تنبيه أمان الويب 3 - التطبيقات المزيفة

في مجال العملات المشفرة، يعمل المحتالون باستمرار على تطوير أساليبهم. ويتمثل أحد التهديدات عالية المخاطر الرائجة في تطبيقات Bitget المزيفة. حيث تُخفى هذه التطبيقات الضارة بذكاء لتبدو تمامًا مثل تطبيق Bitget الرسمي - بدءًا من الشعار إلى وصف التطبيق - مما يجعل من المستحيل تقريبًا التمييز بينها. كما يستخدم مجرمو الإنترنت مجموعة متنوعة من الحيل لجذب المستخدمين وحثهم على تنزيل هذه الأشكال المشابهة، بهدف سرقة المعلومات الشخصية والأصول الرقمية.

تعريف التطبيقات المزيفة

التطبيقات المزيفة (المعروفة أيضًا باسم تطبيقات التصّيد الاحتيالي أو تطبيقات الاستنساخ الخبيثة) هي تطبيقات غير شرعية تمّ إنشاؤها لتقليد المنصات الشائعة والقانونية عن كثب - مثل منصات تداول العملات المشفرة أو المحافظ أو الشبكات الاجتماعية. فهي تكرر الأسماء والشعارات والواجهات وحتى الوظائف لتبدو أصلية. وبمجرد التثبيت، غالبًا ما تؤدي هذه التطبيقات إلى انتهاكات الخصوصية أو الخسارة المالية.

الميزات الأساسية

● العناصر البصرية المتشابهة: تشبه أسماء التطبيقات والشعارات والتنسيقات إلى حدٍ كبير الإصدار الرسمي، مع وجود اختلافات طفيفة فقط (مثل أنظمة ألوان الشعار أو تفاصيل الخط).

● الميزات المستنسخة: قد تُكرر التطبيقات المزيفة الوظائف الأساسية للتطبيق الحقيقي أو ببساطة إعادة توجيه المستخدمين إلى صفحات مزيفة.

● الأذونات الضارة: غالبًا ما تطلب الوصول إلى وظائف الجوّال كثيرة الاستخدام مثل جهات الاتصال أو الرسائل القصيرة أو الكاميرا أو الميكروفون - بما يتجاوز بكثير ما هو ضروري - لمراقبة سلوك المستخدم أو سرقة البيانات.

● التوزيع غير الرسمي: توجد بشكل شائع في متاجر التطبيقات التابعة لجهات خارجية أو مواقع التصيّد الاحتيالي أو الروابط المُرسلة عبر الرسائل القصيرة أو رسائل البريد الإلكتروني أو الملفات التي تمت مشاركتها في المجتمعات عبر الإنترنت.

● عدم وجود بيانات اعتماد رسمية: تكون معلومات المطوّر غامضة أو مفقودة، وتفاصيل الاتصال أو سياسات الخصوصية غالبًا ما تكون مزيفة أو غير موجودة.

● الأخطاء الإملائية أو النحوية أو الوصفية: غالبًا ما تتضمن تطبيقات التصيّد الاحتيالي أخطاء أساسية، نظرًا لأنّ المطورين الشرعيين عادةً ما يراجعون النص بعناية قبل النشر.

● التقييمات المخادعة: انخفاض أرقام التنزيل والتقييمات المستقطبة (جميعها بتقييم 5 نجوم أو جميعها بتقييم نجمة واحدة) وعدم التوافق بين تاريخ الإصدار وعدد التعليقات والتقييمات.

سيناريوهات الهجوم الشائعة

1. استبدال عنوان المحفظة:

● يحاول المستخدمون إيداع الأموال أو سحبها باستخدام تطبيق منصة التداول المزيف.

● يستبدل التطبيق سرًا عنوان المستلم بعنوانٍ يتحكّم فيه المهاجم.

● تُرسل الأموال دون علم إلى محفظة المخادع ولا يُمكن استردادها.

2. سرقة بيانات الاعتماد:

● يُدخل المستخدمون بيانات اعتماد تسجيل الدخول ورموز المصادقة الثنائية في التطبيق المزيف.

● يستخدم المحتالون هذه البيانات للوصول إلى المنصة الحقيقية.

● تحّول الأصول بسرعة أو يُساء استخدامها.

