Avviso di sicurezza Web3: app false

Nello spazio delle criptovalute, i truffatori continuano a perfezionare le loro tattiche. Una minaccia ad alto rischio sta tornando in auge: le app Bitget false. Queste app malevole sono scaltramente camuffate in modo da assomigliare all'app Bitget ufficiale, a partire dal logo fino alla descrizione dell'app, rendendo quasi impossibile distinguerle. I criminali informatici utilizzano una serie di trucchi per indurre gli utenti a scaricare le versioni "copia", con l'obiettivo di rubare informazioni personali e asset digitali.

Cosa sono le app false?

Le app false (note anche come app di phishing o app malevole basate sull'emulazione) sono applicazioni illegittime create per simulare piattaforme popolari e legittime, come gli exchange di criptovalute, i portafogli o i social network. Per sembrare autentiche, replicano i nomi, i loghi, le interfacce e persino le funzionalità. Una volta installate, queste app spesso portano a violazioni della privacy o a perdite finanziarie.

Caratteristiche principali

● Aspetto simile: i nomi, i loghi e i layout dell'app ricordano da vicino la versione ufficiale, con differenze minime (ad esempio, i colori del logo o i dettagli dei font).

● Funzionalità clonate: le app false possono replicare le funzionalità principali dell'app reale o semplicemente reindirizzare gli utenti su pagine false.

● Autorizzazioni malevole: spesso richiedono un accesso eccessivo – ben oltre il necessario – alle funzioni del telefono, come contatti, SMS, fotocamera o microfono, per monitorare il comportamento dell'utente o rubare i dati.

● Distribuzione non ufficiale: si trovano comunemente negli app store di terze parti, nei siti di phishing, nei link inviati tramite SMS, e-mail o condivisi nelle community online.

● Mancanza di credenziali ufficiali: le informazioni degli sviluppatori sono vaghe o carenti e i dettagli di contatto o le politiche sulla privacy sono spesso falsi o assenti.

● Errori di ortografia, grammatica o descrizione: le app di phishing spesso contengono errori grossolani, mentre gli sviluppatori legittimi di solito esaminano attentamente i testi prima di pubblicarli.

● Recensioni sospette: basso numero di download, valutazioni polarizzate sugli estremi (tutte a 5 stelle o tutte a 1 stella) e sfasamento tra la data di lancio e il numero di recensioni.

Scenari comuni di attacco

1. Sostituzione dell'indirizzo del portafoglio:

● Gli utenti tentano di depositare o prelevare fondi utilizzando l'app falsa dell'exchange.

● L'app sostituisce segretamente l'indirizzo del destinatario con un indirizzo controllato dall'hacker.

● I fondi vengono inviati inconsapevolmente al portafoglio del truffatore e non sono recuperabili.

2. Furto di credenziali:

● Gli utenti inseriscono le proprie credenziali di accesso e i codici 2FA sull'app falsa.

● I truffatori utilizzano questi dati per accedere alla piattaforma reale.

● Gli asset vengono trasferiti rapidamente o utilizzati in modo improprio.

3. Phishing tramite SMS:

● Le vittime ricevono degli SMS di avviso come "avvertimento di sicurezza urgente" o "attività anomala sull'account" con i link per scaricare la falsa app.

● Sentendosi sotto pressione, gli utenti installano l'app e concedono i permessi.

● L'app ruba quindi le informazioni sensibili come la seed phrase o intercetta i codici di verifica tramite SMS, consentendo un accesso non autorizzato.

4. Iniezione di malware:

● La falsa app installa ulteriori software dannosi in background.

● Può utilizzare dei keylogger per acquisire gli input provenienti da altre app.

● I file come le chiavi private o le seed phrase possono essere caricati e accessibili senza comunicarlo direttamente all'utente.

5. Monitoraggio continuo:

● L'app viene eseguita in background, monitorando l'attività dell'utente.

● Cattura i contenuti dello schermo, soprattutto quando sono in uso le app di servizi finanziari.

● Gli hacker attendono il momento giusto per intercettare o alterare i dati delle transazioni.

Come funzionano le app false?

Le app false combinano la tecnologia d'inganno con il social engineering:

1. Tecnologia d'inganno

○ Duplicazione dell'interfaccia e del codice:

■ L'interfaccia, le funzionalità o persino il codice sorgente dell'app ufficiale vengono clonati, rendendo l'app falsa uguale nell'aspetto e nel funzionamento.

