Phishing: come riconoscere siti, email e SMS falsi che imitano Krak

• Siti clone. L'indirizzo è simile a quello di Krak ma non identico: una lettera in più o scambiata, oppure "krak" seguito da parole come "-support" o "-verify".
• Annunci sponsorizzati. I truffatori acquistano inserzioni pubblicitarie per far apparire il loro sito falso sopra quello reale nei risultati di ricerca.
• Email e SMS urgenti. Messaggi come "Accesso insolito rilevato", "Il tuo account è sospeso" o "Prelievo in attesa" rimandano a una pagina di accesso falsa. Gli SMS possono persino comparire nello stesso thread dei messaggi autentici di Krak.
• Codici QR in email, SMS o lettere che aprono un sito falso.
• Pagine false di "verifica che tu sia umano" che ti chiedono di incollare un comando nel tuo computer. Questo installa malware. Consulta Rischi del software di accesso remoto.
• App ed estensioni del browser false che copiano il nome e il logo di Krak.
• Siti svuota-wallet. Pagine di airdrop fasulli o di "riscatta i tuoi token" ti chiedono di connettere un wallet self-custody e approvare una transazione che lo svuota.

• Usa le passkey per la 2FA di Accesso. Una passkey è associata al sito reale di Krak, quindi non funzionerà su uno falso, anche se vieni ingannato. Usa un'app di autenticazione solo se le passkey non sono disponibili, e leggi prima Rischi dell'utilizzo di un'app di autenticazione. Consulta Cos'è una passkey?
• Digita l'indirizzo o usa un segnalibro. Vai su https://id.kraken.com/sign-in digitando l'indirizzo nella barra degli indirizzi del browser (controlla eventuali errori di battitura) e aggiungilo ai segnalibri se lo visiti spesso. Non usare un motore di ricerca per raggiungere Krak o altri siti sensibili.
• Controlla il dominio, non il lucchetto. Un lucchetto o «https» indica solo che la connessione è criptata. Anche i siti falsi ce li hanno. Il dominio è la parte immediatamente prima del primo slash singolo: in krak.app.example.net/sign-in, il dominio è example.net, non Krak.
• Non cliccare sui link in messaggi inattesi. Apri Krak direttamente e verifica se ci sono notifiche. Per verificare il mittente di un'email, consulta Questa email è di Krak?
• Non inserire mai la tua seed phrase su nessun sito web. Krak non te la chiederà mai.
• Scarica le app di Krak solo dall'App Store o da Google Play, usando i link presenti su krak.app.
• Aggiungi un secondo livello di protezione. Tieni la tua Master Key su un dispositivo diverso da quello con la 2FA di Accesso e attiva il Global Settings Lock (GSL): così, anche chi riesce ad accedere non potrà modificare le impostazioni di sicurezza.
• Opzionale: attiva la cifratura PGP delle email. Krak può cifrare le email che ti invia usando la tua chiave PGP, rendendo molto più difficile per i truffatori falsificarle.

• Condividere il tuo username, la password, i codici 2FA o la Master Key.
• Condividere o inoltrare un'email di approvazione del dispositivo, o il link che contiene.
• Condividere la tua seed phrase (detta anche frase di recupero), per qualsiasi wallet.
• Rimuovere o modificare il tuo 2FA, la Master Key o il Global Settings Lock (GSL), a meno che tu non ci abbia contattato prima per ricevere assistenza tramite i nostri canali ufficiali.
• Installare software di accesso remoto come AnyDesk o TeamViewer. Consulta Rischi del software di accesso remoto.
• Inviare crypto, o spostare i tuoi fondi su un wallet o un indirizzo «sicuro» o «protetto».
• Inviare un pagamento per sbloccare, scongelare o «verificare» i tuoi fondi.

Contatta subito il supporto Krak tramite questo modulo. Rispondi alle domande con sincerità e nel modo più completo possibile.

Se riesci ancora ad accedere, vai su Krak direttamente (tramite un segnalibro o digitando l'indirizzo), cambia la password e aggiorna il tuo 2FA di Accesso e la Master Key. Verifica che i tuoi indirizzi di prelievo, le chiavi API e i dispositivi siano tutti riconoscibili, ed elimina quelli che non riconosci.

Se hai inserito una seed phrase, sposta i fondi da quel wallet a un nuovo wallet con una nuova seed phrase, configurato su un dispositivo di cui ti fidi.

Consulta anche Come segnalo un incidente di phishing? e Il mio account è stato compromesso: cosa devo fare?