Основные выводы
SMS-спуфинг — это тип мошенничества, основанный на психологических манипуляциях с целью заставить жертву отправить деньги или поделиться конфиденциальной информацией.
Злоумышленники изменяют личность отправителя, чтобы SMS-сообщение выглядело так, как будто оно пришло из надежного источника.
Вы получили поддельное SMS? Немедленно сообщите о происшествии в правоохранительные органы.
Узнайте о подмене SMS и о том, как защитить ваши криптографические и личные данные от злоумышленников.
Тенденции в индустрии мошенничества меняются так же быстро, как и везде. Раньше мошенничество с электронной почтой нигерийских принцов было в моде; сегодня это атаки с подменой SMS.
В отличие от эксплойтов, когда хакер пытается использовать код для взлома пользовательской базы данных, атаки с подменой SMS в основном используют психологические манипуляции. Это означает, что мошенник попытается выдать себя за доверенный источник, пытаясь обманом заставить ничего не подозревающих жертв отправить деньги или поделиться конфиденциальной информацией, например данными кошелька.
В этой статье мы рассмотрим, как работают атаки с подменой SMS, различные способы, с помощью которых злоумышленники могут атаковать вас, и как вы, как пользователь, можете защитить свои средства.
Как работает SMS-спуфинг?
Злоумышленник изменяет свою личность отправителя (имя или номер телефона, который отображается на телефоне получателя), чтобы его текстовое сообщение выглядело так, как будто оно пришло из надежного источника. Цель — обманом заставить жертву следовать инструкциям в сообщении.
Поддельное SMS-сообщение может попасть в почтовый ящик вашего телефона под поддельным именем, номером телефона или и тем, и другим. Например, текст, появляющийся от «Binance», может быть мошенником, пытающимся обманом заставить вас загрузить вредоносное ПО, поделиться данными вашей учетной записи или нажать на вредоносную ссылку.
К сожалению, во многих регионах мира механизмы, обеспечивающие подмену SMS, находятся в «серой зоне» закона. Некоторые страны полностью запретили эту практику, в то время как другим еще предстоит решить проблему злоупотребления изменением личности отправителя SMS.
На самом деле существуют некоторые законные варианты использования для изменения имени отправителя, которое появляется на стороне получателя. Например, компания может запустить маркетинговую кампанию по SMS и использовать суббренд вместо основного бренда или номера телефона.
Как распознать и избежать подмены SMS?
Даже ведущая в отрасли инфраструктура безопасности мало что может сделать для защиты пользователя, который добровольно отправляет свой пароль хакеру. Первой линией защиты всегда является пользователь. Если вы хотите сохранить свои средства в безопасности, вам следует всегда сохранять бдительность и сделать следующие действия привычкой.
1. Проверка входящих сообщений
Всегда дважды проверяйте источник входящего сообщения, прежде чем ответить. Будьте осторожны с любыми нежелательными сообщениями или сообщениями, которые кажутся подозрительными. Вы можете проверить сообщения, относящиеся к Binance, с помощью инструмента Binance Verify или отправив скриншот сообщения в нашу службу поддержки. Для других услуг вам следует отправить сообщение на соответствующую платформу напрямую через их официальный сайт или другие доверенные каналы.
2. Включите двухфакторную аутентификацию.
Двухфакторная аутентификация (2FA) добавляет дополнительный уровень безопасности от злоумышленников, пытающихся получить доступ к вашим учетным записям, в том числе с помощью подмены SMS. Всегда включайте 2FA для любой учетной записи, которая ее поддерживает.
Коды 2FA при правильном использовании могут помочь защитить вашу учетную запись. Вводите коды 2FA только на официальных сайтах и обязательно дважды проверяйте сообщение 2FA, чтобы узнать, для чего оно используется.
3. Не разглашайте личную информацию
Избегайте передачи конфиденциальной информации (например, паролей, номеров кредитных карт, номеров социального страхования и других государственных идентификаторов) посредством текстовых сообщений, особенно с непроверенными контактами.
4. Избегайте подозрительных ссылок
Не нажимайте на ссылки, отправленные вам в текстовом сообщении, без предварительной проверки их легитимности. Ссылки могут вести на фишинговые веб-сайты, которые пытаются украсть ваши учетные данные или установить вредоносное ПО на ваше устройство.
Не посещайте сайты с символами «No Lock» или незашифрованными URL-адресами (HTTP вместо HTTPS); всегда проверяйте URL-адрес перед нажатием. Обязательно используйте только официальные сайты. Например, если вы не уверены, являются ли ссылка, адрес электронной почты, номер телефона, идентификатор WeChat, идентификатор Twitter или идентификатор Telegram официальными, вы можете проверить их на Binance Verify.
