Phishing: jak rozpoznać fałszywe strony, e-maile i SMS-y Krak

• Strony łudząco podobne do oryginału. Adres jest zbliżony do adresu Krak, ale nie identyczny: dodatkowa lub zamieniona litera albo człon „krak" poprzedzający słowa takie jak „-support" czy „-verify".
• Reklamy w wyszukiwarkach. Oszuści płacą za reklamy, żeby ich fałszywa strona pojawiała się wyżej niż prawdziwa w wynikach wyszukiwania.
• Pilne e-maile i SMS-y. Wiadomości takie jak „Wykryto nietypowe logowanie", „Twoje konto zostało zawieszone" lub „Wypłata oczekuje na realizację" prowadzą do fałszywej strony logowania. SMS-y mogą pojawiać się nawet w tym samym wątku co prawdziwe wiadomości od Krak.
• Kody QR w e-mailach, SMS-ach lub listach, które otwierają fałszywą stronę.
• Fałszywe strony „potwierdź, że jesteś człowiekiem", które polecają wkleić polecenie do komputera. To instaluje malware. Zobacz Zagrożenia związane z oprogramowaniem do zdalnego dostępu.
• Fałszywe aplikacje i rozszerzenia przeglądarki kopiujące nazwę i logo Krak.
• Strony opróżniające portfele. Fałszywe airdropy lub strony „odbierz swoje tokeny" nakłaniają do podłączenia portfela z samodzielnym przechowywaniem i zatwierdzenia transakcji, która go opróżnia.

• Używaj kluczy dostępu do 2FA przy logowaniu. Klucz dostępu jest powiązany z prawdziwą stroną Krak, więc nie zadziała na fałszywej – nawet jeśli dasz się oszukać. Korzystaj z aplikacji uwierzytelniającej tylko wtedy, gdy klucze dostępu są niedostępne, i wcześniej zapoznaj się z artykułem Zagrożenia związane z aplikacją uwierzytelniającą. Zobacz też Czym jest klucz dostępu?
• Wpisz adres ręcznie lub użyj zakładki. Przejdź na stronę https://id.kraken.com/sign-in, wpisując adres bezpośrednio w pasku przeglądarki (sprawdź, czy nie ma literówek), i dodaj ją do zakładek, jeśli odwiedzasz ją regularnie. Nie korzystaj z wyszukiwarki, aby wejść na Krak ani inne wrażliwe strony.
• Sprawdzaj domenę, nie kłódkę. Kłódka lub „https" oznacza jedynie, że połączenie jest zaszyfrowane. Fałszywe strony też je mają. Domena to część adresu tuż przed pierwszym pojedynczym ukośnikiem: w adresie krak.app.example.net/sign-in domeną jest example.net, a nie Krak.
• Nie klikaj linków w nieoczekiwanych wiadomościach. Otwórz Krak samodzielnie i sprawdź, czy nie masz tam żadnych alertów. Aby zweryfikować nadawcę e-maila, zobacz Czy ten e-mail pochodzi od Krak?
• Nigdy nie wpisuj swojej frazy seed na żadnej stronie internetowej. Krak nigdy o nią nie prosi.
• Pobieraj aplikacje Krak wyłącznie z App Store lub Google Play, korzystając z linków dostępnych na krak.app.
• Dodaj drugą warstwę ochrony. Przechowuj klucz główny na innym urządzeniu niż to, na którym masz 2FA przy logowaniu, i włącz blokadę ustawień globalnych (GSL) – dzięki temu nawet osoba, która uzyska dostęp do konta, nie będzie mogła zmienić ustawień bezpieczeństwa.
• Opcjonalnie: włącz szyfrowanie e-maili PGP. Krak może szyfrować wysyłane do Ciebie e-maile za pomocą Twojego klucza PGP, co znacznie utrudnia ich podrobienie przez oszustów.

• Podawać nazwy użytkownika, hasła, kodów 2FA ani klucza głównego.
• Udostępniać ani przekazywać e-maila z zatwierdzeniem urządzenia ani linku zawartego w takim e-mailu.
• Podawać frazy seed (nazywanej też frazą odzyskiwania) do żadnego portfela.
• Usuwać ani zmieniać 2FA, klucza głównego ani blokady ustawień globalnych (GSL) – chyba że to Ty skontaktował(-a) się z nami w tej sprawie za pośrednictwem oficjalnych kanałów wsparcia.
• Instalować oprogramowania do zdalnego dostępu, takiego jak AnyDesk czy TeamViewer. Zapoznaj się z artykułem Zagrożenia związane z oprogramowaniem do zdalnego dostępu.
• Wysyłać krypto ani przenosić środków do „bezpiecznego" portfela lub adresu.
• Wysyłać płatności w celu odblokowania, odmrożenia ani „weryfikacji" środków.

Natychmiast skontaktuj się z działem wsparcia Krak, korzystając z tego formularza. Odpowiedz na pytania zgodnie z prawdą i jak najdokładniej.

Jeśli nadal możesz się zalogować, przejdź bezpośrednio na stronę Krak (przez zakładkę lub wpisując adres ręcznie), zmień hasło oraz zaktualizuj 2FA przy logowaniu i klucz główny. Sprawdź, czy adresy wypłat, klucze API i urządzenia są Ci znane, i usuń wszystkie, których nie rozpoznajesz.

Jeśli wpisałeś(-aś) frazę seed, przenieś środki z tego portfela do nowego portfela z nową frazą seed, skonfigurowanego na urządzeniu, któremu ufasz.

Zobacz także: Jak zgłosić incydent phishingowy? oraz Moje konto zostało przejęte – co mam zrobić?