Alerta de segurança Web3 - Aplicações falsas

No espaço das criptomoedas, os burlões estão constantemente a aprimorar as suas táticas. Uma ameaça de elevado risco está de regresso: as falsas aplicações da Bitget. Estas aplicações maliciosas são habilmente disfarçadas para se parecerem com a aplicação oficial da Bitget - desde o logótipo à descrição da aplicação - tornando-as quase impossíveis de distinguir. Os cibercriminosos utilizam uma variedade de truques para atrair os utilizadores a descarregarem estas cópias da aplicação, com o objetivo de roubar informações pessoais e ativos digitais.

O que são aplicações falsas?

As aplicações falsas (também conhecidas como aplicações de phishing ou aplicações imitadoras maliciosas) são aplicações ilegítimas criadas para imitar plataformas populares e legítimas - como corretoras, carteiras ou redes sociais do setor das criptomoedas. Reproduzem nomes, logótipos, interfaces e até funcionalidades para parecerem autênticos. Depois de instaladas, estas aplicações conduzem frequentemente a infrações da privacidade ou a perdas financeiras.

Características principais

● Visuais semelhantes: os nomes, logótipos e layouts das aplicações assemelham-se muito à versão oficial, apenas com pequenas diferenças (por exemplo, esquemas de cores do logótipo ou detalhes da fonte).

● Funcionalidades clonadas: as aplicações falsas podem replicar funções essenciais da aplicação real ou simplesmente redirecionar os utilizadores para páginas falsas.

● Permissões maliciosas: muitas vezes, solicitam acesso a funções excessivas do telefone, como contactos, SMS, câmara ou microfone - muito para além do necessário - para monitorizar o comportamento do utilizador ou roubar dados.

● Distribuição não oficial: normalmente encontrada em lojas de aplicações de terceiros, websites de phishing, links enviados por SMS ou emails, ou partilhados em comunidades online.

● Falta de credenciais oficiais: as informações do desenvolvedor são vagas ou inexistentes, e os dados de contacto ou as políticas de privacidade são frequentemente falsos ou inexistentes.

● Erros de ortografia, gramática ou descrição: as aplicações de phishing contêm frequentemente erros básicos, uma vez que os desenvolvedores legítimos costumam rever cuidadosamente o texto antes de o publicarem.

● Avaliações suspeitas: números baixos de transferências, classificações polarizadas (todas de 5 estrelas ou todas de 1 estrela) e um desfasamento entre a data de lançamento e o número de críticas.

Cenários de ataque comuns

1. Substituição do endereço de carteira:

● Os utilizadores tentam depositar ou levantar fundos utilizando a aplicação falsa da corretora.

● A aplicação substitui secretamente o endereço do destinatário por um controlado pelo atacante.

● Os fundos são enviados inadvertidamente para a carteira do burlão e não podem ser recuperados.

2. Roubo de credenciais:

● Os utilizadores introduzem as suas credenciais de início de sessão e códigos 2FA na aplicação falsa.

● Os burlões utilizam estes dados para aceder à plataforma real.

● Os ativos são rapidamente transferidos ou utilizados de forma indevida.

3. Phishing por SMS:

● As vítimas recebem alertas por SMS como "aviso de segurança urgente" ou "atividade irregular na conta" com links para descarregar a aplicação falsa.

● Sentindo-se pressionados, os utilizadores instalam a aplicação e concedem permissões.

● A aplicação rouba então informações sensíveis, incluindo frases seed ou interceta códigos de verificação de SMS, permitindo o acesso não autorizado.

4. Introdução de malware:

● A aplicação falsa instala software malicioso adicional em segundo plano.

● Pode instalar keyloggers para capturar dados de outras aplicações.

● Ficheiros como chaves privadas ou frases seed podem ser acedidos e carregados silenciosamente.

5. Monitorização contínua:

● A aplicação é executada em segundo plano e pode monitorizar a atividade do utilizador.

● Captura o conteúdo do ecrã, especialmente quando estão a ser utilizadas aplicações financeiras.

● Os atacantes esperam por momentos para intercetar ou alterar os dados da transação.

Como é que as aplicações falsas funcionam?

As aplicações falsas combinam a ilusão técnica com a engenharia social:

1. Ilusão técnica

○ Duplicação de interfaces e códigos:

■ Clonar a interface, a funcionalidade ou mesmo o código fonte da aplicação oficial, fazendo com que a aplicação falsa pareça e funcione da mesma forma.