Для получения общей информации о том, как защитить ваши криптофонды, вы можете изучить разделы безопасности в нашем разделе часто задаваемых вопросов или в Академии Binance.
Вот список выявленных нами подозрительных веб-сайтов, которые пытаются выглядеть так, будто они связаны с Binance. Держитесь подальше от них всех. Их доменные имена также дают вам представление о том, как может выглядеть «фейковый» сайт Binance, создатели которого пытаются ввести пользователей в заблуждение.
Виды SMS-спуфинга
Поддельные SMS-атаки могут различаться по целям и механике. Их всех объединяет то, что номер или имя настоящего отправителя заменяются, что позволяет мошенникам выдавать себя за кого-то другого. Распространенные сценарии того, как кто-то может нацелиться на вас с помощью поддельных SMS, включают денежные переводы и подделки с преследованием.
В первом случае мошенники выдают себя за законного поставщика финансовых услуг, такого как Binance, и отправляют жертвам текстовые сообщения, например, о фиктивной транзакции возврата денег. В таких сообщениях получателям обычно предлагается отсканировать QR-код или перейти по ссылке, чтобы получить кэшбэк.
SMS-спуфинг также используется сталкерами и киберхулиганами, которые хотят запугать своих жертв, отправляя угрожающие или неуместные сообщения с неизвестных номеров или под случайными именами.
Реальные примеры SMS-спуфинга-атак
Пример 1: Поддельное сообщение 2FA
Пользователь, которого мы назовем Джеком, получает сообщение следующего содержания: «Пользователям [Binance] необходимо обновить Web 3.0, чтобы избежать отключения учетных записей. Бьяненц.нет»
Джек видит, что отправителем является «Binance» и что сообщение пришло через тот же канал, по которому он обычно получает коды 2FA. Джек предполагает, что это официальное сообщение, и заходит на фишинговый сайт, тем самым передавая мошеннику данные своей учетной записи.
Пример 2. «Отмена вывода средств»
Пользователь, которого мы назовем Брэдом, получает SMS-сообщение от кого-то с адресом отправителя Binance. Сообщение напоминает Брэду «отменить текущий вывод средств». Брэд, полагая, что сообщение официальное, заходит на фишинговый сайт.
Хакеру удается использовать имя пользователя, пароль и 2FA Брэда для входа на официальный сайт Binance и инициирования вывода наличных.
В этом примере пользователю не удалось сделать две вещи:
Проверьте ссылку на Binance Verify.
Дважды проверьте настоящее сообщение 2FA, в котором на самом деле говорится, что код 2FA использовался для инициирования вывода средств, а не для его отмены.
Пример 3. «Подтвердить» или «обновить» учетную запись
Многие из наших пользователей сообщили о получении поддельного SMS-сообщения со ссылкой для подтверждения или обновления своей учетной записи. Как поясняется в сообщении, невыполнение необходимых действий приведет к блокировке учетной записи. На самом деле ссылка в текстовом сообщении ведет на фишинговый сайт, предназначенный для кражи данных учетной записи. Обратите внимание, что домены в этих текстовых сообщениях пытаются выглядеть как законные компании.
Если на вас направлено поддельное SMS-сообщение
Если вы подозреваете, что кто-то отправил вам поддельное SMS-сообщение, немедленно обратитесь в соответствующий правоохранительный орган. Если поддельное SMS-сообщение связано с Binance, также отправьте отчет в службу поддержки Binance.
Если ваша учетная запись была скомпрометирована, заморозьте свой кредит, чтобы преступники не могли открывать новые счета на ваше имя, а также заморозить ваши кредитные карты и банковские счета. Чтобы защитить свои активы, вам также следует отключить свою учетную запись, выполнив действия, описанные в этом руководстве по часто задаваемым вопросам: Как отключить мою учетную запись Binance.
Никогда никому не отправляйте данные своей учетной записи Binance, код 2FA или финансовую информацию, даже если те, кто запрашивает их, на первый взгляд кажутся законными. Помимо подмены SMS, мошенники также могут попытаться обмануть вас по электронной почте или другим каналам.
Дважды проверьте любой домен, связанный с Binance, на Binance Verify. Однако обратите внимание, что этот инструмент не является надежным. Вам все равно следует проявлять осторожность, если вы чувствуете, что что-то не так.
Дальнейшее чтение
Знай свое мошенничество
Будьте в безопасности: что такое атаки по захвату учетных записей?
Руководство по поддельным приложениям: как их обнаружить и избежать
