Головне
Спуфінг SMS – це тип шахрайства, який використовує соціальну інженерію, щоб обманом змусити жертв надіслати гроші або надати конфіденційну інформацію.
Зловмисники змінюють особу відправника, щоб SMS-повідомлення виглядали так, ніби вони надходять із надійного джерела.
Ви отримували підроблені SMS? Негайно повідомте про подію в правоохоронні органи.
Дізнайтеся про підробку SMS-повідомлень і про те, як захистити свою криптовалюту та особисті дані від зловмисників.
Тенденції в галузі шахрайства змінюються так само швидко, як і в будь-якій іншій галузі. Раніше шахрайство з електронною поштою нігерійського принца було дуже популярним. На даний момент найпоширенішим шахрайством є атаки підміни SMS.
На відміну від експлойтів, які є спробами хакерів, які намагаються за допомогою коду зламати бази даних користувачів, атаки SMS-спуфінгу переважно використовують соціальну інженерію. Це означає, що шахраї намагатимуться видати себе за надійне джерело, щоб обманом змусити нічого не підозрюючих жертв надіслати гроші або надати конфіденційну інформацію, наприклад дані гаманця.
У цій статті ми обговоримо механіку атак зі спуфінгом SMS, різні способи, якими зловмисники можуть націлитися на вас, і як ви як користувач можете захистити свої кошти.
Як працює SMS-спуфінг?
Зловмисники змінюють особу відправника (ім’я або номер телефону, який відображається на телефоні одержувача), щоб текстове повідомлення виглядало так, ніби воно надійшло з надійного джерела. Мета полягає в тому, щоб обманом змусити жертву виконати інструкції в повідомленні.
Підроблені SMS-повідомлення можна надіслати на папку "Вхідні" вашого телефону з фальшивим іменем чи номером телефону, або обома. Наприклад, текст, який з’являється з "Binance", може бути надісланий шахраєм, який намагається обманом змусити вас завантажити зловмисне програмне забезпечення, надати дані облікового запису або натиснути зловмисне посилання.
На жаль, у багатьох регіонах світу механізми, які дозволяють фальсифікувати SMS-повідомлення, перебувають у забороненій законом зоні. Деякі країни прямо заборонили цю практику, тоді як інші ще не вирішували проблеми зловживання зміною особи відправників SMS.
Насправді існує кілька законних випадків використання для зміни імені відправника, як воно відображається на стороні одержувача. Наприклад, компанія може провести SMS-маркетингову кампанію та використовувати суббренд замість основного бренду чи номера телефону.
Як розпізнати та уникнути SMS-спуфінгу?
Навіть провідна в галузі інфраструктура безпеки мало що може зробити для захисту користувачів, які добровільно надають свої паролі хакерам. Першою лінією захисту завжди є користувач. Якщо ви хочете безпечно зберігати свої кошти, ви повинні завжди бути пильними та зробити наступні дії звичкою.
1. Перевірте вхідні повідомлення
Перш ніж відповідати, завжди перевіряйте джерело вхідних повідомлень. Будьте обережні з неочікуваними або підозрілими повідомленнями. Ви можете перевірити спеціальні повідомлення Binance за допомогою інструмента Binance Verify або надіславши знімок екрана повідомлення нашій службі підтримки. Для інших послуг ви повинні надіслати повідомлення відповідній платформі безпосередньо через її офіційний веб-сайт або інші надійні канали.
2. Увімкніть двофакторну аутентифікацію
Двофакторна автентифікація (2FA) додає додатковий рівень безпеки від зловмисників, які намагаються отримати доступ до вашого облікового запису, зокрема через SMS-спуфінг. Завжди вмикайте 2FA для кожного облікового запису, який його підтримує.
За правильного використання коди 2FA можуть захистити ваш обліковий запис. Вводьте код 2FA лише на офіційному веб-сайті. Обов’язково ще раз перевірте свої повідомлення 2FA, щоб дізнатися, для чого вони використовуються.
3. Не повідомляйте особисту інформацію
Уникайте надання конфіденційної інформації (наприклад, паролів, номерів кредитних карток, номерів соціального страхування та інших виданих державою ідентифікаторів) за допомогою текстових повідомлень, особливо неперевіреним контактам.
4. Уникайте підозрілих посилань
Не натискайте жодних посилань, надісланих вам у текстовому повідомленні, попередньо не перевіривши їх законність. Посилання може вести на фішинговий веб-сайт, який намагається викрасти ваші облікові дані або встановити зловмисне програмне забезпечення на вашому пристрої.