■ Modificar ficheiros APK legítimos através da introdução de código malicioso ou da substituição de endereços de transferência para criar versões alteradas.

○ Abuso de permissões:

■ Pedir permissões excessivas (por exemplo, ler SMS, aceder a contactos, seguir a localização) para permitir o roubo de dados ou o controlo remoto.

○ Interceção e encriptação de comunicações:

■ A interceção de API é utilizada para intercetar e modificar os dados de comunicação entre a aplicação e o seu servidor.

■ Transmitir informações sensíveis, tais como endereços de transações ou palavras-passe, através de canais encriptados.

○ Evasão de deteção:

■ Ofuscação de código: modificar o código para o tornar ilegível ou mais difícil de analisar, ajudando-o a evitar a deteção automática.

■ Ativação atrasada: o código malicioso só é ativado após a instalação ou em determinadas condições.

■ Carregamento dinâmico: o código malicioso é descarregado após a instalação, em vez de vir incluído na aplicação.

■ Pedidos de permissão feitos gradualmente: as permissões sensíveis são solicitadas gradualmente, diminuindo o sentido de vigilância do utilizador.

2. Engenharia social

○ Abuso de confiança:

■ Ao imitarem plataformas de confiança (por exemplo, Bitget), as aplicações de phishing ganham a confiança do utilizador e fazem com que este deixe cair por terra as suas defesas.

○ Criação de urgência:

■ Utilizar táticas de medo (por exemplo, "A sua conta está em risco" ou "Perda de ativos detetada") através de SMS ou notificações push para diminuir a vigilância do utilizador e desencadear ações rápidas e não verificadas.

○ Truques visuais:

■ Explorar a incapacidade dos utilizadores de reparar em pequenas discrepâncias visuais, utilizando elementos visuais semelhantes para enganar.

■ Inflacionar a legitimidade com críticas falsas e contagens de descarregamento manipuladas.

○ Distribuição direcionada:

■ Visar grupos específicos, como as comunidades de investidores em criptomoedas, para aumentar a taxa de sucesso dos ataques.

○ Rebranding frequente:

■ Alterar continuamente os nomes, ícones e descrições das aplicações para evitar a deteção e prolongar o tempo de vida do esquema.

Como detetar uma aplicação falsa?

Esteja atento a estes sinais de alerta:

● Ícone fora do comum: diferenças ligeiras mas visíveis em comparação com o ícone oficial da aplicação.

● Pedidos de permissão excessivos: permissões desnecessárias solicitadas após a instalação.

● Críticas suspeitas: ou excessivamente positivas ou excessivamente negativas.

● Erros de gramática e ortografia: erros óbvios no nome ou na descrição da aplicação.

● Volume de descarregamentos invulgar: a aplicação da Bitget legítima deve ter um elevado número de descarregamentos.

● Informações suspeitas sobre o programador: detalhes da empresa em falta ou fraudulentos.

● Data de lançamento questionável: tenha cuidado com as aplicações recém-lançadas com um número invulgarmente elevado de avaliações.

● Fontes não fiáveis: links de aplicações partilhadas através de redes sociais, SMS ou email em vez de canais oficiais.

Proteções de segurança da Bitget

A Bitget está empenhada em mantê-lo um passo à frente e totalmente informado sobre tudo o que se passa na sua conta.

Alertas por email

Se vinculou o seu email, receberá um email sempre que iniciar sessão a partir de um novo dispositivo. Estes emails incluem o seu código anti-phishing, código de verificação, localização do início de sessão, endereço IP e detalhes do dispositivo. Verifique sempre se estas informações correspondem à sua atividade.

Se a sua conta for acedida a partir de um local diferente, receberá um email a notificá-lo do início de sessão. Pedimos que verifique sempre este acesso.

Ao efetuar um levantamento, receberá um email com o código de verificação e todos os detalhes da transação. Confirme sempre que os dados nele presentes correspondem integralmente ao levantamento pretendido.

Período de pausa (1 hora ou 24 horas)

Para evitar ações impulsivas causadas por fraudes, a Bitget implementou um período de pausa - uma salvaguarda temporária desencadeada quando o sistema deteta possíveis riscos para a conta (tal como localizações de início de sessão invulgares, transações irregulares ou suspeitas de fraude):

Período de pausa: consoante o nível de risco (1 hora ou 24 horas).

