A biztonságos internet világnapját (Safer Internet Day) 2026-ban február 10-én tartották. Az esemény 2004 óta hívja fel a figyelmet arra, hogy az internet rengeteg lehetőséget kínál, de a használata kockázatokkal és felelősséggel is jár. 2026-ban a kezdeményezés központi gondolata továbbra is a „Together for a better internet”, vagyis egy jobb és biztonságosabb internet közös megteremtése volt.
Ez nem csak a gyerekek online biztonságáról szól. Legyen szó rólad, aki esténként a közösségi médiát pörgeti, vagy egy vállalkozásról, amely nap mint nap ügyféladatokat, szerződéseket és üzleti információkat kezel, a biztonságos internet mindannyiunk ügye.
2026-ban ráadásul a mesterséges intelligencia fejlődése új helyzetet teremtett. A generatív AI nemcsak hasznos eszköz: csalók is használhatják hitelesebbnek tűnő levelek, üzenetek, képek vagy akár hanganyagok elkészítésére. Emiatt ma már egy helyesen megfogalmazott, professzionálisnak tűnő üzenet sem feltétlenül megbízható. A jó hír, hogy az online támadások jelentős részénél ugyanazok az alapelvek működnek: egyedi hitelesítő adatok, többfaktoros védelem, rendszeres frissítés, megfelelő jogosultságkezelés, biztonsági mentés és némi egészséges gyanakvás.
Mit jelent valójában a biztonságos internethasználat?
A biztonságos internet nem azt jelenti, hogy minden veszélyt ki tudunk zárni. Ilyen állapot gyakorlatilag nem létezik. A cél az, hogy csökkentsük egy sikeres támadás esélyét, és akkor is korlátozni tudjuk a károkat, ha valami mégis rosszul sül el. Ezért nincs egyetlen „biztonsági program”, amely minden problémát megold. A védelem több rétegből áll.
Egy erős jelszó például kevés, ha ugyanazt tíz szolgáltatásban használod. A többfaktoros hitelesítés sokat segít, de nem helyettesíti a frissítéseket. Egy vállalati tűzfal sem oldja meg azt a problémát, ha minden dolgozó rendszergazdai jogosultsággal rendelkezik. A biztonsági mentés pedig csak akkor ér valamit, ha egy támadás után valóban vissza is lehet állítani belőle az adatokat.
A biztonságos internethasználat ezért inkább rendszer, mint egyetlen beállítás.
Te is célpont lehetsz – kockázatok hétköznapi felhasználóként
Nem kell híresnek, gazdagnak vagy egy nagyvállalat vezetőjének lenned ahhoz, hogy online támadás érjen. Sok támadás automatizált: a csalók nagy mennyiségben próbálkoznak, majd arra koncentrálnak, akinél sikerül valamilyen belépési pontot találni.
Adathalászat: amikor nem az ír, akinek mondja magát
Biztosan kaptál már olyan e-mailt vagy SMS-t, amely egy banktól, futárcégtől, streaming szolgáltatótól vagy állami szervezettől látszólag teljesen hihető módon érkezett.
Az adathalászat, vagy phishing lényege, hogy a támadó rávegyen valamire: add meg a jelszavadat, nyiss meg egy mellékletet, kattints egy hamis bejelentkezési oldalra, utalj pénzt vagy árulj el más érzékeny információt. Az AI miatt egyre kevésbé érdemes kizárólag a helyesírási hibákra hagyatkozni. Sokkal beszédesebb, ha az üzenet:
sürget vagy fenyeget;
váratlan bejelentkezést, fizetést vagy adatmegadást kér;
szokatlan csatornán érkezik;
egy linkre terel, ahol újra be kell jelentkezned;
jelszót, egyszer használatos kódot vagy banki adatot kér;
olyan kérést tartalmaz, amely eltér a megszokott folyamattól.
Ha kétséged van, ne az üzenetben található linket használd. Nyisd meg külön a szolgáltató alkalmazását vagy írd be a már ismert webcímet, és ott ellenőrizd, valóban történt-e valami. A NIST is kiemeli, hogy a phishing egyik tipikus formája egy megbízható weboldal lemásolása, ahol a támadó a felhasználó belépési adatait próbálja megszerezni.
Egy jelszó az egész világra?
Te is azok közé tartozol, akik ugyanazt a jelszót több helyen használják? Ez azért veszélyes, mert egyetlen szolgáltatás kompromittálása dominóeffektust indíthat el. Ha például ugyanazzal az e-mail-cím–jelszó párossal regisztráltál egy webáruházba, egy közösségi oldalra és egy üzleti szolgáltatásba, az egyik helyről megszerzett belépési adatokat a támadók automatikusan kipróbálhatják a többin is. Ezt nevezik credential stuffingnak.