■ I file APK legittimi vengono modificati iniettando codice dannoso o sostituendo gli indirizzi di trasferimento per creare delle versioni alterate.

○ Abuso dei permessi:

■ Vengono richiesti permessi eccessivi (ad esempio, lettura di SMS, accesso ai contatti, localizzazione) per consentire il furto di dati o il controllo da remoto.

○ Intercettazione e cifratura delle comunicazioni:

■ L'intercettazione delle API viene utilizzata per intercettare e modificare la comunicazione di dati tra l'app e il suo server.

■ Vengono trasmesse informazioni sensibili, come gli indirizzi di transazione o le password, tramite canali criptati.

○ Elusione del rilevamento:

■ Offuscamento del codice: il codice viene modificato per renderlo illeggibile o più difficile da analizzare, in modo da eludere il rilevamento automatico.

■ Attivazione ritardata: il codice dannoso si attiva solo dopo l'installazione o in determinate condizioni.

■ Caricamento dinamico: il codice dannoso viene scaricato dopo l'installazione anziché essere incluso nell'app.

■ Richieste dei permessi scaglionate: i permessi di accesso alle informazioni sensibili vengono richiesti gradualmente, riducendo la vigilanza degli utenti.

2. Social engineering

○ Abuso di fiducia:

■ Imitando le piattaforme affidabili (ad esempio, Bitget), le app di phishing acquisiscono la fiducia degli utenti e li inducono ad allentare le difese.

○ Creazione di un'urgenza:

■ Vengono utilizzate strategie allarmistiche (ad esempio, "Il tuo account è a rischio" o "È stata rilevata una perdita di asset") tramite SMS o notifiche push per ridurre la vigilanza degli utenti e innescare reazioni rapide e prive di verifica.

○ Inganni visivi:

■ Si sfrutta la scarsa capacità degli utenti di notare le piccole discrepanze visive, utilizzando degli elementi visivi simili per trarre in inganno.

■ La percezione di legittimità viene alterata tramite le recensioni false e la manipolazione del numero di download.

○ Distribuzione mirata:

■ Per aumentare la percentuale di successo degli attacchi, vengono scelti come target dei gruppi specifici, come le community degli investitori crypto.

○ Rebranding frequente:

■ I nomi delle app, le icone e le descrizioni vengono modificati regolarmente per evitare la rilevazione e prolungare la durata della truffa.

Come individuare un'app falsa

Presta attenzione a questi campanelli d'allarme:

● Icona anomala: differenze lievi ma evidenti rispetto all'icona dell'app ufficiale.

● Richiesta eccessiva di permessi: vengono richiesti permessi non necessari dopo l'installazione.

● Recensioni sospette: eccessivamente positive o decisamente negative.

● Errori grammaticali e ortografici: errori evidenti nel nome o nella descrizione dell'app.

● Volume di download insolito: l'app Bitget legittima dovrebbe avere un numero elevato di download.

● Informazioni sospette sugli sviluppatori: dati aziendali mancanti o contraffatti.

● Tempistiche di rilascio discutibili: presta attenzione alle app appena lanciate con un numero di recensioni insolitamente alto.

● Fonti non affidabili: link dell'app condivisi tramite social media, SMS o e-mail invece che sui canali ufficiali.

Protezioni di sicurezza di Bitget

Bitget si impegna a mantenerti sempre un passo avanti e pienamente informato su ciò che accade sul tuo account.

Avvisi e-mail

Se hai collegato la tua e-mail, riceverai un'e-mail ogni volta che accedi da un nuovo dispositivo. Queste e-mail includono il tuo codice anti-phishing, il codice di verifica, la posizione di accesso, l'indirizzo IP e i dettagli del dispositivo. Prenditi sempre un momento per verificare che queste informazioni corrispondano alla tua attività.

Se l'accesso al tuo account avviene da un'altra posizione, riceverai un'e-mail che ti informerà dell'avvenuto accesso. Verifica questo accesso.

Quando effettui un prelievo, riceverai un'e-mail contenente il codice di verifica e i dettagli completi della transazione. Verifica sempre che tutto corrisponda al tuo prelievo.

Periodo di attesa (1 ora o 24 ore)

Per prevenire azioni impulsive causate da truffe, Bitget ha implementato un periodo di attesa, una salvaguardia temporanea che si attiva quando il sistema rileva potenziali rischi per l'account (come posizioni di accesso insolite, transazioni sospette o sospette frodi):

Periodo di attesa: a seconda del livello di rischio (1 ora o 24 ore).

