Arnaques par phishing : comment repérer les faux sites, emails et SMS Krak

• Sites sosies. L'adresse ressemble à celle de Krak, mais n'est pas identique : une lettre en plus, une lettre échangée, ou "krak" suivi de mots comme "-support" ou "-verify".
• Publicités dans les résultats de recherche. Les escrocs achètent des annonces pour que leur faux site apparaisse au-dessus du vrai dans les résultats de recherche.
• Emails et SMS urgents. Des messages tels que « Connexion inhabituelle détectée », « Votre compte est suspendu » ou « Retrait en attente » renvoient vers une fausse page de connexion. Les SMS peuvent même apparaître dans le même fil de discussion que les vrais messages de Krak.
• Codes QR dans des emails, des SMS ou des courriers qui redirigent vers un faux site.
• Fausses pages de "vérification d'identité" qui vous demandent de coller une commande sur votre ordinateur. Cela installe un logiciel malveillant. Voir Risques des logiciels d'accès à distance.
• Applications et extensions de navigateur factices qui copient le nom et le logo de Krak.
• Sites de vidage de portefeuille. De faux airdrops ou des pages "réclamez vos tokens" vous invitent à connecter un portefeuille self-custody et à approuver une transaction qui le vide.

• Utilisez des clés d'accès pour la connexion 2FA. Une clé d'accès est liée au vrai site de Krak, elle ne fonctionnera donc pas sur un site frauduleux, même si vous êtes trompé. N'utilisez une application d'authentification que si les clés d'accès ne sont pas disponibles, et lisez d'abord les risques liés à l'utilisation d'une application d'authentification. Voir Qu'est-ce qu'une clé d'accès ?
• Saisissez l'adresse ou utilisez un favori. Accédez à https://id.kraken.com/sign-in en tapant l'adresse directement dans la barre d'adresse de votre navigateur (vérifiez les fautes de frappe), et enregistrez-la en favori si vous vous y rendez régulièrement. N'utilisez pas un moteur de recherche pour accéder à Krak ou à d'autres sites sensibles.
• Vérifiez le domaine, pas le cadenas. Un cadenas ou "https" signifie uniquement que la connexion est chiffrée. Les sites frauduleux en disposent aussi. Le domaine est la partie qui précède le premier slash : dans krak.app.example.net/sign-in, le domaine est example.net, pas Krak.
• Ne cliquez pas sur les liens contenus dans des messages inattendus. Ouvrez Krak vous-même et vérifiez si des alertes sont présentes. Pour vérifier l'expéditeur d'un email, consultez Cet email provient-il de Krak ?
• Ne saisissez jamais votre phrase de récupération sur aucun site web. Krak ne vous la demandera jamais.
• Téléchargez les applications Krak uniquement depuis l'App Store ou Google Play, via les liens disponibles sur krak.app.
• Ajoutez une deuxième couche de protection. Conservez votre clé maîtresse sur un appareil distinct de celui utilisé pour la connexion 2FA, et activez le verrouillage global des paramètres (GSL) : même en cas d'intrusion, vos paramètres de sécurité resteront intacts.
• Facultatif : activez le chiffrement PGP des emails. Krak peut chiffrer les emails qu'il vous envoie à l'aide de votre clé PGP, ce qui les rend beaucoup plus difficiles à falsifier pour les escrocs.

• Partager votre nom d'utilisateur, votre mot de passe, vos codes 2FA ou votre clé maîtresse.
• Partager ou transférer un email de validation de l'appareil, ou le lien qu'il contient.
• Partager votre phrase de récupération (également appelée seed phrase), quel que soit le portefeuille concerné.
• Supprimer ou modifier votre 2FA, votre clé maîtresse ou le verrouillage global des paramètres (GSL), sauf si vous nous avez contactés au préalable pour obtenir de l'aide via nos canaux officiels.
• Installer un logiciel d'accès à distance tel que AnyDesk ou TeamViewer. Consultez Risques liés aux logiciels d'accès à distance.
• Envoyer des crypto, ou transférer vos fonds vers un portefeuille ou une adresse "sécurisé(e)" ou "de confiance".
• Envoyer un paiement pour libérer, dégeler ou "vérifier" vos fonds.

Contactez immédiatement le support Krak via ce formulaire. Répondez aux questions aussi complètement et sincèrement que possible.

Si vous pouvez encore vous connecter, accédez à Krak directement (via un favori ou en saisissant l'adresse manuellement), modifiez votre mot de passe, et mettez à jour votre connexion 2FA et votre clé maîtresse. Vérifiez que vos adresses de retrait, clés API et appareils vous sont tous familiers, et supprimez ceux que vous ne reconnaissez pas.

Si vous avez saisi une phrase de récupération, transférez les fonds de ce portefeuille vers un nouveau portefeuille doté d'une nouvelle phrase de récupération, configuré sur un appareil de confiance.

Consultez également Comment signaler un incident de phishing ? et Mon compte est compromis : que faire ?