A jobb megoldás egy jelszókezelő, amely minden szolgáltatáshoz külön, hosszú és véletlenszerű jelszót tud létrehozni és tárolni. A jelszókezelő fő fiókját viszont különösen erősen kell védeni, lehetőleg többfaktoros hitelesítéssel. A NIST jelenlegi ajánlásai kifejezetten támogatják a jelszókezelők és az automatikus kitöltés használatát.
A jelszónál is jobb lehet a passkey
Ahol elérhető, érdemes megismerkedni a passkey, vagyis hozzáférési kulcs alapú bejelentkezéssel is. A passkey nem egy újabb megjegyzendő jelszó. Kriptográfiai kulcspárt használ: a szolgáltató nem kapja meg azt a titkos kulcsot, amellyel a felhasználó azonosítja magát. A belépést jellemzően a saját eszközödön hagyod jóvá PIN-kóddal, ujjlenyomattal vagy arcfelismeréssel. Ennek nagy előnye, hogy a passkey ellenállóbb a hagyományos adathalászattal szemben, mint a jelszó. Egy hamis weboldal nem tud egyszerűen rávenni arra, hogy begépeld és átadd neki a titkos hitelesítő adatot.
Kétfaktoros hitelesítés: nem mindegy, milyen
A két- vagy többfaktoros hitelesítés (2FA/MFA) azt jelenti, hogy a jelszó mellett egy másik bizonyítékot is kér a rendszer. Ez lehet például egy hitelesítő alkalmazás, fizikai biztonsági kulcs vagy az eszközödön tárolt kriptográfiai hitelesítő. Már az egyszerű MFA is sokkal jobb annál, mintha kizárólag jelszóra támaszkodnál. Ugyanakkor nem minden második faktor nyújt ugyanolyan védelmet. Az SMS-ben vagy alkalmazásban megjelenő egyszer használatos kódok bizonyos phishing támadások során továbbíthatók a csalónak. A FIDO/WebAuthn-alapú biztonsági kulcsok és passkey-k ennél erősebb, adathalászattal szemben ellenálló hitelesítést tesznek lehetővé. Különösen az e-mail-fiókod, pénzügyi szolgáltatásaid, felhőtárhelyed és üzleti rendszereid esetében érdemes a legerősebb elérhető hitelesítési módot választani.
A kávézó Wi-Fi-je: veszélyes vagy sem?
A nyilvános Wi-Fi-vel kapcsolatban gyakran hallani, hogy bárki egyszerűen „beleolvashat” minden adatforgalmadba. Ez ma már így túlzó állítás. A modern weboldalak túlnyomó részénél a HTTPS titkosítja a böngésződ és a szerver közötti kommunikációt, így egy nyilvános hálózat használata önmagában nem jelenti azt, hogy a melletted ülő ember automatikusan látja a jelszavaidat.
Ettől még érdemes óvatosnak lenni. Problémát jelenthet például egy támadó által létrehozott, megtévesztő nevű Wi-Fi-hálózat, egy rosszul konfigurált szolgáltatás vagy az, ha figyelmen kívül hagyod a böngésző tanúsítványhibára vonatkozó figyelmeztetését. Nyilvános hálózaton ezért:
ellenőrizd, hogy a megfelelő Wi-Fihez csatlakozol;
ne hagyd figyelmen kívül a böngésző biztonsági figyelmeztetéseit;
érzékeny ügyintézéshez szükség esetén használd inkább a mobilinternetet;
kapcsold ki az automatikus csatlakozást ismeretlen hálózatokhoz;
vállalati eszközön tartsd be a szervezet VPN-re és távoli hozzáférésre vonatkozó szabályait.
A VPN hasznos plusz védelmi réteg lehet, de nem varázspajzs: nem akadályozza meg, hogy egy hamis weboldalon önként megadd a jelszavadat.
„Majd holnap frissítek…”
Ismerős? Pedig az operációs rendszerek, böngészők, telefonos alkalmazások és egyéb szoftverek frissítései rendszeresen tartalmaznak biztonsági javításokat. Ha egy sérülékenység javítása már elérhető, a frissítés halogatása azt jelenti, hogy tovább használod a hibás verziót. Különösen veszélyes a helyzet akkor, ha az adott sérülékenységet támadók már aktívan kihasználják.