3. التصيّد الاحتيالي عبر الرسائل القصيرة:

● يتلقى الضحايا تنبيهات عبر الرسائل القصيرة مثل «تحذير أمني عاجل» أو «نشاط حساب غير عادي» مع روابط لتنزيل التطبيق المزيف.

● عند الشعور بالضغط، يقوم المستخدمون بتثبيت التطبيق ومنح الأذونات.

● بعد ذلك، يسرق التطبيق المعلومات الحساسة، بما في ذلك العبارات التذكيرية الأولية أو اعتراض رموز التحقق من الرسائل القصيرة، مما يتيح الوصول غير المصرح به.

4. إدخال البرمجيات الخبيثة:

● يقوم التطبيق المزيف بتثبيت برمجيات خبيثة ضارة إضافية في الخلفية.

● قد تقوم بنشر برامج تسجيل المفاتيح لالتقاط المُدخلات من التطبيقات الأخرى.

● يُمكن الوصول إلى الملفات مثل المفاتيح الخاصة أو العبارات التذكيرية الأولية وتحميلها بهدوء.

5. المراقبة المستمرة:

● يعمل التطبيق في الخلفية، ويُراقب نشاط المستخدم.

● يلتقط محتوى الشاشة، خاصةً عندما تكون التطبيقات المالية قيد الاستخدام.

● ينتظر المهاجمون لحظاتٍ لاعتراض بيانات المعاملات أو تغييرها.

آلية عمل التطبيقات المزيفة

تجمع التطبيقات المزيفة بين الخداع التقني والهندسة الاجتماعية:

1. الخداع الفني

○ تكرار الواجهة والكود:

■ استنساخ واجهة التطبيق الرسمي أو وظائفه أو حتى شفرة المصدر، مما يجعل التطبيق المزيف يبدو ويعمل بالطريقة نفسها.

■ تعديل ملفات APK القانونية عن طريق إدخال تعليمات برمجية ضارة أو استبدال عناوين التحويل لإنشاء إصدارات معدلة.

○ إساءة استخدام الإذن:

■ طلب أذونات زائدة (على سبيل المثال، قراءة الرسائل القصيرة والوصول إلى جهات الاتصال وتتبع الموقع) لتمكين سرقة البيانات أو التحكّم عن بُعد.

○ اعتراض الاتصالات وتشفيرها:

■ استخدام اعتراض واجهة برمجة التطبيقات لاعتراض وتعديل بيانات الاتصال بين التطبيق وخادمه.

■ نقل المعلومات الحساسة، مثل عناوين المعاملات أو كلمات المرور عبر القنوات المشفرة.

○ التهرب من الكشف:

■ تشويش الكود: تعديل الكود لجعله غير قابل للقراءة أو يصعب تحليله، مما يساعده على تجنب الاكتشاف التلقائي.

■ التنشيط المتأخر: تشغيل التعليمات البرمجية الضارة فقط بعد التثبيت أو في ظل ظروف مُعينة.

■ التحميل الديناميكي: تنزيل التعليمات البرمجية الضارة بعد التثبيت بدلًا من تجميعها مع التطبيق.

■ طلبات الأذونات المتدرجة: طلب الأذونات الحساسة تدريجيًا، مما يقلل من يقظة المستخدم.

2. الهندسة الاجتماعية

○ إساءة استخدام الثقة:

■ من خلال محاكاة المنصات الموثوقة (مثل Bitget)، تكتسب تطبيقات التصيد الاحتيالي ثقة المستخدم وتتسبب في استغناء المستخدمين عن دفاعاتهم.

○ إثارة شعور بالحاجة إلى الإسراع:

■ استخدم أساليب التخويف (على سبيل المثال، «حسابك في خطر» أو «تمّ اكتشاف خسارة بالأصول») عبر الرسائل القصيرة أو الإشعارات الفورية لتقليل يقظة المستخدم وإطلاق إجراءات سريعة لم يتم التحقق منها.

○ الخداع البصري:

■ استغلال عدم قدرة المستخدمين على ملاحظة الاختلافات المرئية الصغيرة، باستخدام عناصر مرئية مماثلة للخداع.

■ تضخيم الشرعية من خلال التقييمات المزيفة وعدد التنزيلات المُتلاعب بها.

○ التوزيع المستهدف:

■ استهدف مجموعات مُحددة، مثل مجتمعات مستثمري العملات المشفرة، لزيادة معدّل نجاح الهجمات.

