Шифрование защищает путь передачи сообщения; обоснованность просьбы о деньгах нужно проверять независимо.
Сквозное шифрование может защитить содержимое сообщения от посредников, но не гарантирует честность отправителя. Мошенник тоже может отправлять зашифрованные сообщения со своего аккаунта. Проверяя поддельного администратора, несуществующий приз или предложение о криптовалюте, нужно оценивать личность владельца аккаунта и его запрос отдельно от безопасности пути передачи сообщения.
Три распространённые схемы и подходящая реакция
| Полученное сообщение | Что нужно проверить | Более безопасное действие |
|---|---|---|
| «Я администратор группы; немедленно отправь эту сумму» | Имя и фотография администратора могли быть скопированы | Проверьте список администраторов и получите подтверждение по заранее известному каналу связи |
| «Ты выиграл; заплати, чтобы получить приз» | Требование заплатить за выдачу приза — признак мошенничества | Не платите; найдите организатора независимо |
| «Гарантированная прибыль; осталось всего несколько минут» | Требование действовать срочно и обещание гарантированной доходности мешают проверке | Не отправляйте деньги или сведения о кошельке и проверьте утверждение независимо |
Эти признаки — повод остановиться и разобраться; официальный вид, число участников или одобрение нескольких других аккаунтов сами по себе не подтверждают надёжность.
Как проверить поддельного администратора?
Отображаемое имя и фотографию аккаунта можно скопировать. Внимательно проверьте имя пользователя и идентификатор, но помните: даже настоящий аккаунт может быть захвачен. Если запрос необычный, не отвечайте в той же переписке, а свяжитесь с человеком другим, заранее известным вам способом.
Например, если администратор рабочей группы просит в личном сообщении перевести деньги, подтвердите запрос по зарегистрированному номеру или корпоративному каналу, а не по новому номеру, который указал тот же аккаунт. Не отправляйте конфиденциальные сведения, чтобы «подтвердить участие в группе».
Номер безопасности или отпечаток ключа может помочь проверить криптографическое соединение с собеседником. Но совпадение ключей не доказывает, что его финансовое предложение заслуживает доверия или что его устройство не заражено.
Почему нельзя отправлять деньги или код входа ради получения приза?
Руководство Федеральной торговой комиссии США о несуществующих призах относит требование денег за получение приза и запрос финансовых сведений к основным тревожным признакам. Сообщение может выглядеть как конкурс, розыгрыш, подарок или обращение службы поддержки аккаунта.
Не отправляйте в чат код входа, пароль или фразу восстановления. Если кто-то просит вас зайти на сайт для «активации приза», самостоятельно откройте официальный адрес организатора известным вам способом. Значок замка HTTPS или надпись «зашифровано» на странице не доказывают, что организатор настоящий.
Чем памп-и-дамп и предложения о криптовалюте отличаются от несуществующих призов?
В схеме «памп-и-дамп» согласованное продвижение может повысить спрос на актив и его цену, чтобы организаторы продали собственные активы. При фиктивной инвестиции реальных сделок может вообще не быть, а на панели управления может отображаться выдуманная прибыль. Это разные явления, но оба могут использовать ажиотаж в группе и ощущение срочности.
Официальное руководство FTC о криптовалютном мошенничестве предупреждает об обещаниях гарантированной прибыли, выдаче себя за других и требованиях перевести криптовалюту. Эта статья не является советом покупать или продавать активы; её цель — помочь проверить подозрительный запрос.
Не подключайте кошелёк и не подписывайте транзакцию, смысл которой вам непонятен. Никогда не вводите фразу восстановления по просьбе администратора, службы поддержки или ради получения аирдропа. Дополнительная плата за «разблокировку прибыли» или «возврат потерянных денег» может быть продолжением того же мошенничества.
В чём помогает сквозное шифрование и чего оно не решает?
Правильно реализованное шифрование вместе с проверкой ключей предназначено для защиты конфиденциальности и целостности сообщений от посторонних, не участвующих в беседе. Однако авторизованный участник группы читает текст и может лгать, отправлять вредоносные ссылки или копировать сообщение. Безопасность после компрометации также не является системой выявления мошенничества или автоматическим отзывом доступа злоумышленника.
Кроме того, такой протокол, как SRP, который не передаёт пароль напрямую при входе, не предотвращает ввод того же пароля на поддельной странице. Защита входа и распознавание обмана — две разные задачи.
Согласно опубликованным границам безопасности Livara, публичные каналы — не то же самое, что приватная переписка. Возможность пожаловаться на контент полезна, но ни публичность, ни наличие инструментов подачи жалоб не делают мошенничество невозможным.
Что делать, если я уже отправил сведения или деньги?
- Прекратите общение и дальнейшие платежи; не платите новую сумму ради «решения проблемы».
- Сохраните сообщения, идентификатор аккаунта, адрес сайта и квитанцию о транзакции для подачи жалобы; не публикуйте их в открытом доступе.
- Если вы передали данные для входа, зайдите на официальный сайт с доверенного устройства, смените пароль и проверьте сеансы и способы восстановления.
- Если вы совершили платёж, быстро свяжитесь с соответствующим банком или платёжным сервисом. Возврат денег, особенно в криптовалюте, не гарантирован.
- Пожалуйтесь на аккаунт и сообщение и заблокируйте их с помощью официальных инструментов мессенджера. Для подачи официального заявления обратитесь за помощью в компетентный орган по месту жительства.
Короткие вопросы
Достаточно ли значка подтверждения или большого числа участников?
Нет. Независимо проверьте конкретный запрос, личность человека и получателя платежа; никакие внешние признаки не заменяют эту проверку.
Если номер безопасности верный, можно ли доверять просьбе о деньгах?
Нет. Проверка ключа касается другой стороны криптографического соединения, а не правдивости её финансовых заявлений или безопасности её устройства.
Нужно ли нажать на ссылку, чтобы понять, поддельная ли она?
Нет. Чтобы проверить подозрительный запрос, сначала зайдите в сервис официальным, известным вам способом. Красивый предпросмотр или доменное имя, похожее на настоящее, не доказывают надёжность.