A legegyszerűbb megoldás: ahol lehet, kapcsold be az automatikus frissítést. A CISA szintén az alapvető online biztonsági lépések között kezeli a szoftverek naprakészen tartását.
Amikor túl sokat mutatunk magunkból
A közösségi médiában közzétett információk önmagukban ártalmatlannak tűnhetnek. Egy támadó számára azonban több apró részletből meglepően pontos kép állhat össze. Munkahely, beosztás, kollégák neve, születésnap, utazás, családtagok vagy üzleti partnerek: ezek mind felhasználhatók egy személyre szabott megtévesztéshez. Ezért időnként nézd át, mit láthat rólad egy idegen, és csak azt tedd nyilvánossá, aminek valóban nyilvánosnak kell lennie.
Vállalkozások: amikor a biztonság üzleti kérdéssé válik
Egy vállalkozásnál az informatikai biztonság már nem kizárólag az IT feladata. Egy sikeres támadás leállíthatja a működést, hozzáférhetetlenné teheti az adatokat, érintheti az ügyfeleket és beszállítókat, valamint adatvédelmi és szerződéses következményeket is okozhat. Minél több folyamat kerül digitális rendszerbe, annál fontosabb, hogy a biztonság már a tervezés része legyen. Ez egy egyedi szoftver fejlesztésénél ugyanúgy igaz, mint egy webes ügyfélportálnál vagy belső vállalati rendszernél.
Zsarolóvírusok: nem csak a fájlok titkosításáról van szó
A ransomware, vagyis zsarolóvírusos támadás során a támadók megpróbálhatják ellehetetleníteni a vállalkozás hozzáférését a saját rendszereihez és adataihoz. A modern támadások azonban nem feltétlenül állnak meg a titkosításnál: az adatok megszerzése és kiszivárogtatással való fenyegetés is része lehet a zsarolásnak.
A védekezés egyik alapja a biztonsági mentés, de nem elegendő egyszerűen egy másolatot készíteni ugyanarra a hálózatra. Ha a ransomware a mentéshez is hozzáfér, azt ugyanúgy titkosíthatja vagy törölheti. A CISA ezért elkülönített, lehetőség szerint offline vagy más módon védett biztonsági mentéseket, valamint a visszaállítás rendszeres tesztelését javasolja.
Az emberi tényező – és a rosszul megtervezett folyamat
Egy figyelmetlenül megnyitott melléklet, egy megtévesztő bejelentkezési oldal vagy egy félreküldött dokumentum valóban biztonsági incidenst okozhat. Hiba lenne azonban minden problémát egyszerűen a felhasználóra fogni. Egy jól felépített rendszernek abból kell kiindulnia, hogy az emberek időnként hibáznak.
Ezért van szükség például többfaktoros hitelesítésre, korlátozott jogosultságokra, jóváhagyási folyamatokra, naplózásra, automatikus biztonsági ellenőrzésekre és megfelelő felhasználói felületekre. Ha egyetlen rossz kattintás az egész vállalati rendszer kompromittálásához vezethet, akkor nem csak a kattintással van probléma.
A biztonságtudatossági képzés tehát fontos, de technikai védelem nélkül önmagában kevés.
Jogosultságok: mindenki csak ahhoz férjen hozzá, amihez kell
A legkisebb jogosultság elve szerint egy felhasználó, alkalmazás vagy szolgáltatás csak azokhoz az erőforrásokhoz férjen hozzá, amelyekre a feladatához ténylegesen szüksége van. Egy értékesítőnek például nincs feltétlenül szüksége a teljes rendszer adminisztrátori jogosultságára csak azért, mert hozzáfér a CRM-rendszerben tárolt ügyféladatokhoz.
Ennek gyakorlati jelentősége egy támadásnál mutatkozik meg igazán. Ha egy korlátozott jogosultságú fiókot szereznek meg, a támadó mozgástere is korlátozottabb lehet. Ha minden felhasználó szinte mindenhez hozzáfér, egyetlen kompromittált fiók sokkal nagyobb kárt okozhat. A jogosultságokat ezért nem elég egyszer beállítani. Rendszeresen felül kell vizsgálni őket, különösen munkakörváltás és kilépés esetén.
Régi rendszerek, új veszélyek
Sok vállalkozás évek óta működő szoftverekre támaszkodik. Önmagában attól még nem lesz veszélyes egy rendszer, hogy régi. A probléma akkor kezdődik, ha az operációs rendszer, keretrendszer, könyvtár vagy más komponens már nem kap biztonsági frissítéseket.
