonalkódja légitársaságtól függően tartalmazhat törzsutas-adatokat, elérhetőségeket, útvonaladatokat, sőt más azonosító információkat is. A cikkben említett példa szerint Tony Abbott volt ausztrál miniszterelnök egy Qantas-beszállókártyát tett közzé Instagramon, amelyből egy hacker hozzáfért személyes adataihoz, köztük telefonszámához és útlevélszámához. 

A legfontosabb szabály: a beszállókártya nem szuvenír, hanem érzékeny dokumentum. Ha papír alapú, ne dobd egyben a kukába, inkább tépd össze vagy iratmegsemmisítővel semmisítsd meg. Ha digitális, ne posztold a képernyőképet.

Útlevél, személyi igazolvány, jogosítvány: kitakarva se!

Sokan a „végre megjött az útlevelem” vagy „sikeres forgalmi vizsga” pillanatát is megosztják. Ez különösen veszélyes. Az igazolványokon szerepelhet teljes név, születési dátum, okmányszám, lakcím, aláírás, arckép, állampolgárság, lejárati dátum: vagyis pontosan azok az adatok, amelyeket azonosításhoz, fiók-visszaállításhoz, banki ügyintézéshez vagy csalási kísérletekhez használnak.

Az FTC általános adatvédelmi tanácsai szerint a pénzügyi és személyes információkat tartalmazó dokumentumokat biztonságos helyen kell tartani, és nem szabad feleslegesen megosztani. 

Ha kitakarjuk rajta a számot, az sem mindig elég. A képen maradhat géppel olvasható zóna, QR-kód, vonalkód, tükröződés, háttérben látható másik dokumentum, vagy a fotó metaadata. A legbiztonságosabb megoldás:

okmányról egyáltalán ne posztolj képet.

Bankkártya, számla, csekk, szerződés: nem csak a kártyaszám számít

A bankkártya nyilvánvaló veszélyforrás, de nem csak a 16 jegyű kártyaszámra kell figyelni. Egy számlán, közüzemi csekken, szerződésen, fizetési felszólításon vagy csomagcímkén is lehet név, cím, ügyfélszám, rendelési azonosító, bankszámlaszám, telefonszám, e-mail-cím.

Ezek önmagukban talán nem tűnnek elégnek egy csaláshoz, de a bűnözők gyakran mozaikszerűen dolgoznak: egy posztból megszerzik a születésnapot, egy másikból a lakcímet, egy harmadikból a bank nevét, egy negyedikből a gyerek vagy háziállat nevét. Ezekből már célzott adathalász üzenetet, hamis banki hívást vagy jelszó-visszaállítási próbálkozást lehet indítani.

A Javelin Strategy & Research 2026-ban közzétett identitáscsalási jelentése szerint a csalási veszteségek ugyan bizonyos kategóriákban mérséklődtek, de a személyazonossággal kapcsolatos visszaélések továbbra is súlyos problémát jelentenek; a csalások 2025-ös vesztesége még mindig 10,7 milliárd dollár volt az általuk vizsgált amerikai piacon.

Koncertjegy, fesztiválbelépő, sportjegy: a QR-kód a jegy maga

A koncert- és fesztiváljegyeknél sokan csak a nevet takarják ki, de a QR-kódot vagy vonalkódot meghagyják. Ez óriási hiba. A belépőn lévő kód gyakran maga a belépési jogosultság. Ha valaki előbb beolvassa vagy lemásolja, a valódi tulajdonos a kapunál szembesülhet azzal, hogy a jegyet már felhasználták.

A szakértők külön figyelmeztetnek arra is, hogy a csalók QR-kódokat használhatnak káros linkek, hamis fizetési oldalak vagy adathalász oldalak terjesztésére.

A szabály egyszerű: jegyről csak az esemény után posztolj, és akkor is takard ki a teljes vonalkódot, QR-kódot, rendelési számot, ülésadatot és nevet.

Lakáskulcs, autókulcs, irodai kulcs: egy jó fotóból másolat készülhet

Az új lakáskulcs fotója sokaknál ünnepi poszt: „megvettük az első lakásunkat”, „beköltöztünk”, „új fejezet”. Csakhogy a kulcsról készült éles kép biztonsági kockázat. Lakatosok és otthonbiztonsági szakértők szerint bizonyos kulcsokról akár fotó alapján is készíthető másolat, például 3D-nyomtatással, kulcsmásoló szolgáltatással vagy a kulcsprofil és fogazat leolvasásával. 

Ez nem azt jelenti, hogy minden Facebook-ismerős kulcsot fog másolni, azt viszont igen, hogy felesleges olyan tárgyról jó minőségű, nagyítható fotót adni a nyilvánosságnak, amely fizikailag hozzáférést biztosít az otthonodhoz, autódhoz vagy munkahelyedhez.

A lakáskulcsot kezeld úgy, mint egy jelszót: nem mutatjuk meg, nem fotózzuk le, nem posztoljuk.

Nyaralás valós időben: üres a lakás!

