Alert bezpieczeństwa Web3: Fałszywe aplikacje

W świecie kryptowalut oszuści nieustannie udoskonalają swoje taktyki. Powraca jedno z największych zagrożeń: fałszywe aplikacje Bitget. Te złośliwe aplikacje są sprytnie zamaskowane, aby wyglądały jak oficjalna aplikacja Bitget — od logo po opis aplikacji — co sprawia, że niemal nie da się ich odróżnić. Cyberprzestępcy stosują różne sztuczki, aby nakłonić użytkowników do pobrania tych podobnych aplikacji, mając na celu kradzież danych osobowych i aktywów cyfrowych.

Czym są fałszywe aplikacje?

Fałszywe aplikacje (znane również jako aplikacje phishingowe lub złośliwe aplikacje naśladujące) to nielegalne aplikacje stworzone w celu dokładnego naśladowania popularnych, legalnych platform — takich jak giełdy kryptowalut, portfele lub sieci społecznościowe. Powielają nazwy, logo, interfejsy, a nawet funkcje, aby wyglądać autentycznie. Po zainstalowaniu aplikacje te często prowadzą do naruszenia prywatności lub strat finansowych.

Kluczowe cechy

● Podobne elementy wizualne: nazwy aplikacji, logo i układ graficzny są bardzo zbliżone do oficjalnej wersji, z niewielkimi różnicami (np. kolorystyka logo lub szczegóły czcionki).

● Sklonowane funkcje: fałszywe aplikacje mogą replikować podstawowe funkcje prawdziwej aplikacji lub po prostu przekierowywać użytkowników na fałszywe strony.

● Złośliwe uprawnienia: często wymagają dostępu do niewspółmiernych funkcji telefonu, takich jak kontakty, SMS-y, aparat fotograficzny lub mikrofon — znacznie wykraczających poza niezbędny zakres — w celu monitorowania zachowań użytkownika lub kradzieży danych.

● Nieoficjalna dystrybucja: powszechnie spotykane w zewnętrznych sklepach z aplikacjami, witrynach phishingowych, linkach wysyłanych SMS-em lub e-mailem lub udostępnianych w społecznościach internetowych.

● Brak oficjalnych danych: informacje o twórcy są niejasne lub ich brakuje, a dane kontaktowe lub polityka prywatności są często fałszywe lub brakuje ich w ogóle.

● Błędy ortograficzne, gramatyczne lub opisowe: aplikacje phishingowe często zawierają podstawowe błędy, ponieważ renomowani twórcy zazwyczaj dokładnie sprawdzają tekst przed publikacją.

● Podejrzane recenzje: niska liczba pobrań, skrajne oceny (same 5 gwiazdek lub same 1 gwiazdka) oraz niezgodność między datą wydania a liczbą recenzji.

Typowe scenariusze ataków

1. Zmiana adresu portfela:

● Użytkownicy próbują wpłacić lub wypłacić środki za pomocą fałszywej aplikacji giełdowej.

● Aplikacja w ukryciu zastępuje adres odbiorcy adresem kontrolowanym przez atakującego.

● Środki są nieświadomie wysyłane do portfela oszusta i nie można ich odzyskać.

2. Kradzież danych uwierzytelniających:

● Użytkownicy wpisują swoje dane logowania i kody 2FA do fałszywej aplikacji.

● Oszuści wykorzystują te dane, aby uzyskać dostęp do prawdziwej platformy.

● Aktywa są szybko przenoszone lub niewłaściwie wykorzystywane.

3. Phishing SMS:

● Ofiary otrzymują wiadomości SMS z powiadomieniami typu „pilne ostrzeżenie dotyczące bezpieczeństwa” lub „niezwykła aktywność na koncie” wraz z linkami do pobrania fałszywej aplikacji.

● Czując presję, użytkownicy instalują aplikację i udzielają jej uprawnień.

● Następnie aplikacja kradnie poufne informacje, w tym frazy seed, lub przechwytuje kody weryfikacyjne SMS, umożliwiając nieautoryzowany dostęp.

