Środki zabezpieczające przed phishingiem stają się coraz bardziej niezbędne, ponieważ hakerzy codziennie próbują ukraść Twoje dane osobowe i pieniądze online.
Według ostatniego raportu Scam Sniffer, w lutym około 57 000 ofiar poniosło straty w wysokości około 47 milionów dolarów z powodu oszustw kryptophishingowych. Podkreślono, że „większość ofiar została zwabiona na strony phishingowe za pomocą komentarzy phishingowych z podszywających się kont na Twitterze”.
Dlatego, aby uniknąć wpadnięcia w ręce oszustów, musisz umieć rozpoznawać phishing i wiedzieć, jak chronić siebie i swoje pieniądze. W tym artykule omówimy to szczegółowo.
Najnowszy atak hakerski na giełdy
Firma zajmująca się cyberbezpieczeństwem Lookout ogłosiła ujawnienie nowego narzędzia phishingowego o nazwie CryptoChameleon. To narzędzie demonstruje nową taktykę skierowaną na niektóre giełdy kryptowalut, takie jak Binance, Gemini, Coinbase, a także amerykańską Federalną Komisję Łączności (FCC) za pośrednictwem telefonów komórkowych. Atakujący mogą tworzyć kopie stron logowania jednokrotnego (SSO), a następnie używać kombinacji poczty e-mail i połączeń głosowych, aby uzyskać dane użytkownika.
Raport zauważa, że CryptoChameleon zaatakował pracowników Federal Communications Commission i Binance. Ponadto użytkownicy Binance, Gemini, ShakePay i innych giełd zostali dotknięci. CryptoChameleon używa numerów telefonów i stron internetowych, które wyglądają na legalne i reprezentują dział wsparcia firmy w Gmailu, iCloud, Outlook, X i innych usługach.
Pracownicy Lookout poinformowali, że udało im się porozmawiać z niektórymi ofiarami i potwierdzić, że w celu zmuszenia ofiary do dokończenia procedury stosowano kombinację połączeń telefonicznych i wiadomości tekstowych.
„W jednym ze scenariuszy ofiara otrzymała niechciany telefon, który podszywał się pod linię obsługi klienta prawdziwej firmy. Osoba po drugiej stronie linii była sprawcą zagrożenia, ale brzmiała jak członek zespołu wsparcia tej firmy”.
Hakerzy poinformowali użytkownika, że jego konto zostało zhakowane, ale pomogą mu je odzyskać. Podczas rozmowy telefonicznej z ofiarą atakujący wysyłali wiadomość przekierowującą na stronę phishingową.
Analiza firmy ujawniła ponad 100 udanych prób phishingu i trwającą aktywność phishingową, głównie na serwerach Hostwinds, Hostinger i Russian RetnNet. Zdecydowana większość ofiar znajduje się w Stanach Zjednoczonych.
Jak rozpoznać phishing?
Głównym celem phishingu jest uzyskanie poufnych informacji o użytkownikach.
Atakujący często wysyłają e-maile ze złośliwymi linkami w imieniu stron internetowych lub giełd. Mogą to być ostrzeżenia bezpieczeństwa, włamania na konta, różne ankiety itp. Oszuści zazwyczaj podkreślają pilność działania lub przyciągają uwagę, oferując dużą nagrodę za udział.
Oznaki, które mogą wskazywać, że wiadomość e-mail jest oszustwem:
Wiadomość korzysta z subdomen i błędnie napisanych adresów URL
Wiadomość jest napisana w sposób wzbudzający strach lub poczucie pilności.
W wiadomości e-mail zostaniesz poproszony o potwierdzenie danych osobowych, takich jak dane finansowe lub hasło.
Wiadomość jest napisana nieczytelnie, zawiera błędy ortograficzne i gramatyczne.
Istnieją inne metody weryfikacji stosowane przez firmy takie jak Binance, WhiteBIT i KuCoin, które mają dodatkowy sposób weryfikacji autentyczności wiadomości e-mail za pomocą funkcji Anti-Phishing. Po jej aktywacji użytkownik musi wprowadzić niestandardowy kod, który będzie sygnalizował, że wiadomość e-mail pochodzi od tych firm. Po zapisaniu kodu za każdym razem, gdy użytkownik otrzyma wiadomość e-mail z informacjami technicznymi z giełd, będzie ona zawierała ten kod.
Jak unikać oszustw phishingowych?
Używaj silnych haseł i włącz uwierzytelnianie dwuskładnikowe: Używaj silnego i unikalnego hasła dla wszystkich kont. Nie zapisuj go w łatwo dostępnym miejscu ani nie udostępniaj go innym osobom. Do przechowywania i zarządzania złożonymi hasłami najlepiej jest używać menedżera haseł, takiego jak 1Password, LastPass, Dashlane i inne. Włącz uwierzytelnianie dwuskładnikowe dla wszystkich kont, aby zapewnić dodatkową warstwę bezpieczeństwa. Aby to zrobić, możesz zainstalować aplikację 2FA na swoim telefonie, taką jak Google Authenticator, Authy, 2FAS itp.
Nie ignoruj powiadomień o aktualizacjach: poprawki zabezpieczeń i aktualizacje są wydawane przede wszystkim w celu rozwiązania bieżących technik cyberataków, zamykając luki w zabezpieczeniach. Ustaw oprogramowanie tak, aby aktualizowało się automatycznie, aby uniknąć nowych zagrożeń.
Sprawdź adres strony internetowej przed wprowadzeniem swoich danych: Adres URL strony może często różnić się od domeny pojedynczą literą, a czasem wielkością liter. Na przykład 1-l, I-l (wielkie „i” i małe „l”). Nie zaleca się również wprowadzania haseł i loginów na stronach internetowych bez protokołu HTTPS (ikona kłódki obok) — chroni on połączenie i szyfruje dane.
Nie klikaj podejrzanych linków: Oszuści często wykorzystują linki dotyczące wygrania milionów dolarów lub prezentów jako przynętę. Dlatego nie klikaj takich linków i zawsze sprawdzaj wszystkie bieżące loterie i wydarzenia firmowe.
Streszczenie
Najważniejszą kwestią w walce z tego typu oszustwem jest zrozumienie metod phishingu i ich oznak.
Wiedząc, jak rozpoznawać szkodliwe ataki i jakie metody stosują atakujący, użytkownicy mogą lepiej chronić swoje dane osobowe. A stosując się do powyższych zaleceń, mogą zmniejszyć prawdopodobieństwo kradzieży.\