○ تغيير العلامة التجارية بشكلٍ متكرر:

■ تغيير أسماء التطبيقات والرموز والأوصاف باستمرارٍ لتجنب الاكتشاف وإطالة مدة عملية الاحتيال.

كيفية اكتشاف تطبيق مزيف

كن على دراية بهذه العلامات التحذيرية:

● رمز غير طبيعي: اختلافات بسيطة ولكن ملحوظة مقارنة برمز التطبيق الرسمي.

● طلبات إذن زائدة: طلب إذن غير ضروري بعد التثبيت.

● التقييمات المشبوهة: إما إيجابية بشكلٍ مفرط أو سلبية للغاية.

● الأخطاء النحوية والإملائية: أخطاء واضحة في اسم التطبيق أو الوصف.

● عدد تنزيلات غير عادي: يجب أن يحتوي تطبيق Bitget الشرعي على عدد كبير من التنزيلات.

● معلومات المطوّر مُريبة: بيانات الشركة مفقودة أو احتيالية.

● توقيت الإصدار مشكوك فيه: كن حذرًا من التطبيقات التي تمّ إطلاقها حديثًا مع عدد كبيرٍ بشكل غير عادي من التقييمات.

● مصادر غير موثوقة: روابط التطبيقات التي تتم مشاركتها عبر وسائل التواصل الاجتماعي أو الرسائل القصيرة أو البريد الإلكتروني بدلًا من القنوات الرسمية.

إجراءات الحماية والأمان من Bitget

تلتزم Bitget بجعلك في الصدارة ومدركًا تمامًا ما يحدث في حسابك.

التنبيه عبر البريد الإلكتروني

في حال ربط بريدك الإلكتروني، فستتلقى رسالة بريد إلكتروني كلما سجّلت الدخول من جهاز جديد. تتضمن رسائل البريد الإلكتروني هذه رمز التصيّد الاحتيالي ورمز التحقق وموقع تسجيل الدخول وعنوان IP وتفاصيل الجهاز. احرص دائمًا على تخصيص بعض الوقت للتحقق من تطابق هذه المعلومات مع نشاطك.

في حال الدخول إلى حسابك من موقع مختلف، فستتلقى رسالة متابعة بالبريد الإلكتروني لإعلامك بتسجيل الدخول. يُرجى التحقق من هذا الوصول.

عند إجراء السحب، ستتلقى رسالة بريد إلكتروني تتضمن رمز التحقق وتفاصيل المعاملة الكاملة. تأكّد دائمًا من أن كل شيء يطابق السحب المقصود.

فترة الانتظار (ساعة واحدة أو 24 ساعة)

لمنع الإجراءات الاندفاعية التي تسببها عمليات الاحتيال، نفذت Bitget فترة الانتظار - وهي حماية مؤقتة يتم تشغيلها عند اكتشاف النظام مخاطر الحساب المُحتملة (مثل مواقع تسجيل الدخول غير العادية أو المعاملات المشبوهة أو الاحتيال المشتبه به):

فترة الانتظار: حسب مستوى المخاطر (ساعة أو 24 ساعة).

● فترة ساعة واحدة: للسيناريوهات منخفضة المخاطر (مثل عمليات تسجيل الدخول عن بُعد)، يؤدي هذا التأخير لمدة قصيرة إلى إيقاف عمليات السحب مؤقتًا حتى يتمكن المستخدمون من التحقق من نشاط الحساب.

● فترة 24 ساعة: للسيناريوهات عالية المخاطر (مثل تغييرات طريقة التحقق أو مخاطر التصيد الاحتيالي)، يتم إيقاف جميع عمليات السحب، مما يمنح المستخدمين وقتًا لإعادة تقييم أمان الحساب.

قنوات التحقق الرسمية

إذا لم تكن متأكدًا من هوية شخص ما، فإنه يُمكنك دائمًا التحقق منها من خلال قناة التحقق الرسمية لمنصة Bitget.

أفضل ممارسات أمان الحساب

تمكين طرق المصادقة الثنائية (2FA) المتعددة

المصادقة الثنائية (2FA) هي طبقة مهمة من الحماية تتطلب طريقتي تحقق منفصلتين للتحقق من الهوية. وقد يشمل ذلك استخدام عدة طُرق معا تشمل البريد الإلكتروني أو كلمات المرور أو الرسائل النصية القصيرة أو المصادقة عبر Google Authenticator أو مفاتيح الأمان أو طرق أخرى. كما يؤدي استخدام خيارات المصادقة الثنائية (2FA) المتعددة إلى تعزيز أمان حسابك وموثوقيته بشكل كبير.