4. Zastosowanie złośliwego oprogramowania:

● Fałszywa aplikacja instaluje w tle dodatkowe złośliwe oprogramowanie.

● Może instalować keyloggery w celu przechwytywania danych wprowadzanych w innych aplikacjach.

● Pliki takie jak klucze prywatne lub frazy seed mogą zostać pobrane i przesłane bez powiadomienia.

5. Ciągłe monitorowanie:

● Aplikacja działa w tle, monitorując aktywność użytkownika.

● Rejestruje zawartość ekranu, zwłaszcza podczas korzystania z aplikacji finansowych.

● Atakujący czekają na moment, aby przejąć lub zmienić dane transakcji.

Jak działają fałszywe aplikacje?

Fałszywe aplikacje łączą techniczne oszustwo z inżynierią społeczną:

1. Oszustwo techniczne

○ Powielanie interfejsu i kodu:

■ Klonowanie interfejsu, funkcjonalności, a nawet kodu źródłowego oficjalnej aplikacji, dzięki czemu fałszywa aplikacja wygląda i działa tak samo.

■ Modyfikowanie autentycznych plików APK poprzez wprowadzanie złośliwego kodu lub zastępowanie adresów transferu w celu stworzenia zmienionych wersji.

○ Nadużycie uprawnień:

■ Żądanie dodatkowych uprawnień (np. dostępu do wiadomości SMS, kontaktów, lokalizacji) w celu umożliwienia kradzieży danych lub zdalnego sterowania.

○ Przechwytywanie i szyfrowanie komunikacji:

■ Przechwytywanie API służy do przechwytywania i modyfikowania danych komunikacyjnych między aplikacją a serwerem.

■ Przesyłanie poufnych informacji, takich jak adresy transakcji lub hasła, za pośrednictwem szyfrowanych kanałów.

○ Unikanie wykrycia:

■ Zamaskowanie kodu: modyfikacja kodu w celu uniemożliwienia jego odczytania lub utrudnienia analizy, co pomaga uniknąć automatycznego wykrycia.

■ Opóźniona aktywacja: złośliwy kod uruchamia się dopiero po instalacji lub w określonych warunkach.

■ Dynamiczne ładowanie: złośliwy kod jest pobierany po instalacji, a nie dołączony do aplikacji.

■ Rozłożone w czasie prośby o uprawnienia: prośby o dostęp do wrażliwych danych są wysyłane stopniowo, co zmniejsza czujność użytkownika.

2. Inżynieria społeczna

○ Nadużycie zaufania:

■ Podrabiając zaufane platformy (np. Bitget), aplikacje phishingowe przejmują zaufanie użytkowników i powodują, że tracą oni czujność.

○ Tworzenie poczucia pilności:

■ Wykorzystuj taktyki strachu (np. „Twoje konto jest zagrożone” lub „Wykryto utratę aktywów”) za pośrednictwem wiadomości SMS lub powiadomień push, aby obniżyć czujność użytkowników i skłonić ich do podjęcia szybkich, niesprawdzonych działań.

○ Sztuczki wizualne:

■ Wykorzystanie tego, że użytkownicy nie zauważają drobnych różnic wizualnych, używając podobnych elementów wizualnych, żeby ich oszukać.

■ Nadanie produktowi pozory autentyczności za pomocą fałszywych recenzji i zmanipulowanych statystyk pobrań.

○ Ukierunkowana dystrybucja:

■ Ukierunkowanie na określone grupy, takie jak społeczności inwestorów kryptowalutowych, w celu zwiększenia skuteczności ataków.

○ Częste rebrandingi:

■ Stałe zmienianie nazw aplikacji, ikon i opisów, żeby uniknąć wykrycia i przedłużyć działanie oszustwa.

Jak rozpoznać fałszywą aplikację

Zwróć uwagę na następujące sygnały ostrzegawcze:

● Nieprawidłowa ikona: niewielkie, ale zauważalne różnice w porównaniu z oficjalną ikoną aplikacji.

