Шифрування захищає шлях передавання повідомлення; обґрунтованість прохання про гроші потрібно перевіряти незалежно.
Наскрізне шифрування може захистити вміст повідомлення від посередників, але не гарантує чесності відправника. Шахрай також може надсилати зашифровані повідомлення зі свого облікового запису. Перевіряючи фальшивого адміністратора, неіснуючий приз або пропозицію щодо криптовалюти, потрібно розглядати особу власника облікового запису та його запит окремо від безпеки шляху передавання повідомлення.
Три поширені схеми та належна реакція
| Отримане повідомлення | Що потрібно перевірити | Безпечніша дія |
|---|---|---|
| «Я адміністратор групи; негайно надішли цю суму» | Ім’я та фотографію адміністратора могли скопіювати | Перевірте список адміністраторів і отримайте підтвердження через заздалегідь відомий канал зв’язку |
| «Ти виграв; сплати збір, щоб отримати приз» | Вимога заплатити за видачу призу — ознака шахрайства | Не платіть; знайдіть організатора незалежно |
| «Гарантований прибуток; залишилося лише кілька хвилин» | Часовий тиск та обіцянка гарантованої дохідності заважають перевірці | Не надсилайте гроші чи дані гаманця й перевірте твердження незалежно |
Ці ознаки — привід зупинитися й перевірити; офіційний вигляд, кількість учасників або схвалення кількох інших облікових записів самі собою не підтверджують надійності.
Як перевірити фальшивого адміністратора?
Відображуване ім’я та фотографію облікового запису можна скопіювати. Уважно перевірте ім’я користувача й ідентифікатор, але пам’ятайте: навіть справжній обліковий запис може бути захоплений. Якщо запит незвичний, замість відповіді в тій самій розмові зв’яжіться з людиною іншим, заздалегідь відомим вам способом.
Наприклад, якщо адміністратор робочої групи просить у приватному повідомленні переказати кошти, підтвердьте запит через зареєстрований номер або корпоративний канал, а не через новий номер, який надав той самий обліковий запис. Не надсилайте конфіденційні дані, щоб «підтвердити членство».
Номер безпеки або відбиток ключа може допомогти перевірити криптографічне з’єднання зі співрозмовником. Однак збіг ключів не доводить, що його фінансова пропозиція заслуговує на довіру або що його пристрій не заражений.
Чому не варто надсилати гроші або код входу заради отримання призу?
Посібник Федеральної торгової комісії США про неіснуючі призи називає вимогу грошей за отримання призу та запит фінансових даних основними тривожними ознаками. Повідомлення може виглядати як конкурс, розіграш, подарунок або звернення служби підтримки облікового запису.
Не надсилайте в чат код входу, пароль або фразу відновлення. Якщо хтось просить зайти на сайт для «активації призу», самостійно відкрийте офіційну адресу організатора відомим вам шляхом. Значок замка HTTPS або напис «зашифровано» на сторінці не доводять, що організатор справжній.
Чим памп-і-дамп і пропозиції щодо криптовалюти відрізняються від неіснуючих призів?
У схемі памп-і-дамп узгоджене просування може підвищити попит на актив і його ціну, щоб організатори продали власні активи. У фіктивній інвестиції реальних операцій може взагалі не бути, а панель керування може показувати вигаданий прибуток. Це не одне й те саме явище, але обидва можуть використовувати ажіотаж у групі та часовий тиск.
Офіційний посібник FTC про шахрайство з криптовалютою застерігає щодо обіцянок гарантованого прибутку, видавання себе за інших і вимог переказати криптовалюту. Ця стаття не є порадою купувати чи продавати активи; її мета — перевірка підозрілого запиту.
Не підключайте гаманець і не підписуйте транзакцію, змісту якої ви не розумієте. Ніколи не вводьте фразу відновлення на прохання адміністратора, служби підтримки або заради отримання аірдропу. Додаткова плата за «розблокування прибутку» чи «повернення втрачених грошей» може бути продовженням того самого шахрайства.
У чому допомагає наскрізне шифрування і чого воно не вирішує?
Правильно реалізоване шифрування разом із перевіркою ключів призначене для захисту конфіденційності та цілісності повідомлень від осіб поза розмовою. Однак авторизований учасник групи читає текст і може брехати, надсилати шкідливі посилання або копіювати повідомлення. Безпека після компрометації також не є системою виявлення шахрайства чи автоматичним скасуванням доступу зловмисника.
Крім того, такий протокол, як SRP, що не передає пароль безпосередньо під час входу, не запобігає введенню того самого пароля на підробленій сторінці. Захист входу та розпізнавання обману — два окремі питання.
Згідно з опублікованими межами безпеки Livara, публічні канали — не те саме, що приватна розмова. Можливість поскаржитися на вміст корисна, але ні публічність, ні наявність засобів подання скарг не роблять шахрайство неможливим.
Що робити, якщо я вже надіслав дані або гроші?
- Припиніть спілкування й подальші платежі; не сплачуйте новий збір заради «розв’язання проблеми».
- Збережіть повідомлення, ідентифікатор облікового запису, адресу сайту й квитанцію про транзакцію для подання скарги; не публікуйте їх у відкритому доступі.
- Якщо ви передали дані для входу, зайдіть на офіційний сайт із довіреного пристрою, змініть пароль і перевірте сеанси та способи відновлення.
- Якщо ви здійснили платіж, швидко зв’яжіться з відповідним банком або платіжним сервісом. Повернення коштів, особливо в криптовалюті, не гарантоване.
- Поскаржтеся на обліковий запис і повідомлення та заблокуйте їх за допомогою офіційних інструментів месенджера. Для подання офіційної заяви зверніться по допомогу до відповідного органу за місцем проживання.
Короткі запитання
Чи достатньо позначки підтвердження або великої кількості учасників?
Ні. Незалежно перевірте конкретний запит, особу людини та одержувача платежу; жодна зовнішня ознака не замінює цієї перевірки.
Якщо номер безпеки правильний, чи можна довіряти проханню про гроші?
Ні. Перевірка ключа стосується іншої сторони криптографічного з’єднання, а не правдивості її фінансових тверджень чи безпеки її пристрою.
Чи треба натиснути на посилання, щоб дізнатися, чи воно підроблене?
Ні. Щоб перевірити підозрілий запит, спершу зайдіть до сервісу офіційним, відомим вам шляхом. Гарний попередній перегляд або доменне ім’я, схоже на справжнє, не є доказом надійності.