Не переходьте на сайти з символом «Без ключа» або незашифрованими URL-адресами (HTTP, а не HTTPS). Завжди перевіряйте URL-адресу перед натисканням. Переконайтеся, що ви використовуєте лише офіційні веб-сайти. Наприклад, якщо ви не впевнені, чи посилання, адреса електронної пошти, номер мобільного телефону, ідентифікатор WeChat, обліковий запис Twitter або ідентифікатор Telegram, пов’язані з Binance, надходять з офіційного джерела, ви можете перевірити це на Binance Verify
Щоб отримати загальну інформацію про те, як захистити свої криптокошти, ви можете ознайомитися з розділом безпеки наших FAQ або Binance Academy.
Нижче наведено список підозрілих веб-сайтів, які ми виявили та які намагаються видати зв’язок із Binance. Уникайте всіх цих веб-сайтів. Доменне ім’я також дає уявлення про те, як виглядає «фальшивий» веб-сайт Binance, який намагається ввести користувачів в оману.
Види SMS Spoofing
Цілі та механізми SMS-атак можуть бути різними. Еквівалентом є те, що фактичний номер або ім’я відправника замінюється, щоб шахраї могли виглядати як хтось інший. Поширені сценарії того, як хтось може націлитися на вас за допомогою SMS-спуфінгу, включають грошові перекази та фальсифікації домагань.
У першому випадку шахраї видають себе за законного постачальника фінансових послуг, наприклад Binance, а потім надсилають короткі повідомлення жертві, наприклад, про підроблені транзакції з поверненням грошей. Такі повідомлення зазвичай просять одержувачів відсканувати QR-код або перейти за посиланням, щоб отримати кешбек.
Спуфінг SMS також використовується сталкерами та кібер-хуліганами, які хочуть залякати своїх жертв, надсилаючи погрозливі чи неприйнятні повідомлення з невідомих або випадково названих номерів.
Реальні приклади атак підробки SMS
Приклад 1: Підроблене повідомлення 2FA
Один користувач, назвемо його Джек, отримав повідомлення: «Користувач [Binance] повинен оновити Web 3.0, щоб запобігти вимкненню його облікового запису. Bianenc.net»
Джек побачив, що відправник був «Binance» і що повідомлення надійшло з того самого каналу, з якого він зазвичай отримував код 2FA. Джек припускає, що це законне повідомлення, тому він увійшов на фішинговий веб-сайт і надав дані свого облікового запису шахраю.
Приклад 2. «Скасування зняття коштів»
Користувач, назвемо його Бред, отримав SMS-повідомлення від когось зі зворотною адресою «Binance». Повідомлення нагадало Бреду «наразі скасувати свій вихід». Вважаючи повідомлення офіційним, Бред зайшов на фішинговий сайт.
Хакеру вдалося за допомогою імені користувача, пароля та 2FA увійти на офіційний веб-сайт Binance, а потім зняти готівку.
У цьому прикладі користувачеві не вдалося виконати дві речі:
Перевірте посилання на Binance Verify.
Ще раз перевірте фактичне повідомлення 2FA, яке насправді містить інформацію про те, що код 2FA використовується для зняття коштів, а не для його скасування.
Приклад 3. «Перевірити» або «Оновити» обліковий запис
Багато наших користувачів повідомили про отримання підроблених SMS із посиланнями для перевірки чи оновлення своїх облікових записів. Як пояснюється в повідомленні, обліковий запис буде заблоковано, якщо він не виконає необхідних дій. Насправді посилання в текстовому повідомленні веде на фішинговий веб-сайт, призначений для викрадення даних облікового запису. Зверніть увагу, що домени в цих текстових повідомленнях намагаються видати за законні компанії.
Якщо ви стали мішенню для підробки SMS
Якщо ви підозрюєте, що хтось надіслав вам підробку SMS, негайно зверніться до відповідних правоохоронних органів. Якщо підробка SMS-повідомлень пов’язана з Binance, також надішліть звіт команді підтримки Binance.
Якщо ваш обліковий запис було зламано, заморозьте свої кредитні картки та банківські рахунки, а також заморозьте кредит, щоб запобігти відкриттю нових облікових записів на ваше ім’я. Щоб захистити свої активи, вам також слід деактивувати обліковий запис, дотримуючись кроків у цьому посібнику з поширеними запитаннями: Як деактивувати мій обліковий запис Binance.
Ніколи нікому не надсилайте дані свого облікового запису Binance, код 2FA або фінансову інформацію, навіть якщо на перший погляд особа, яка запитує, здається законною. Окрім підробки SMS-повідомлень, шахраї також можуть спробувати обдурити вас електронною поштою чи іншими каналами.
Ретельно перевірте домен, пов’язаний із Binance, у Binance Verify. Однак зауважте, що цей інструмент не гарантує, що ви будете вільні від шахрайства. Ви все одно повинні бути обережними, якщо відчуваєте, що щось не так.