● Zbyt wiele wymaganych uprawnień: po instalacji pojawiają się niepotrzebne prośby o uprawnienia.

● Podejrzane recenzje: zbyt pozytywne lub zdecydowanie negatywne.

● Błędy gramatyczne i ortograficzne: oczywiste błędy w nazwie lub opisie aplikacji.

● Nietypowa liczba pobrań: autentyczna aplikacja Bitget powinna mieć dużą liczbę pobrań.

● Podejrzane informacje o deweloperze: brakujące lub fałszywe dane firmy.

● Wątpliwy moment wydania: zachowaj ostrożność w przypadku nowo wydanych aplikacji, które mają niezwykle dużą liczbę recenzji.

● Niewiarygodne źródła: linki do aplikacji udostępniane za pośrednictwem mediów społecznościowych, SMS-ów lub e-maili zamiast oficjalnych kanałów.

Środki bezpieczeństwa Bitget

Bitget dokłada wszelkich starań, aby użytkownicy byli o krok do przodu i w pełni poinformowani o tym, co dzieje się na ich koncie.

Powiadomienia e-mail

Jeśli masz powiązany adres e-mail, otrzymasz wiadomość e-mail za każdym razem, gdy zalogujesz się z nowego urządzenia. Te wiadomości e-mail zawierają kod antyphishingowy, kod weryfikacyjny, lokalizację logowania, adres IP i szczegóły urządzenia. Zawsze poświęć chwilę, aby sprawdzić, czy te informacje odpowiadają Twojej aktywności.

Jeśli ktoś zaloguje się na Twoje konto z innego miejsca, otrzymasz wiadomość e-mail z informacją o logowaniu. Sprawdź tę próbę dostępu do konta.

Podczas dokonywania wypłaty otrzymasz wiadomość e-mail zawierającą kod weryfikacyjny oraz pełne szczegóły transakcji. Zawsze dokładnie sprawdź, czy wszystko zgadza się z Twoją wypłatą.

Okres na zastanowienie (1 godzina lub 24 godziny)

Aby zapobiec podejmowaniu pochopnych działań spowodowanych oszustwami, Bitget wprowadził okres karencji — tymczasowe zabezpieczenie uruchamiane w momencie wykrycia przez system potencjalnego zagrożenia dla konta (np. nietypowe lokalizacje logowania, podejrzane transakcje lub podejrzenie oszustwa):

Okres karencji: w zależności od poziomu ryzyka (1 godzina lub 24 godziny).

● Okres 1 godziny: w przypadku scenariuszy o niższym ryzyku (np. logowanie z odległej lokalizacji) to krótkie opóźnienie wstrzymuje wypłaty, aby użytkownicy mogli zweryfikować aktywność na koncie.

● Okres 24 godzin: w sytuacjach wysokiego ryzyka (np. zmiana metody weryfikacji lub ryzyko phishingu) wszystkie wypłaty są zawieszane, aby dać użytkownikom czas na ponowną ocenę bezpieczeństwa konta.

Oficjalny kanał weryfikacji

Jeśli nie masz pewności co do tożsamości danej osoby, zawsze możesz ją zweryfikować za pośrednictwem oficjalnego kanału weryfikacyjnego Bitget.

Najlepsze praktyki dotyczące bezpieczeństwa konta

Włącz wiele metod uwierzytelniania dwuskładnikowego

Uwierzytelnianie dwuskładnikowe (2FA) to kluczowa warstwa zabezpieczeń, która wymaga dwóch oddzielnych metod weryfikacji tożsamości. Może to obejmować kombinacje adresu e-mail, haseł, wiadomości SMS, Google Authenticator, kluczy bezpieczeństwa lub innych metod. Korzystanie z wielu opcji uwierzytelniania dwuskładnikowego znacznie zwiększa bezpieczeństwo i pewność działania konta.