تعيين رمز مكافحة التصيّد الاحتيالي

رمز مكافحة التصّيد الاحتيالي هو ميزة أمان توفرها Bitget لمساعدة المستخدمين على تحديد مواقع التصيد الاحتيالي الإلكترونية. بمجرد التمكين، ستتضمن جميع رسائل البريد الإلكتروني والرسائل النصية القصيرة الرسمية من Bitget (باستثناء رموز التحقق من الرسائل القصيرة) رمز مكافحة الاحتيال الفريد الخاص بك. لن تتضمن رسائل البريد الإلكتروني والرسائل النصية القصيرة الاحتيالية رموز مكافحة التصيد الاحتيالي، مما يسهل على المستخدمين تحديد ما إذا كانوا من قنوات Bitget الرسمية أم لا.

لضبط الإعدادات، انتقل إلى الملف الشخصي > الأمان > رمز مكافحة التصيّد الاحتيالي واتبع التعليمات.

تفضل بزيارة هذا الرابط لمزيدٍ من التفاصيل حول رموز مكافحة التصيد الاحتيالي.

تمكين تأكيد عنوان السحب

عند سحب الأموال عبر موقع Bitget الإلكتروني، هناك خطر حدوث أنشطة ضارة مثل سرقة نشاط الحركة والتي قد تتلاعب بعنوان السحب الخاص بك. ولمنع ذلك، تقدم Bitget مفتاح التحقق عبر الأجهزة. سيُطلب منك مسح رمز الاستجابة السريعة (QR) باستخدام تطبيق Bitget للهاتف الجوّال لتأكيد عنوان السحب قبل أن يتم تنفيذ الطلب.

اتبع إجراءات تنظيف الحساب الجديدة

ثبت برنامج مكافحة الفيروسات. واحرص دائمًا على تنزيل التطبيقات والبرامج من مصادر رسمية موثوقة، وتجنب النقر على الروابط المستلمة عبر الرسائل القصيرة. لتعزيز أمان حسابك بشكلٍ أكبر، فكّر في استخدام جهاز مخصص للوصول إلى الحسابات الحساسة أو السرية. لا تترك بياناتك بمكان واحد. كما عليك تجنب تسجيل الدخول إلى بريدك الإلكتروني وإدخال بطاقة SIM وتخزين Google Authenticator على جهاز واحد. في حالة فقدان جهازك أو تعرضه للاختراق، فإنّ وجود كل البيانات على جهاز واحد قد يعني فقدانها بالكامل. ويُمكن أن يؤدي توزيع المخاطر إلى تقليل الخسائر المحتملة بشكل كبير.

الخلاصة: الأمان يبدأ بالوعي - وأنت من تفعله

يُمكن للتكنولوجيا بناء دفاعات في مجال أمان الشبكة، ولكن وعيك ويقظتك هما الضمانات النهائية. يزداد المحتالون بسبب الارتباك والإلحاح، ولكن عند إعلامك، يُمكنك اكتشاف الفخاخ والرد بثقة. توفر Bitget إطارًا أمنيًا متعدد الطبقات لحماية المستخدمين، ولكن أقوى حماية هي فهمك وإدراكك للمخاطر. فكل جزء من الوعي بالاحتيال تكتسبه هو درع آخر يحمي أصولك.

المعرفة هي أساس القوة. واتخاذ الإجراءات اللازمة هو الحماية. ستواصل Bitget تحديث موارد مكافحة الاحتيال وتنبيهات المخاطر. ففي كل مرة تقوم فيها بالتحقق مرةً أخرى من التفاصيل أو اتخاذ قرار حذر، تغلق الباب أمام المحتالين. دعونا نتعاون معًا لجعل السلامة أساسنا المشترك.

تعرّف على المزيد: أفضل ممارسات الأمان الخاصة بمنصة Bitget

مقالات ذات صلة:

تنبيه أمان الويب 3 - الانتحال عبر الرسائل القصيرة

تنبيه أمان الويب 3 - Payzero

تنبيه أمان الويب 3 - العملات عالية المخاطر

تنبيه أمان الويب 3 - التطبيقات المزيفة

تنبيه أمان الويب 3 - الموافقات الضارة