Попередження про безпеку WEEX — підробка SMS-повідомлень

Зі зростанням ролі смартфонів у роботі та повсякденному житті вони перетворилися на один із основних об’єктів атак кіберзлочинців. Серед численних кіберзагроз смішинг (фішинг через SMS) вирізняється особливою небезпекою, оскільки використовує загальнодоступність та довіру до SMS-повідомлень. Цей метод часто передбачає SMS-спуфінг (підроблення SMS-повідомлень), коли зловмисники приховують свою особу, щоб обдурити користувачів та змусити їх надати конфіденційні дані або перейти за зловмисними посиланнями.

Що таке «SMS-спуфінг»?

SMS-спуфінг — це форма кібершахрайства, за якої зловмисники підмінюють номер телефону або ідентифікатор відправника, щоб повідомлення виглядали так, ніби вони надходять від надійного контакту чи установи, наприклад банку, друга або державної організації. Коли такі підроблені повідомлення надходять, смартфони часто об’єднують їх у вже наявні ланцюжки розмов на основі підроблених даних відправника, що посилює ілюзію їхньої справжності. Шахраї використовують маскування, щоб змусити жертв розкрити конфіденційні дані, перейти за зловмисними посиланнями, завантажити зловмисне ПЗ або підтвердити фіктивні операції, що зрештою призводить до фінансових збитків чи крадіжки персональних даних.

Як працює SMS-спуфінг

• Підроблення особи відправника: Зловмисники маскують номер або ім’я відправника, імітуючи довірені організації — наприклад Bitget, державні установи або особисті контакти — через що повідомлення виглядає дуже достовірним.
• Прихований намір: Ці повідомлення часто мають вигляд термінових сповіщень про безпеку, термінових повідомлень або важливих новин, щоб спонукати користувача діяти поспіхом і нехтувати обережністю.
• Цільовий підхід: багато шахрайських схем імітують офіційні повідомлення конкретних платформ (наприклад, криптовалютних бірж), щоб заплутати користувача й з більшою ймовірністю ввести його в оману.

Типові сценарії

• Фішингові атаки: шахраї обманом змушують користувачів переходити за зловмисними посиланнями, які перенаправляють їх на підроблені сайти, створені для викрадення облікових даних.
• Шахрайство з видаванням себе за інших осіб: шахраї видають себе за друзів, офіційні інституції або службу підтримки, щоб шахрайським чином вимагати гроші або конфіденційні дані.
• Поширення зловмисного ПЗ: шахраї використовують замасковані посилання або вкладення в SMS-повідомленнях для доставки зловмисного ПЗ та зламу пристрою користувача.

Основний принцип

В основі SMS-спуфінгу лежать обман і психологічна маніпуляція. Видаючи себе за надійні джерела, зловмисники використовують притаманні людині схильності, часто вдаючись до соціального інжинірингу, щоб вивести людину на емоції та притупити його раціональне судження. Основні стратегії:

• Зловживання довірою: видаючи себе за офіційні організації (наприклад, службу підтримки Bitget, друзів або відомих особистостей), щоб втертися у довіру, та покладаючись на віру користувачів у конфіденційність SMS-повідомлень.
• Контекстуальна релевантність: створення повідомлень, які відповідають реальному контексту користувача, як-от несправжні сповіщення про виведення коштів або безпеку, щоб зменшити підозри та підвищити довіру.
• Маніпулювання емоціями: маніпулювання відчуттям нагальності, страхом або цікавістю (наприклад, «Дійте зараз!» або «Виявлено підозрілий вхід»), щоб спонукати користувача до імпульсивних дій, як-от перехід за посиланням або передача кодів верифікації.

Технічні механізми

Підробка ідентифікатора відправника: зловмисники використовують спеціальні інструменти або скрипти для підробки номера або імені відправника, що відображаються на пристрої користувача.

• Зловживання VoIP: використання послуг Voice over Internet Protocol (VoIP) для встановлення довільних ідентифікаторів відправника, що дозволяє підробляти повідомлення — наприклад, імітуючи офіційний номер Bitget — які з’являються в існуючих ланцюжках повідомлень.
• Використання SMS-шлюзу: оренда, викрадення SMS-шлюзів або змова з недобросовісними постачальниками SMS-шлюзів для розсилки масових шахрайських повідомлень, що імітують законні джерела.

Як захистити свій акаунт WEEX

Увімкніть кілька способів 2FA

Двофакторна автентифікація (2FA) додає критичний рівень захисту акаунту, вимагаючи двох окремих форм верифікації особи. Поєднання кількох способів верифікації (адреса ел. пошти, SMS, Google Authenticator або апаратні ключі безпеки) значно підвищує рівень безпеки та стійкості акаунта до зламу.

Установіть антифішинговий код

Після увімкнення всі офіційні листи на адресу ел. пошти та SMS від WEEX (крім кодів верифікації) міститимуть ваш персоналізований код. Повідомлення без цього коду слід вважати підозрілими.

Увімкніть підтвердження адреси виведення

Щоб зменшити ризики, як-от перехоплення трафіку або підробка адреси під час виведення коштів, завжди пам’ятайте про необхідність увімкнути підтвердження адреси виведення перед обробкою операції.

Дотримуйтесь правил гігієни акаунту

• Установіть надійний антивірус і завантажуйте програми лише з офіційних джерел.
• Не переходьте за посиланнями, надісланими у небажаних SMS-повідомленнях або листах.
• По можливості використовуйте спеціальний пристрій для конфіденційних акаунтів.
• Уникайте зосередження важливих ресурсів, як-от адреса ел. пошти, SIM-картка та Google Authenticator, на одному пристрої, щоб мінімізувати ризик у разі втрати або зламу. Диверсифікація заходів безпеки зменшує потенційні збитки внаслідок цілеспрямованих атак.

Висновок

Технології здатні створити потужний захист у кібербезпеці, але ваша обізнаність і пильність залишаються найкращою запорукою безпеки. Шахраї часто створюють плутанину та відчуття терміновості, щоб обдурити людей — обізнаність допомагає розпізнавати такі пастки й діяти обачно. Хоча платформи впроваджують багаторівневі системи безпеки, найдієвішим засобом захисту залишається ваше власне розуміння ризиків. Кожне знання про шахрайство, яке ви здобуваєте, стає ще одним щитом для ваших активів.

Знання дають силу, а дії забезпечують захист. Ми зобов’язуємося постійно надавати оновлені матеріали щодо боротьби з шахрайством і попередження про ризики, щоб ви залишалися поінформованими. Щоразу, коли ви перевіряєте деталі або робите обережний вибір, ви допомагаєте усунути шахраїв. Об’єднаймо зусилля, щоб безпека стала нашою спільною цінністю.

Додаткові ресурси

• Посібник користувача: 4 прості кроки для захисту акаунту на WEEX
• Що таке «технічний аналіз»?
• Опануйте стратегію торгівлі криптовалютою Maste: від азів до спотової торгівлі