Ustaw kod antyphishingowy

Kod antyphishingowy jest funkcją bezpieczeństwa zapewnianą przez Bitget, która pomaga użytkownikom rozpoznawać witryny phishingowe. Po włączeniu tej opcji wszystkie oficjalne wiadomości e-mail i SMS-y od Bitget (z wyjątkiem kodów weryfikacyjnych SMS) będą zawierały niepowtarzalny kod antyphishingowy. Fałszywe wiadomości e-mail i SMS-y nie będą zawierały kodów antyphishingowych, dzięki czemu użytkownicy będą mogli łatwo zidentyfikować, czy pochodzą one z oficjalnych kanałów Bitget.

Aby go skonfigurować, przejdź do sekcji Profil > Bezpieczeństwo > Kod antyphishingowy i postępuj zgodnie z instrukcjami.

Więcej informacji na temat kodów antyphishingowych można znaleźć pod tym linkiem.

Włącz potwierdzenie adresu wypłaty

Podczas wypłaty środków za pośrednictwem strony internetowej Bitget istnieje ryzyko wystąpienia złośliwych działań, takich jak przejęcie ruchu, które mogą spowodować zmianę adresu wypłaty. Aby temu zapobiec, Bitget oferuje opcję weryfikacji na kilku urządzeniach. Przed realizacją żądania konieczne będzie zeskanowanie kodu QR za pomocą aplikacji mobilnej Bitget w celu potwierdzenia adresu wypłaty.

Utrzymuj swoje konto w odpowiednim stanie

Zainstaluj oprogramowanie antywirusowe. Zawsze pobieraj aplikacje i oprogramowanie z zaufanych, oficjalnych źródeł i unikaj klikania linków otrzymanych w wiadomościach SMS. Aby jeszcze bardziej zwiększyć bezpieczeństwo swojego konta, rozważ użycie osobnego urządzenia do logowania się na konta zawierające poufne informacje. Nie stawiaj wszystkiego na jedną kartę. Unikaj logowania się do poczty e-mail, używania karty SIM i przechowywania aplikacji Google Authenticator na tym samym telefonie. Jeśli zgubisz urządzenie lub zostanie ono skradzione, przechowywanie wszystkich danych na jednym urządzeniu może oznaczać utratę wszystkich danych. Rozłożenie ryzyka może znacznie zmniejszyć potencjalne straty.

Wniosek: Bezpieczeństwo zaczyna się od świadomości — a świadomość zaczyna się od Ciebie.

Technologia może zapewnić ochronę w zakresie bezpieczeństwa sieci, ale ostateczną gwarancją bezpieczeństwa jest Twoja świadomość i czujność. Oszuści wykorzystują dezorientację i poczucie pilności, ale jeśli masz odpowiednią wiedzę, możesz dostrzec pułapki i zareagować z pewnością siebie. Bitget zapewnia wielowarstwową strukturę bezpieczeństwa w celu ochrony użytkowników, ale najskuteczniejszym zabezpieczeniem jest Twoja własna świadomość ryzyka. Każda wiedza na temat oszustw stanowi dodatkową ochronę Twoich aktywów.

Wiedza to potęga. Działanie to ochrona. Bitget będzie nadal aktualizować zasoby dotyczące przeciwdziałania oszustwom oraz alerty o ryzyku. Za każdym razem, gdy dokładnie sprawdzasz jakiś szczegół lub podejmujesz ostrożną decyzję, zamykasz drzwi przed oszustami. Działajmy razem, aby bezpieczeństwo stało się naszą wspólną podstawą.

Dowiedz się więcej: Najlepsze praktyki Bitget w zakresie bezpieczeństwa

Powiązane artykuły:

Alert bezpieczeństwa Web3: Fałszowanie wiadomości SMS

Alert bezpieczeństwa Web3: Payzero

Alert bezpieczeństwa Web3: Tokeny obarczone wysokim ryzykiem

Alert bezpieczeństwa Web3: Fałszywe aplikacje

Alert bezpieczeństwa Web3: Szkodliwe zatwierdzenia