הצפנה מגינה על נתיב ההודעה; את אמינותה של בקשת תשלום צריך לבדוק באופן עצמאי.
הצפנה מקצה לקצה יכולה להגן על תוכן ההודעה מפני גורמי ביניים, אבל אינה מבטיחה שהשולח דובר אמת. גם נוכל יכול לשלוח הודעה מוצפנת מהחשבון שלו. כשבודקים מנהל מתחזה, פרס מזויף או הצעה הקשורה למטבעות קריפטוגרפיים, צריך לבדוק את זהות החשבון ואת הבקשה שלו בנפרד מאבטחת נתיב ההודעה.
שלושה דפוסים נפוצים והתגובה המתאימה
| ההודעה שהתקבלה | מה צריך לבדוק | פעולה בטוחה יותר |
|---|---|---|
| ״אני מנהל הקבוצה; שלח את הסכום הזה עכשיו״ | ייתכן שהשם והתמונה של מנהל הועתקו | בדקו את רשימת המנהלים וקבלו אישור דרך אמצעי קשר שהיה מוכר לכם מראש |
| ״זכית; שלם עמלה כדי לקבל את הפרס״ | דרישת תשלום לשחרור פרס היא סימן להונאה | אל תשלמו; מצאו את המארגן באופן עצמאי |
| ״רווח מובטח; נשארו לך רק כמה דקות״ | לחץ זמן והבטחה לתשואה ודאית פוגעים ביכולת לבדוק | אל תשלחו כסף או פרטי ארנק ובדקו את הטענה באופן עצמאי |
הסימנים האלה נועדו לגרום לכם לעצור ולבדוק; מראה רשמי, מספר חברים גדול או אישור של כמה חשבונות אחרים אינם מוכיחים אמינות בפני עצמם.
איך בודקים מנהל מתחזה?
אפשר לחקות את שם התצוגה ואת תמונת החשבון. בדקו היטב את שם המשתמש ואת המזהה, אבל זכרו שגם חשבון אמיתי עלול להיפרץ ולהיות בשליטת אדם אחר. אם הבקשה חריגה, אל תשיבו באותה שיחה; צרו קשר עם האדם בדרך אחרת שהייתה מוכרת לכם מראש.
למשל, אם מנהל של קבוצת עבודה מבקש בהודעה פרטית להעביר כסף, אמתו את הבקשה דרך מספר טלפון רשום או ערוץ ארגוני, ולא דרך מספר חדש שאותו חשבון מסר לכם. אל תשלחו מידע רגיש כדי ״להוכיח חברות בקבוצה״.
מספר האבטחה או טביעת האצבע של המפתח יכולים לסייע באימות הקשר המוצפן עם איש הקשר. אבל התאמת המפתחות אינה מוכיחה שההצעה הכספית שלו אמינה או שהמכשיר שלו אינו נגוע בנוזקה.
למה לא לשלוח כסף או קוד כניסה כדי לקבל פרס?
המדריך של נציבות הסחר הפדרלית בארצות הברית בנושא פרסים מזויפים מונה דרישה לכסף כדי לקבל פרס ובקשה לפרטים פיננסיים בין סימני האזהרה העיקריים. ההודעה עשויה להיראות כמו תחרות, הגרלה, מתנה או תמיכה בחשבון.
אל תשלחו בצ׳אט קוד כניסה, סיסמה או מילות שחזור. אם מישהו מבקש מכם להיכנס לאתר כדי ״להפעיל את הפרס״, פתחו בעצמכם את הכתובת הרשמית של המארגן בדרך מוכרת. סמל מנעול של HTTPS או הכיתוב ״מוצפן״ בעמוד אינם מוכיחים שהמארגן אמיתי.
במה פאמפ אנד דאמפ והצעות קריפטו שונים מפרס מזויף?