Ilyenkor egy újonnan felfedezett sérülékenységhez nem feltétlenül érkezik javítás. A régi rendszer korszerűsítésénél ezért nem csak a látványt vagy az új funkciókat kell vizsgálni. Fel kell térképezni a függőségeket, az adatbázist, a külső integrációkat, a hitelesítési megoldást, a jogosultságokat, a naplózást és a mentési folyamatot is.
A CISA kifejezetten javasolja azoknak az internet felől elérhető szoftvereknek és eszközöknek a lecserélését, amelyek már nem kapnak biztonsági támogatást.
GDPR és adatvédelem: a biztonság is része az adatkezelésnek
A GDPR szempontjából egy adatvédelmi incidens nem kizárólag azt jelenti, hogy „ellopták az adatbázist”. Incidens lehet személyes adatok jogosulatlan hozzáférése, nyilvánosságra kerülése, elvesztése, megváltoztatása vagy megsemmisülése is. Ezért egy rossz címzettnek elküldött ügyféllista ugyanúgy adatvédelmi esemény lehet, mint egy külső támadás.
A szervezetnek fel kell készülnie arra is, hogyan ismeri fel, dokumentálja és értékeli az incidenst. A GDPR alapján bizonyos adatvédelmi incidenseket 72 órán belül be kell jelenteni az illetékes felügyeleti hatóságnak, ezért nem szerencsés az incidenskezelést akkor kitalálni, amikor már megtörtént a baj.
A beszállítói lánc mint belépési pont
Hiába véded jól a saját rendszered, ha egy külső szolgáltató, integráció vagy szoftverkomponens sebezhető. Egy modern alkalmazás ritkán készül teljesen elszigetelten. Külső könyvtárakat, API-kat, felhőszolgáltatásokat, fizetési rendszereket, e-mail-küldő szolgáltatást és más komponenseket használhat. Ezek mind függőséget jelentenek.
Ez nem azt jelenti, hogy minden külső szolgáltatást kerülni kell. Inkább azt, hogy tudni kell: milyen külső rendszerektől függ a működés, milyen adatokhoz férnek hozzá, hogyan történik a hitelesítés, és mi történik akkor, ha valamelyik szolgáltatás kompromittálódik vagy kiesik.
Mit tehetsz? Konkrét lépések a biztonságosabb internetért
A biztonság nem egyetlen nagy projektből áll. Sokszor néhány jól megválasztott alapintézkedés jelentősen csökkenti a kockázatot.
Ha magánszemély vagy
Használj minden fontos fiókhoz egyedi jelszót, lehetőleg megbízható jelszókezelő segítségével.
Kapcsold be az MFA-t, különösen az e-mail-, közösségimédia-, pénzügyi és felhőfiókjaidnál. Ha van passkey vagy más phishing-resistant megoldás, részesítsd előnyben.
Ne adj át egyszer használatos belépési kódot másnak. Attól, hogy valaki ismeri a nevedet vagy más személyes adatodat, még nem biztos, hogy valóban a szolgáltatód munkatársa.
Gyanakodj a sürgető üzenetekre. Ha valami azonnali fizetést, jelszómódosítást vagy adatmegadást követel, ellenőrizd más csatornán.
Kapcsold be az automatikus frissítéseket a telefonodon, számítógépeden, böngésződben és alkalmazásaidban.
Nyilvános Wi-Fi-n légy körültekintő, és érzékeny műveletnél szükség esetén válts mobilhálózatra vagy használd a szervezeted által előírt VPN-t.
Nézd át a közösségi média adatvédelmi beállításait, és gondold végig, milyen információkat láthat rólad egy ismeretlen.
Készíts biztonsági mentést azokról a fájlokról, amelyek elvesztése komoly problémát okozna.
Ha vállalkozást vezetsz
A vállalati védelemnél nem érdemes egyetlen termékre építeni. A cél egy olyan többrétegű rendszer, ahol egy védelmi elem hibája nem jelenti automatikusan az egész infrastruktúra elvesztését.
Érdemes legalább az alábbiakat rendezni:
legyen nyilvántartás a fontos rendszerekről, eszközökről és külső szolgáltatásokról;
legyen kötelező MFA a kritikus és adminisztrátori fiókoknál;
rendszeresen vizsgáld felül a felhasználói jogosultságokat;
telepítsd időben a biztonsági frissítéseket;
a támogatás nélküli rendszerekhez készüljön korszerűsítési vagy kivezetési terv;
készíts automatikus, elkülönített biztonsági mentéseket, és időnként próbáld ki a visszaállítást is;
legyen incidenskezelési terv és egyértelmű felelősségi kör;
naplózd a kritikus eseményeket, és legyen mód a rendellenességek felismerésére;
képezd a munkatársakat adathalászat, adatkezelés és incidensjelentés témában;
rendszeresen vizsgáld felül a külső szolgáltatók és integrációk hozzáféréseit.
