Як шахраї виманюють в довірливих користувачів особисту інформацію?

Фішинг (англ. phishing, від fishing — риболовля) — це вид інтернет-шахрайства, головною метою якого є отримання конфіденційної інформації користувача.

Зазвичай шахраї від імені різних сайтів та бірж, розсилають листи зі шкідливими посиланнями. Вони можуть маскуватися під сповіщення про безпеку, повідомлення про злом облікового запису, різні опитування тощо. При переході за посиланнями в таких листах, користувачі вводять конфіденційні дані, що призводить до втрати даних. Як правило, зловмисники наголошують на терміновості дії або ж закликають отримати велику винагороду за участь, що привертає увагу.

Повідомлення не містять граматичних чи орфографічних помилок, повністю копіюють логотип та стиль компанії, через це можуть сприйматися як «правильні», тобто адресовані від перевірених джерел. Це підвищує довіру читача та полегшує виманювання даних.

Для доступу до криптоактивів потрібен приватний та публічний ключі. Публічний чи відкритий ключ — адреса блокчейн-рахунку. Транзакція створюється та шифрується за допомогою саме публічного ключа. Приватний ключ, своєю чергою, генерує цифровий підпис, який підтверджує переказ криптовалюти з однієї блокейн-адреси на іншу.

За наявності даних для входу шахраї зазвичай дуже швидко виводять гроші жертв на власні облікові записи та зникають.

За даними річного звіту компанії APWG, у грудні 2021 року кількість фішингових атак зросла до 300 000. Це в 3 рази більше ніж за їх кількість на початку 2020 року. З них:

• 51,8% були фішинговими атаками з крадіжкою облікових даних;
• 38,6% — атаки на основі відповідей;
• 9,6% пов’язані з доставленням шкідливого ПЗ.

Вже у другому кварталі 2022 року, новий звіт APWG показав, що кількість фішингових атак зросла до 1 097 811. У червні цього періоду кількість унікальних фішингових сайтів зросла до 381 717. У останньому кварталі 2021, їх було всього 316 747.

Опис техніки фішингу був доступний вже 1987 року. З появою Інтернету способи вивуджування інформації перекочували до цифрового світу, тому що більшість активів на сьогодні зберігаються саме у такому вигляді.

Які існують техніки фішингу?

Перше, що згадується, коли думаєш про фішинг — електронні листи. Майже кожен стикався зі «службовими‎» повідомленнями з банків та інших сервісів, але це не єдині техніки фішингу на сьогодні:

• Поштовий фішинг — найпоширеніша форма крадіжки особистих даних. У цьому випадку користувачеві надходить лист на електронну пошту, повідомляючи про маніпуляції, проблеми з акаунтом або пропонуючи пройти тестування за винагороду.
• Vishing — вид голосового шахрайства. Наприклад, тобі дзвонять зі служби безпеки фінансової установи та повідомляють, що у твоєму обліковому записі була помічена підозріла активність. Далі під час розмови вивуджують потрібну інформацію.
• Smishing — вид шахрайства за допомогою SMS-повідомлень. Найчастіше текст містить сповіщення про блокування рахунку, крадіжку активів або злом облікового запису.
• Фішинг у пошукових та соціальних мережах. Він передбачає розміщення в пошуковій видачі підробленого сайту, а в соціальних мережах можуть від імені «‎офіційного» акаунта розсилати особисті повідомлення чи відзначати тебе у публікаціях. Наприклад, ти можеш отримати листа на пошту від whiteblt.com або whltebit.com, які приведуть на несправжній вебсайт.

І це тільки ті типи фішингу, що часто зустрічаються. Насправді їх більше, але працюють вони за одним принципом.

Які приводи використовують шахраї, щоб викрасти твої дані?

Професіонали ловці використовують десятки приводів, щоб змусити тебе поділитись з ними конфіденційною інформацією. Всі ці хитрощі можна розділити на дві групи:

• Службове повідомлення. У ньому тебе попросять актуалізувати інформацію на сайті, запропонують протестувати нову функцію з обов’язковою авторизацією, розкажуть про підключення нової послуги та запропонують перейти на сайт, щоб дізнатися, як вона працює.
• Повідомлення з крадіжкою, зломом облікового запису, неавторизованими транзакціями. Від першого типу відрізняється змістом — у цьому разі тиск на психіку відчувається гостріше.