● Periodo di 1 ora: per scenari a basso rischio (ad es., accessi da remoto), questo breve ritardo sospende i prelievi in modo che gli utenti possano verificare l'attività dell'account.

● Periodo di 24 ore: per scenari ad alto rischio (ad es., modifiche al metodo di verifica o rischi di phishing), tutti i prelievi sono sospesi, dando agli utenti il tempo di rivalutare la sicurezza dell'account.

Canali di verifica ufficiali

Se non hai la certezza riguardo all'identità di una persona, puoi sempre verificarla tramite il canale di verifica ufficiale di Bitget.

Migliori pratiche per la sicurezza dell'account

Attiva più metodi 2FA

L'autenticazione a due fattori (2FA) è un livello di protezione fondamentale che richiede due metodi separati di verifica dell'identità. Questo può includere combinazioni di e-mail, password, SMS, Google Authenticator, chiavi di sicurezza o altri metodi. L'utilizzo di più opzioni 2FA rafforza notevolmente la sicurezza e l'affidabilità dell'account.

Imposta il codice anti-phishing

Un codice anti-phishing è una funzione di sicurezza fornita da Bitget per aiutare gli utenti a riconoscere i siti web di phishing. Una volta attivato, tutte le e-mail e gli SMS ufficiali di Bitget (esclusi i codici di verifica tramite SMS) includeranno il tuo codice anti-phishing univoco. Le e-mail e gli SMS di phishing non contengono codici anti-phishing, rendendo facile per gli utenti identificare se provengono dai canali ufficiali di Bitget.

Per configurarlo, vai su Profilo > Sicurezza > Codice anti-phishing e segui le istruzioni.

Visita questo link per maggiori dettagli sui codici anti-phishing.

Attiva la conferma dell'indirizzo di prelievo

Quando prelevi fondi tramite il sito web di Bitget, c'è il rischio di attività malevole come il dirottamento del traffico, che possono alterare il tuo indirizzo di prelievo. Per evitare che ciò accada, Bitget offre la possibilità di attivare la verifica su più dispositivi. Dovrai scansionare un QR code utilizzando l'app Bitget per confermare l'indirizzo di prelievo prima che la richiesta possa andare a buon fine.

Adotta buone pratiche per la sicurezza dell'account

Installa un software antivirus. Scarica sempre applicazioni e software da fonti ufficiali affidabili ed evita di cliccare sui link ricevuti tramite SMS. Per migliorare ulteriormente la sicurezza del tuo account, considera l'utilizzo di un dispositivo dedicato per l'accesso agli account sensibili o riservati. Non mettere mai tutte le uova in un solo paniere. Evita di accedere alla tua e-mail, inserire una scheda SIM e memorizzare Google Authenticator sullo stesso telefono. Se il dispositivo viene smarrito o compromesso, avere tutto su un unico dispositivo potrebbe significare perdere tutto. La distribuzione del rischio può ridurre in modo significativo le potenziali perdite.

Conclusione: la sicurezza inizia con la consapevolezza, e inizia con te

La tecnologia può creare difese nel campo della sicurezza di rete, ma la tua consapevolezza e la tua vigilanza sono le ultime garanzie. I truffatori prosperano sulla confusione e sull'urgenza, ma se resti informato, puoi individuare le trappole e rispondere con sicurezza. Bitget offre una struttura di sicurezza a più livelli per proteggere gli utenti, ma ciò che più conta è la comprensione del rischio da parte dell'utente. Ogni piccolo elemento di consapevolezza sulle truffe è un ulteriore scudo per proteggere i tuoi asset.

Sapere è potere. L'azione è protezione. Bitget continuerà ad aggiornare le risorse anti-truffa e gli avvisi di rischio. Ogni volta che controlli un dettaglio o prendi una decisione prudente, chiudi la porta ai truffatori. Cerchiamo di lavorare insieme per fare della sicurezza il nostro fondamento comune.

Per saperne di più: Le migliori pratiche di sicurezza di Bitget

Articoli correlati:

Avviso di sicurezza Web3: spoofing tramite SMS

Avviso di sicurezza Web3: scenari comuni di furto di asset

Avviso di sicurezza Web3: token ad alto rischio

Avviso di sicurezza Web3: app false

Avviso di sicurezza Web3: approvazioni dannose