Ataques de phishing de cripto estão a evoluir num dos métodos mais lucrativos para cibercriminosos roubarem cripto moeda (ativos digitais). Estes ataques estão a desenvolver-se ao ponto de até utilizadores cuidadosos podem ser vítimas deles. Porque nós, membros da comunidade de cripto, não confiamos em mais ninguém quando se mexe em fundos, ser extra cuidadoso é de grande importância. Enquanto que é difícil resumir todos os tipos de ataques, vamos fazer uma lista com as técnicas usadas com mais frequência e como é que pode proteger os seus fundos de uma forma proativa.

Phishing é uma prática fraudulenta onde uma entidade maliciosa (“hacker”) usa engenharia social para se disfarça de fonte com reputação numa tentativa de coagir o utilizador a revelar a sua informação privada, ex.: credenciais de entrada, palavras-passe e números de cartão de crédito. Hoje em dia phishing é considerado um dos ciberataques mais comum de ser usados, formando uma grande ameaça no mundo da cripto moeda. Nos próximos parágrafos, vamos expor os ataques de phishing de cripto mais comuns – que são semelhantes a outras tentativas de phishing, ainda assim distintos no facto de que o seu único objetivo é roubar a sua informação para obter cripto moedas.

Phishing é o ciberataque mais usado

Muitas vezes, ataques de phishing variam de emails falsos, que parecem ser enviados de um remetente de confiança, a um malware descarregável para websites de esquema. É por isto que se manter informado, preparar-se para o pior e usar sempre uma linha de trabalho verificada, pré-configurada passo a passo é crucial. Para lhe dar uma melhor ideia do que é que phishing é, vamos dar-lhe um exemplo de como é que um ataque de phishing se parece.

Phishing Enganoso

O ciberataque mais comum é o phishing enganoso, também conhecido como emails falsos.

Neste cenário, o destinatário recebe um email a tentar persuadi-lo para cometer um erro: a clicar no link no email para (supostamente) verificar detalhes de conta, redefinir credenciais, verificar uma transação ou falsificar uma doação, etc. Este tipo de email pode parecer que veio de uma empresa conhecida ou de uma fonte de confiança, ex.: domínio da Tokens.net (sem medo; ainda não nos apareceu um email desses!), mas não se enganem. Nenhuma empresa de cripto séria lhe perguntaria nada parecido com isto. Pode determinar se o email é de si próprio ao olhar para o endereço de envio..

Se nós, na Tokens.net, algumas vez lhe enviarmos um email:
a.) Não será um email aleatório com um pedido para clicar num link, será um email da plataforma da Tokens.net, um centro de apoio para responder à sua pergunta, ou uma newsletter.
b.) Nunca lhe vamos pedir a sua chave privada (ou outra informação confidencial).

Se nos depararmos com qualquer informação relacionada com tentativas de phishing, a usar o nosso domínio como um remetente, vamos dar o nosso melhor para o notificar o quanto antes. Mas tenham em mente que não somos um banco, portanto, por favor, tenham cuidado.

Pharming

Outra alternativa de esquema popular e até com mais sucesso é pharming. É aqui que um website fraudulento parecer ser legítimo e não é assim tão fácil perceber que é um website de esquema. Neste cenário, uma vítima é apresentada a uma página web recriada ou clonada para que pareça original. Em alguns exemplos, as vítimas nem têm que clicar num link malicioso para ser levado a um site de embuste. Os atacantes podem infetar tanto o computador do utilizador ou o servidor DNS do website e redirecionar o utilizador a um site falso se o URL correto for digitado. Websites maliciosos são muitas vezes websites falsos que parecem muito realistas e a sua intenção principal é obter as credenciais do utilizador.

Verifique sempre duas vezes a página e o URL em que está

Algumas vezes não vai receber um email; o website será o primeiro a aparecer na pesquisa da Google, até um anúncio. Este tipo de hacker rouba a sua informação e depois roubar o seu dinheiro.
Algumas vezes os atacantes enganam até a Play Store da Google, onde utilizadores podem descarregar uma aplicação de carteira que é maliciosa. Em novembro de 2018, houve pelo menos 4 destas. Um exemplo recente em 2019 é a aplicação falsa e maliciosa Trezor; a aplicação não era nada como a original SatoshiLabs graphics, ainda assim muitas pessoas caem nisso.

O primeiro formulário é falso e o segundo é o verdadeiro.

Uma combinação de métodos previamente mencionados e uma habilidade extra pode produzir um malware descarregável, um formulário que vem de um link ou de um website de esquema, um link num email falso ou, um anexo num email. Este ransomware não vai roubar as suas credenciais, mas vai bloquear o seu computador e pode nem sequer ser extorquido. Este tipo de phishing era comum durante um ou dois anos atrás, onde as vítimas receberam um email com um ficheiro .exe que encriptou ficheiros de computador e o atacante depois exigiu bitcoins para dar à vítima uma chave para desbloquear os seus dados.

Cryptojacking

Outro ciberataque também considerado como phishing é o criptojacking. Esta forma de ataque é mais frequentemente direcionada para negócios, mas isto não é para ser ignorado, portanto tomem as precauções necessárias. É uma extração ilícita de cripto que usa um dispositivo de computação para extrair cripto moeda com o conhecimento do proprietário do dispositivo. Sinais de aviso para isto inclui uma lentidão do seu dispositivo, geração de calor e uma vida de bateria mais curta. Monero tornou-se num criptojacking famoso devido à sua capacidade de extrair em hardware de nível inferior.

Outro ciber ataque que recentemente se tornou conhecido como o ataque à carteira Electrum, onde utilizadores de carteira Electrum Mac perderam 2.3M em moedas roubadas.

Não confie, verifique!