● Período de 1 hora: para cenários de baixo risco (por exemplo, inícios de sessão remotos), este pequeno atraso pausa os levantamentos para que os utilizadores possam verificar a atividade da sua conta.

● Período de 24 horas: para cenários de alto risco (por exemplo, alterações no método de verificação ou riscos de phishing), todos os levantamentos são suspensos, dando aos utilizadores tempo para reavaliarem a segurança da sua conta.

Canais de verificação oficial

Se não tiver a certeza da identidade de alguém, pode sempre verificá-la através do canal de verificação oficial da Bitget.

Melhores práticas para a segurança da conta

Ative vários métodos de 2FA

A autenticação de dois fatores (2FA) é uma camada crítica de proteção que exige dois métodos separados de verificação de identidade. Isto pode incluir combinações de email, palavras-passe, SMS, Google Authenticator, chaves de segurança ou outros métodos. O uso de várias opções de 2FA reforça consideravelmente a segurança e a fiabilidade da sua conta.

Configure o código anti-phishing

O código anti-phishing é uma funcionalidade de segurança fornecida pela Bitget para ajudar os utilizadores a identificarem websites de phishing. Uma vez ativado, todos os emails e SMS oficiais da Bitget (excluindo os códigos de verificação por SMS) incluirão o seu código anti-phishing exclusivo. Os emails e SMS de phishing não contêm códigos anti-phishing, pelo que será mais fácil para os utilizadores identificarem se provêm de canais oficiais da Bitget.

Para o configurar, aceda ao Perfil > Segurança > Código anti-phishing e siga as instruções apresentadas.

Visite este link para obter mais informações sobre códigos anti-phishing.

Ative a confirmação de endereços de levantamento

Ao levantar fundos através do website da Bitget, existe o risco de atividades maliciosas (tais como apropriação indevida de tráfego) adulterarem o seu endereço de levantamento. Para evitar isto, a Bitget oferece um método de verificação entre dispositivos. Terá de ler um código QR utilizando a app móvel da Bitget para confirmar o endereço de levantamento antes que o pedido possa ser efetuado.

Pratique uma boa higiene de conta

Instale software antivírus. Descarregue sempre apps e software de fontes oficiais de confiança e evite clicar em links recebidos por SMS. Para aumentar ainda mais a segurança da sua conta, considere a possibilidade de utilizar um dispositivo dedicado para aceder a contas sensíveis ou confidenciais. Nunca ponha todos os ovos no mesmo cesto. Evite iniciar sessão no seu email, inserir um cartão SIM e armazenar o Google Authenticator no mesmo telemóvel. Se o seu dispositivo se perder ou ficar comprometido, ter tudo concentrado num único dispositivo pode implicar a perda de todos os seus dados. A distribuição do risco pode reduzir significativamente o risco de perdas.

Conclusão: a segurança começa com a consciencialização - começa consigo

A tecnologia pode criar defesas no domínio da segurança de rede. No entanto, a sua consciencialização e vigilância são as melhores salvaguardas possíveis. Os vigaristas aproveitam-se da confusão e da urgência. No entanto, quando estamos bem informados, conseguimos detetar estas armadilhas e responder com confiança. A Bitget fornece uma estrutura de segurança de várias camadas para proteger os utilizadores. Não obstante, a salvaguarda mais poderosa continua a ser a sua própria compreensão do risco. Cada conhecimento que tiver sobre fraudes é mais um escudo a proteger os seus ativos.

O conhecimento é poder. A ação é proteção. A Bitget continuará a melhorar os seus recursos anti-burla e alertas de risco. Sempre que verificar o mesmo detalhe várias vezes ou tomar uma decisão cautelosa, estará a fechar a porta aos vigaristas. Juntos, trabalharemos para tornar a segurança na base que nos une.

Saiba mais: As melhores práticas de segurança da Bitget

Artigos relacionados:

Alerta de segurança Web3 - Falsificação de SMS

Alerta de segurança da Web3 - Payzero

Alerta de segurança Web3 - Tokens de elevado risco

Alerta de segurança Web3 - Apps falsas

Alerta de segurança Web3 - Aprovações maliciosas