Arnaques par phishing : comment repérer les faux sites, emails et SMS Kraken

• Sites sosies. L'adresse est proche de celle de Kraken, mais pas identique : une lettre en plus, manquante ou inversée, ou « kraken » suivi de mots comme « -support » ou « -verify ».
• Annonces sponsorisées. Les arnaqueurs achètent des annonces pour que leur faux site apparaisse au-dessus du vrai dans les résultats de recherche.
• Emails et SMS urgents. Des messages comme « Connexion inhabituelle détectée », « Votre compte est suspendu » ou « Retrait en attente » renvoient vers une fausse page de connexion. Les SMS peuvent même apparaître dans le même fil de conversation que de vrais messages de Kraken.
• Codes QR dans des emails, SMS ou courriers qui ouvrent un faux site.
• Fausses pages "prouvez que vous êtes humain" qui vous demandent de coller une commande dans votre ordinateur. Cela installe un logiciel malveillant. Voir Risques liés aux logiciels d'accès à distance.
• Fausses applications et extensions de navigateur qui imitent le nom et le logo de Kraken.
• Sites videurs de portefeuilles. Des pages de faux airdrops ou de « réclamation de tokens » vous demandent de connecter un portefeuille self-custody et d'approuver une transaction qui le vide.

• Utilisez des clés d'accès pour la connexion 2FA. Une clé d'accès est liée au vrai site de Kraken et ne fonctionnera pas sur un site frauduleux, même si vous êtes trompé. N'utilisez une application d'authentification que si les clés d'accès ne sont pas disponibles, et lisez d'abord les risques liés à l'utilisation d'une application d'authentification. Consultez Qu'est-ce qu'une clé d'accès ?
• Saisissez l'adresse manuellement ou utilisez un signet. Accédez à https://id.kraken.com/sign-in en tapant l'adresse directement dans la barre d'adresse de votre navigateur (vérifiez l'orthographe), et ajoutez-la à vos signets si vous la consultez régulièrement. N'utilisez pas un moteur de recherche pour accéder à Kraken ou à d'autres sites sensibles.
• Vérifiez le domaine, pas le cadenas. Un cadenas ou la mention "https" signifie uniquement que la connexion est chiffrée. Les sites frauduleux en disposent également. Le domaine est la partie qui précède le premier slash simple : dans kraken.com.example.net/sign-in, le domaine est example.net, et non Kraken.
• Ne cliquez pas sur les liens dans des messages inattendus. Accédez vous-même à Kraken et vérifiez si des alertes y sont présentes. Pour vérifier l'expéditeur d'un email, consultez Cet email provient-il de Kraken ?
• Ne saisissez jamais votre phrase de récupération sur un site web, quel qu'il soit. Kraken ne vous la demandera jamais.
• Téléchargez les applications Kraken uniquement depuis l'App Store ou Google Play, en passant par les liens disponibles sur kraken.com.
• Ajoutez une couche de sécurité supplémentaire. Conservez votre clé maîtresse sur un appareil différent de celui dédié à la connexion 2FA, et activez le verrouillage global des paramètres (GSL) afin que toute personne parvenant à accéder à votre compte ne puisse pas modifier vos paramètres de sécurité.
• Facultatif : activez le chiffrement PGP des emails. Kraken peut chiffrer les emails qu'il vous envoie à l'aide de votre clé PGP, ce qui les rend bien plus difficiles à falsifier pour les escrocs. Consultez Qu'est-ce que le chiffrement PGP/GPG ?

• Communiquer votre nom d'utilisateur, votre mot de passe, vos codes 2FA ou votre clé maîtresse.
• Partager ou transférer un email de validation de l'appareil, ou le lien qu'il contient.
• Communiquer votre phrase de récupération (également appelée seed phrase), pour quelque portefeuille que ce soit.
• Supprimer ou modifier votre 2FA, votre clé maîtresse ou le verrouillage global des paramètres (GSL), sauf si vous nous avez d'abord contactés pour obtenir de l'aide via nos canaux officiels.
• Installer un logiciel d'accès à distance tel qu'AnyDesk ou TeamViewer. Consultez Risques liés aux logiciels d'accès à distance.
• Envoyer de la crypto, ou transférer vos fonds vers un portefeuille ou une adresse "sécurisé(e)" ou "fiable".
• Effectuer un paiement pour débloquer, dégeler ou "vérifier" vos fonds.

Contactez le Support Kraken immédiatement via ce formulaire. Répondez aux questions avec sincérité et de façon aussi complète que possible.

Si vous pouvez encore vous connecter, accédez à Kraken directement (via un favori ou en saisissant l'adresse), changez votre mot de passe, puis mettez à jour votre connexion 2FA et votre clé maîtresse. Vérifiez que vos adresses de retrait, clés API et appareils vous sont bien familiers, et supprimez ceux que vous ne reconnaissez pas.

Si vous avez saisi une phrase de récupération, transférez les fonds de ce portefeuille vers un nouveau portefeuille avec une nouvelle phrase de récupération, configuré sur un appareil de confiance.

Consultez également Comment signaler un incident de phishing ? et Mon compte est compromis, que dois-je faire ?