Фишинговые атаки являются одними из самых распространенных и эффективных видов мошенничества в Интернете. Рост криптовалюты позволил фишингу стать более эффективным за счет сочетания технологии — необратимых транзакций, расчет которых занимает считанные минуты — и незнания людьми этой технологии.
Проблема с фишингом заключается в том, что он принимает множество форм, обычно притворяясь знакомым сервисом, с которым вы уже взаимодействовали, что затрудняет немедленное распознавание обмана.
Конечная цель фишинговой атаки — убедить пользователей раскрыть информацию, которая может быть использована для захвата их учетных записей. В случае с аппаратными криптокошельками это обычно ваш код восстановления. Хорошая новость заключается в том, что их можно избежать, фильтруя информацию, которой вы делитесь в сети и вне ее.
В этой статье рассматриваются некоторые способы фишинговых атак, а также некоторые рекомендации, которые помогут вам не попасться на такую удочку в будущем.
Мошенники повсюду
Фишинг — быстро развивающаяся отрасль. Он варьируется от сложных сетей злоумышленников и специально созданных инструментов до отдельных лиц, действующих в одиночку без предварительного планирования. Стоимость проведения атак часто очень низкая или практически бесплатна, поэтому ее можно неоднократно предпринимать для одной жертвы.
Даже хорошо информированные пользователи, которые знают, как позаботиться о своем коде восстановления, могут попасться на уловки этих мошенников либо из-за недальновидности, либо из-за умной социальной инженерии. Независимо от того, смотрите ли вы рекламу на Youtube, читаете сообщение на форуме, вводите URL-адрес или проверяете электронную почту, вы можете стать жертвой фишинга.
Зарегистрированные потери от фишинга на традиционных рынках исчисляются десятками миллионов долларов, но эти цифры не включают потери криптовалюты. Эффективность фишинга в криптопространстве оценивается во много раз выше. Только за первые четыре месяца 2021 года было украдено более 400 миллионов долларов. Если вы хотите сохранить свои инвестиции, ознакомьтесь с угрозами.
Мошенники изобретают исключительные сценарии, когда — только один раз — пользователь должен ввести свой код восстановления из-за лжи о неисправности или риске потери криптовалюты. Эти трюки с пользователями особенно эффективны, потому что мошенники оказывают на них дополнительное давление, чтобы они действовали быстро или рисковали потерять свои активы.
Почему фишинг так эффективен
- Охват. Информация распространяется быстро. Одно сообщение, содержащее ссылку на фишинговый сайт, может быть доставлено десяткам тысяч людей в один клик практически бесплатно для отправителя. Даже одной жертвы из этих тысяч может быть достаточно, чтобы получить прибыль. Чтобы быть более эффективными, профессиональные мошенники также инвестируют в украденные или просочившиеся данные и используют в своих интересах страх, мотивацию или другие конфиденциальные данные, на которые, скорее всего, отреагирует цель.
- Простота. Фишинг требует только базовых технических навыков. Форма Google с полем под названием «Код восстановления», отправляемая без запроса с различных одноразовых учетных записей Twitter, является испытанным и проверенным методом. Реальным аналогом здесь может быть грабитель, который подходит к вам на улице и просит ключи от дома, чтобы проверить, выключили ли вы духовку. Звучит абсурдно, но это работает, и мошенники могут вкладывать больше времени и денег в то, чтобы сделать схему более убедительной, чтобы повысить процент попаданий.
- Неопытность. Криптовалюта растет быстрее, чем большинство других отраслей, с очень большим адресным рынком. С таким большим процентом новых пользователей всегда найдется кто-то, кто еще не изучил основы и открыто поделится своим кодом восстановления. Повышение осведомленности путем открытого обмена информацией, подобной этой статье, является одним из лучших способов уменьшить количество успешных краж.
Распространенная тактика, используемая фишинговыми мошенниками
Хотя каждая из них может быть завернута в разную упаковку, фишинговые атаки обычно немного сложнее, чем клон знакомого веб-сайта с разделом, в котором жертве предлагается предоставить информацию, которую они не должны предоставлять.
Подмена домена
Этот подход к фишингу может быть эффективным без необходимости непосредственного нацеливания на пользователей, что затрудняет его обнаружение и отключение. Клонируя внешний вид популярного веб-сайта и размещая его на аналогичном домене, жертвы просто натыкаются на сайт и попадают в ловушку.