בפאמפ אנד דאמפ, קידום מתואם יכול להעלות את הביקוש לנכס ואת מחירו כדי שהמארגנים ימכרו את הנכסים שבידיהם. בהשקעה פיקטיבית, ייתכן שאין כלל מסחר אמיתי ולוח הבקרה מציג רווחים מומצאים. אין לראות בשניים אותה תופעה, אבל שניהם יכולים לנצל את ההתלהבות בקבוצה ואת לחץ הזמן.
המדריך הרשמי של FTC בנושא הונאות קריפטו מזהיר מפני הבטחות לרווח מובטח, התחזות ודרישות להעברת מטבעות קריפטוגרפיים. המאמר הזה אינו המלצה לקנות או למכור נכסים; מטרתו היא לבדוק בקשה חשודה.
הימנעו מחיבור ארנק או מחתימה על עסקה שאינכם מבינים את משמעותה. לעולם אל תזינו את מילות השחזור לבקשת מנהל או נציג תמיכה, או כדי לקבל איירדרופ. תשלום נוסף עבור ״שחרור רווחים״ או ״השבת כסף שאבד״ עלול להיות המשך של אותה הונאה.
במה הצפנה מקצה לקצה מסייעת ומה היא אינה פותרת?
הצפנה שמיושמת כראוי, יחד עם אימות מפתחות, נועדה להגן על סודיות ההודעות ועל שלמותן מפני אנשים מחוץ לשיחה. אבל חבר מורשה בקבוצה קורא את הטקסט ויכול לשקר, לשלוח קישור זדוני או להעתיק את ההודעה. גם אבטחה לאחר חדירה אינה מערכת לזיהוי הונאות או ביטול אוטומטי של גישת התוקף.
בנוסף, פרוטוקול כמו SRP, שאינו שולח את הסיסמה ישירות במהלך הכניסה, אינו מונע את הזנת אותה סיסמה בעמוד מזויף. הגנה על הכניסה וזיהוי הטעיה הם שני נושאים נפרדים.
לפי גבולות האבטחה שפרסמה Livara, ערוצים ציבוריים אינם זהים לצ׳אט פרטי. האפשרות לדווח על תוכן מועילה, אבל עצם היותו ציבורי או קיומם של כלי דיווח אינם הופכים הונאה לבלתי אפשרית.
מה לעשות אם כבר שלחתי מידע או כסף?
- הפסיקו את התקשורת ואת התשלומים הנוספים; אל תשלמו עמלה חדשה כדי ״לפתור את הבעיה״.
- שמרו את ההודעות, מזהה החשבון, כתובת האתר ואישור העסקה לצורך דיווח; אל תפרסמו אותם בפומבי.
- אם מסרתם פרטי כניסה, היכנסו לאתר הרשמי ממכשיר מהימן, החליפו את הסיסמה ובדקו את החיבורים הפעילים ואת דרכי השחזור.
- אם בוצע תשלום, פנו במהירות לבנק או לשירות התשלומים הרלוונטי. החזר כספי, במיוחד בקריפטו, אינו מובטח.
- דווחו על החשבון ועל ההודעה וחסמו אותם באמצעות הכלים הרשמיים של אפליקציית המסרים. להגשת תלונה רשמית, פנו לעזרת הרשות המוסמכת במקום מגוריכם.
שאלות קצרות
האם סימן אימות או מספר גדול של חברים מספיקים?
לא. בדקו באופן עצמאי את הבקשה המסוימת, את זהות האדם ואת יעד התשלום; שום סימן חיצוני אינו מחליף את הבדיקה הזאת.
אם מספר האבטחה נכון, האם בקשת הכסף אמינה?
לא. אימות המפתח נוגע לצד השני בקשר המוצפן, ולא לאמיתות הטענה הכספית שלו או לאבטחת המכשיר שלו.
האם צריך ללחוץ על הקישור כדי לדעת אם הוא מזויף?
לא. כדי לבדוק בקשה חשודה, גשו תחילה לשירות בדרך הרשמית והמוכרת. תצוגה מקדימה יפה או שם מתחם שדומה למקור אינם הוכחה לאמינות.