В основі повідомлень лежить соціальна інженерія — спроба маніпулювати людиною, щоб дізнатися необхідну інформацію. При чому скрізь використовується згадка про терміновість, що нібито потрібно перейти за посиланням саме зараз інакше буде пізно.

Якщо говорити про службові повідомлення, то для впливу на людину використовується нагорода або необхідність провести актуалізацію своїх даних з метою безпеки.

Як захиститись від фішингу?

Важливо не тільки розуміти, в чому полягає фішинг, але і що тобі потрібно робити, щоб захиститися від таких атак і наслідків:

Спосіб 1. Уважно перевіряй адресу сайту, на якому хочеш авторизуватися. Часто в URL-адресі сторінки відрізняється домен однією літерою, іноді регістром. При цьому зміни практично непомітні оку. Наприклад, 1-l, I-l (англійська велика літера «I‎» та маленька англійська «l»). Також не рекомендуємо вводити паролі та логіни на сайтах без протоколу HTTPS (поряд із ним стоїть значок замку) — він захищає з’єднання та шифрує дані.

Спосіб 2. Безкоштовний сир буває лише у мишоловці! Не переходь за підозрілими посиланнями на розіграші мільйонів доларів із повідомлень та листів, бо коштам можна буде сказати goodbye. На WhiteBIT ти завжди можеш дізнатися у служби підтримки інформацію щодо чинного розіграшу, активності тощо.

Спосіб 3. Якщо шукаєш сайт, де придбати фінансові активи або обміняти їх, обирай тільки надійних провайдерів фінансових послуг. Вони гарантують збереження твоїх даних та грошей.

Спосіб 4. Перевіряй інформацію, що надходить. Якщо тобі надійшло повідомлення про блокування облікового запису, то обов’язково спочатку зв’яжись з офіційною службою підтримки сервісу, від якого надійшло повідомлення. Канал зв’язку можна знайти на офіційному вебсайті. Пам’ятай, що співробітники фінансових організацій самі ніколи не спитають дані твого облікового запису (логіни, паролі)!

Які дії ми вживаємо для твого захисту?

Криптовалютний ринок сповнений ризиків. Ми розуміємо це та відповідально ставимося до безпеки наших клієнтів. Крім двофакторної аутентифікації, ми додатково впровадили метод підтвердження автентичності електронного листа. Для цього ми використовуємо функцію Anti-Phishing (Антифішинг). При її включенні тобі буде запропоновано ввести власний код, який сигналізуватиме, що лист надійшов саме від нас.

Як під’єднати цю функцію?

Крок 1. Увійди до свого облікового запису.

Крок 2. Зайди на вкладку «‎Безпека».

Крок 3. Знайди під полями для зміни пароля Anti-Phishing (Антифішинг).

Крок 4. Натисни кнопку «Увімкнути‎» та введи код.

Крок 5. Збережи налаштування.

Після того як збережеш цей код, кожен раз, коли приходитиме електронний лист технічного характеру від WhiteBIT, він буде містити код. Зверни увагу, що це не має відношення до промо-листів.

Таким чином, ти зможеш перевіряти чи справжній лист, звіряючи код у тексті листа та твій власний. Зокрема, багато хто не знає чи забуває той факт, що сервіси ніколи не просять повідомити свої облікові дані, пароль або іншу інформацію у своїх листах.

Запам’ятай:

• Технічні листи (виведення коштів та поповнення балансу, WhiteBIT-коди, зміна пароля) надходять з домену whitebit.com;
• Промо листи (навчальний контент, нові лістинги) розсилаються з домену whitebit.promo.

Будь обережним та за можливості взагалі не відкривай та не читай підозрілі повідомлення. Уважно перевіряй адресу сервісу від якого надійшло повідомлення та перевіряй інформацію в офіційних представників компанії чи у підтримці.

Нехай незгоди не роблять тобі погоди. Активи у безпеку!