Existem várias formas para ataques de phishing aconteceram e, não podemos listá-los a todos, portanto o melhor conselho que lhe podemos dar é a frase de cripto bem-conhecida: Não confie, verifique! Não existe nenhuma tecnologia de ciber segurança que pode protege-lo a 100% de ataques de phishing, mas seguir as medidas de segurança básica vão ajudá-lo a evitá-los com sucesso. A nossa equipa de especialistas em segurança aconselha-o a usar sempre as melhores práticas para se proteger! Mesmo que pareça aborrecido, você e apenas você é responsável pela sua segurança.

Para se sentir o mais seguro possível, assegurar os seus fundos não significa apenas comprar uma carteira de hardware para si. Se tem mais do que um mês de salário em cripto, compre uma e será capaz de aceder a websites com muita facilidade. Mas mesmo armazenamento frio não pode protegê-lo se inserir a sua chave privada num website de phishing. Os seus fundos serão roubados. Lembre-se do exemplo previamente mencionado do (a equipa de desenvolvimento garante que o Trezor não está comprometido). Até algumas negociadoras grandes depararam-se com phishing e, consequentemente foram hackeadas.

Como assegurar os seus fundos

Assegurar os seus fundos significa que deve passar por todos os passos todas as vezes. Siga as instruções, que devem servir como um guia básico devido ao processo de diligência e a sua probabilidade ser vítima de phishing torna-se mais pequena. Apesar disso, somos um serviço de troca que fornece apoio; não somos um banco e precisamos que compreenda que não podemos agir como um só. Assegure os seus fundos todas as vezes. Se o nosso website estiver comprometido ou acidentalmente visitar um website diferente, os seus fundos vão ser roubados. Por favor contemple as ações listadas abaixo para protegê-lo de atacantes de phishing e de perdas.

  • Mesmo no início, certifique-se de que inseriu o website real, o seu primeiro acesso deve ser de uma fonte de confiança.
  • Instale as extensões de software ou de browser que detetam domínios de phishing. Instale EAL, MetaMask, Cryptonite by Metacert ou a extensão de Chrome MyEtherWallet para bloquear websites maliciosos (apesar de, ultimamente, isto já não é suficiente para protegê-lo; extensões de browser também se tornaram parte das estratégias de hackers para levarem a cabo ataques maliciosos).
  • Guarde o seu ponto de acesso verificado para referência futura e entre sempre a partir deste exato ponto.
  • Ative a Autenticação de Dois Fatores porque é mais difícil para um hacker de obter. O nosso website solicita-o imediatamente. Se não a defini, não pode depositar, extrair ou usar qualquer outra função do nosso serviço.
  • Um passo opcional para prevenção de phishing na nossa plataforma é definir uma mensagem de Anti-Phishing. Pode definir uma mensagem (3-40 caracteres) que será incluída nos emails enviados da Tokens.net relacionados com a sua conta, tenha cuidado, uma vez que as nossas newsletters não incluem a mensagem. Portanto, se não vir esta mensagem, o email não foi enviado pela Tokens.net!
  • Seja responsável ao manter a sua chave privada e palavra-passe seguras. A sua chave privada é algumas vezes chamada a sua frase mnemónica, ficheiro de armazenamento de chave, ficheiro UTC, ficheiro JSON, ficheiro de carteira, etc. Não armazene a sua chave priva na Dropbox, Google Drive ou outros sites de armazenamento. Se essa conta estiver comprometida, os seus fundos serão roubados. NÃO partilhe as suas chaves privadas.
  • Compre uma carteira de hardware. Não há desculpas. Vale a pena. Nós prometemos.
  • Emails duvidosos são facilmente verificados com a equipa de apoio do suposto remetente. Não há vergonha em perguntar. Verificar é algo comum em cripto.

Quando não tem a certeza se um website que lhe está a pedir as suas credenciais é legítimo, deve seguir estes passos de senso comum:

  • Nunca clique em links não identificados! Não confie em mensagens ou links enviados para si aleatoriamente através de email, Slack, Reddit, Twitter, etc.
  • Inspecione o website e endereços de email. Passe por cima sem clicar nele!
  • Verifique sempre que website é que está a visitar e que o URL está correto:
  • Confirme que o website não é um homógrafo. Ataques de homógrafo IDN parecem-se com o URL correto, mas são falsos.
  • Verifique os finais dos domínios web de negócios. Os hackers normalmente vão mudar uma letra ou final, de .com para .org. Normalmente não prestaria atenção a isto e, é assim que eles vão explorá-lo.
  • Verifique se há gralhas da Google. Cole o endereço a barra de pesquisa da Google e, se a Google mostrar uma notificação de erro então é o nome de endereço errado.
  • Este site usa https? Verifique a validação do Certificado de SSL (este passo é menos recomendado uma vez que, ultimamente, sites maliciosos têm encriptação https, apresentando um problema para utilizadores uma vez que a encriptação SSL tem sido tradicionalmente uma forma para determinar se um website é de confiança ou não)..
  • Certifiquem-se de a barra URL se parecer com algo parecido a isto:
  • Se é demasiado bom para ser verdade, provavelmente é.
  • Façam perguntas quando não perceberem alguma coisa ou quando algo não parecer correto.
  • Não deixem o medo, FUD ou FOMO suplantar senso comum.

A forma mais recomendada para manter a calma e trocar é ficar atento e seguir passos de rotina que definiu desde o começo.

À medida que os preços de cripto moeda sobem, o mesmo acontece aos culpados de phishing. Fiquem atentos e façam a vossa parte

Rate this article:
Author: Tokens.net Team
English
Deutsch
Italiano
Français
Español
Nederlands
Polski
Svenska
Português
Türkçe