A tengerparti fotó, reptéri becsekkolás vagy „egy hétig offline” poszt nemcsak azt árulja el, hogy hol vagy, hanem azt is, hogy hol nem vagy: otthon. A National Cybersecurity Alliance kifejezetten azt javasolja, hogy utazás közben óvatosan osszunk meg tartalmakat, és fontoljuk meg, hogy a nyaralós képeket csak hazaérkezés után tesszük közzé. Hasonló tanácsot ad több rendőrségi és helyi hatósági tájékoztató is: ne posztoljunk előre nyaralási terveket, és a fotókat inkább az utazás után osszuk meg. Különösen kockázatosak ezek:

• reptéri fotó induláskor,
• hotelnév és szobaszám,
• élő helymegosztás,
• hosszú távollét bejelentése,
• „végre 10 nap Balin” típusú nyilvános poszt.

Ha mindenképp szeretnél posztolni, állítsd privátra a profilodat, ne jelölj pontos helyszínt, és inkább utólag tedd ki a képeket.

Gyerekfotók: nem csak az arc számít, hanem az adat is

A gyerekekről szóló posztoknál sok szülő arra figyel, látszik-e az arc. Ez fontos, de nem elég. A háttérben látható iskola neve, óvoda logója, egyenruha, sportegyesület, bizonyítvány, születésnapi torta, lakókörnyezet vagy napi rutin mind olyan információ, amelyből idegenek következtethetnek a gyerek tartózkodási helyére, életkorára, szokásaira.

Az NMHH is arra figyelmeztet, hogy a gyerekfotók közzététele adatvédelmi és magánszférát érintő kérdés, és a szülőknek mérlegelniük kell, hogy a gyermek később hogyan érezhet majd a róla közzétett tartalmak miatt. A hatóság szerint a gyermek véleményét is érdemes figyelembe venni, ha már elég idős hozzá. (nmhh.hu)

A mesterséges intelligencia miatt a kockázat még nagyobb lett. Az amerikai National Center for Missing & Exploited Children arra figyelmeztet, hogy generatív MI-t használnak gyermekeket ábrázoló, manipulált szexuális tartalmak és zsarolási helyzetek előállítására is. A szervezet szerint 2024-ben és 2025-ben több mint 275 közvetlen áldozatot azonosítottak generatív MI-vel készült gyermekbántalmazási képi anyagok ügyében, és 2023 januárja és 2025 decembere között több mint 158 ezer képet és videót soroltak AI-generált kategóriába a beérkezett jelentések alapján.

A praktikus szabály: ne posztolj nyilvánosan gyerekről fürdőruhás, kiszolgáltatott, iskolát vagy lakcímet azonosító, betegséggel, bizonyítvánnyal, személyes adattal vagy napi rutinnal kapcsolatos képet.

Munkahelyi belépő, céges laptop, képernyőfotó: a háttér is beszédes

Egy home office-os fotón vagy irodai szelfin könnyen látszódhat belépőkártya, céges e-mail-cím, ügyféladat, belső rendszer, naptármeghívó, projektkód, Teams-beszélgetés, jelszócetli vagy bizalmas prezentáció. Ez nemcsak neked, hanem a munkahelyednek is kárt okozhat. A bűnözők a nyilvánosan elérhető információkat felhasználhatják személyazonosság-lopásra vagy meggyőzőbb adathalász üzenetek összeállítására. 

Mielőtt posztolsz egy irodai vagy otthoni munkakörnyezetben készült fotót, nagyíts bele: látszik-e képernyő, cetli, belépőkártya, ügyfélnév, csomagcímke, céges dokumentum?

Lakcím, rendszám, házszám: apró részlet, kellemetlen következmény

Az új autós fotón ott lehet a rendszám, a költözős képen a házszám, a csomagátvételes sztoriban a teljes címke, a kertben készült képen pedig felismerhető lehet az utca. Ezek mind azonosító adatok.

Egy rendszám, lakcím vagy házszám önmagában talán nem elég egy nagy csaláshoz, de más adatokkal együtt már pontos profilt adhat rólad. A közösségi média különösen veszélyes terep, mert a különböző posztokból évek alatt összeállhat a teljes életút: hol laksz, mikor utazol, milyen autód van, hol dolgozol, milyen iskolába jár a gyereked, mikor van születésnapotok.

Posztolás előtti 30 másodperces ellenőrzőlista

Mielőtt kiteszel egy képet, nézd meg nagyítva, látszik-e rajta:

• QR-kód, vonalkód, foglalási szám;
• okmányszám, ügyfélszám, rendelési szám;
• bankkártya, számla, csekk, szerződés;
• lakcím, csomagcímke, házszám;
• rendszám;
• kulcs;
• gyerek iskolája, óvodája, sportklubja;
• munkahelyi belépő vagy képernyő;
• gyógyszeres doboz, lelet, recept;
• hotel neve, szobaszám, pontos aktuális tartózkodási hely.

A legfontosabb szabály: ami egyszer kikerül, azzal elveszíted az irányítást
A közösségi médiában nem csak az számít, hogy kik az ismerőseid. Egy képernyőfotó, továbbküldés, feltört fiók, nyilvános csoport, adatbróker vagy keresőmotor miatt egy poszt olyan helyekre is eljuthat, ahová soha nem szántad. A National Cybersecurity Alliance ezért azt javasolja, hogy akkor is úgy viselkedjünk, mintha minden megosztás nyilvános lehetne, ha egyébként figyelünk az adatvédelmi beállításokra.