A hibák gyors felismerésében az alkalmazások megfelelő monitorozása és hibakövetése is szerepet játszik. Fontos azonban, hogy a naplókba és hibajelentésekbe se kerüljenek szükségtelenül jelszavak, tokenek vagy más érzékeny adatok.
Mit tegyél, ha már megtörtént a baj?
Egy gyanús kattintás után nem érdemes arra várni, hogy történik-e valami. Ha egy adathalász oldalon megadtad a jelszavadat, változtasd meg az érintett fiók jelszavát, és ha máshol is ugyanazt használtad, ott is cseréld le. Ellenőrizd az aktív munkameneteket, jelentkeztesd ki az ismeretlen eszközöket, és kapcsold be vagy állítsd újra a többfaktoros hitelesítést.
Ha banki vagy fizetési adat érintett, vedd fel a kapcsolatot a pénzügyi szolgáltatóval. Munkahelyi fiók esetén pedig minél előbb jelezd az esetet az illetékes kollégának – még akkor is, ha nem vagy biztos benne, hogy valóban történt kompromittálás. A gyors jelzés sokszor lehetőséget ad arra, hogy a támadást még időben korlátozzák.
Vállalati incidensnél az első reflex ne az legyen, hogy gyorsan eltüntetjük a problémát. Meg kell őrizni a vizsgálathoz szükséges információkat, fel kell mérni az érintett rendszereket és adatokat, korlátozni kell a támadó hozzáférését, majd ellenőrzött módon megkezdeni a helyreállítást.
A biztonság már a rendszer tervezésénél kezdődik
Egy webalkalmazást, ügyviteli rendszert vagy CRM-et utólag is lehet biztonságosabbá tenni, de sokkal jobb, ha az alapvető védelmi szempontok már a tervezéskor megjelennek. Ilyen például a titkosított adatátvitel, a megfelelő hitelesítés, a szerepkörökhöz kötött jogosultságkezelés, az érzékeny adatok védelme, a naplózás, a frissíthetőség, a biztonsági mentés és az, hogy a rendszer hibája esetén ne kerüljön indokolatlanul sok technikai vagy személyes információ a felhasználó elé.
A biztonság ráadásul nem ér véget az átadáskor. Egy jól elkészített rendszer is sebezhetővé válhat, ha évekig nem frissítik. Ezért a fejlesztés mellett a karbantartás, monitorozás és rendszeres felülvizsgálat is a teljes életciklus része. Egy vállalati webes megoldásnál ezért már a fejlesztő kiválasztásakor érdemes rákérdezni arra is, mi történik a rendszerrel az indulás után.
Biztonságos internet: nem egyszeri feladat, hanem működési mód
A biztonságos internet nem azt jelenti, hogy többé nem kattintunk linkekre, nem használunk felhőszolgáltatásokat vagy minden ismeretlen hálózattól rettegünk. A cél éppen az, hogy úgy használjuk a digitális lehetőségeket, hogy közben a kockázatokat is tudatosan kezeljük.
Magánszemélyként már az egyedi jelszavak, a jelszókezelő, az MFA vagy passkey, a rendszeres frissítés és a gyanús üzenetek ellenőrzése is sokat jelent. Egy vállalkozásnál ehhez további rétegek társulnak: jogosultságkezelés, mentések, monitorozás, incidenskezelés, frissítési folyamat, beszállítói kockázatok és a biztonságot már a fejlesztéskor figyelembe vevő rendszertervezés.
A NETiparnál ezért egyedi szoftver, webalkalmazás vagy üzleti rendszer tervezésekor a biztonságot nem különálló funkcióként kezeljük. A hitelesítés, az adatvédelem, a jogosultságok, a karbantarthatóság és az üzemeltetés együtt határozza meg, mennyire lehet hosszú távon megbízni egy rendszerben. Ha új rendszert tervezel, vagy szeretnéd felülvizsgálni és korszerűsíteni a meglévőt, beszélgessünk róla. A jó szoftver nemcsak azt tudja, amire az üzletnek szüksége van – azt is átgondolja, hogyan lehet ezeket a funkciókat biztonságosan működtetni.