Из-за того, что эти сайты трудно отслеживать и часто невозможно отличить от настоящих, знание о подмене доменов помогает избежать мошенничества. Всегда внимательно проверяйте URL-адрес любого сайта, на который вы вводите конфиденциальные данные. Примите дополнительные меры предосторожности, например, используйте аутентификатор с поддержкой FIDO2, который может проверять соединения.
Вредоносные расширения и поддельные приложения
Полагаться только на расширение браузера для защиты вашей криптовалюты безрассудно и регулярно приводит к крупным потерям. Расширения браузера, как известно, уязвимы для эксплойтов и должны использоваться только в том случае, если код восстановления для учетной записи сгенерирован и сохранен в автономном режиме в аппаратном кошельке.
Поддельные приложения также печально известны тем, что каждый год через них крадется криптовалюта на миллионы долларов. Проблема заключается не только в существовании фишинговых приложений, но и в том, что кураторы рынка приложений позволяют размещать приложения, не проверяя, выполняет ли оно то что завялено разработчиками.
Признаки фишинга
Определить, что вы подвергаетесь фишингу, может быть сложно, но есть несколько тревожных сигналов, на которые следует обратить внимание.
Любой веб-сайт, приложение или человек, которые просят вас ввести код восстановления, не инициировав восстановление с вашего аппаратного криптокошелька и не подтвердив его с помощью устройства, являются мошенниками, и о них следует сообщать.
- В сообщениях настойчиво просят перейти по ссылке или скачать файл.
- Адрес или учетная запись отправителя отличается от официального домена компании.
- Ссылки ведут не туда, куда вы ожидаете при наведении на них курсора.
- Вложения, ссылки или странные вопросы в сообщениях, которых вы не ожидали.
- Тон сообщения заставляет вас чувствовать себя подавленным или обеспокоенным.
Как защитить себя от фишинга
- Не разглашайте личную информацию. Чем больше информации вы поделитесь в Интернете, тем убедительнее будут эти атаки. Используйте псевдонимы, отправляйте посылки в общедоступные пункты выдачи и не публикуйте фотографии или информацию о себе публично.
- Никогда никому не передавайте свой начальный код восстановления и будьте осторожны с любым, кто его попросит, включая службу поддержки вашего аппаратного кошелька. Нет причин, по которым кому-то может понадобиться ваш код восстановления, кроме как для кражи у вас. Служба поддержки никогда не попросит ваш код восстановления.
- Изолируйте конфиденциальную информацию. используйте аппаратный кошелек для хранения и использования ваших закрытых ключей в автономном режиме.
- Доверяйте своему устройству. Используйте свой аппаратный кошелек для проверки любых конфиденциальных действий. Ваше устройство последовательно; ни при каких обстоятельствах он не будет «пропускать» подтверждение или запрашивать ваш код восстановления без вашей инициации.
- Дважды проверяйте URL-адреса сайтов, которые вы посещаете, именно такими, какими они должны быть, без опечаток или похожих символов. Добавляйте в закладки сайты, которые вы часто посещаете, и используйте приложения для лучшей изоляции от интернет-угроз.
Повышение устойчивости к мошенничеству:
Фишинг, скорее всего, сработает, если жертва отвлекается или торопится. Сохраняйте спокойствие и проведите исследование, прежде чем делиться данными или соглашаться на что-то.
- Используйте двухфакторную аутентификацию в своих учетных записях, в идеале с FIDO2, чтобы проверить, к кому вы подключаетесь.
- По электронной почте большинство фишинговых атак должны быть обнаружены вашим спам-фильтром. Если количество электронных писем увеличивается, это может означать, что компания слила ваши данные.
- Не нажимайте на ссылки в электронном письме или в социальных сетях, если вы не уверены, куда они ведут. Наведите курсор на ссылки и изображения, чтобы просмотреть URL-адрес, прежде чем щелкнуть на него, чтобы убедиться, что вы посещаете официальную веб-страницу. Все укороченные ссылки следует считать потенциально вредоносными, особенно в социальных сетях.
- Избегайте сайтов, на которых отсутствует значок замка сертификата HTTPS рядом с URL-адресом. Обратите внимание, что этот символ не гарантирует подлинности веб-сайта.
- Используйте новейшее программное обеспечение на своем компьютере и обновляйте прошивку вашего устройства с помощью любых исправлений безопасности.