Phishing: jak rozpoznać fałszywe strony, e-maile i SMS-y podszywające się pod Kraken

• Strony łudząco podobne do prawdziwej. Adres jest zbliżony do adresu Kraken, ale nie identyczny: dodatkowa lub zamieniona litera albo słowo „kraken" z dopiskiem w stylu „-support" lub „-verify".
• Reklamy w wyszukiwarkach. Oszuści opłacają reklamy, dzięki czemu ich fałszywa strona pojawia się wyżej w wynikach wyszukiwania niż prawdziwa.
• Pilne e-maile i SMS-y. Wiadomości takie jak „Wykryto podejrzane logowanie", „Twoje konto zostało zawieszone" lub „Wypłata oczekuje na realizację" prowadzą do fałszywej strony logowania. SMS-y mogą pojawiać się nawet w tym samym wątku co autentyczne wiadomości od Kraken.
• Kody QR w e-mailach, wiadomościach SMS lub listach, które otwierają fałszywą stronę.
• Fałszywe strony weryfikacji „potwierdź, że jesteś człowiekiem", które każą wkleić polecenie do komputera. W ten sposób instalowany jest malware. Zobacz Zagrożenia związane z oprogramowaniem do zdalnego dostępu.
• Fałszywe aplikacje i rozszerzenia przeglądarki kopiujące nazwę i logo Kraken.
• Strony opróżniające portfele. Fałszywe airdropy lub strony z opcją „odbierz tokeny" nakłaniają do podłączenia portfela z samodzielnym przechowywaniem i zatwierdzenia transakcji, która go opróżnia.

• Używaj kluczy dostępu jako 2FA przy logowaniu. Klucz dostępu jest powiązany z prawdziwą stroną Kraken, więc nie zadziała na fałszywej – nawet jeśli dasz się oszukać. Aplikację uwierzytelniającą stosuj tylko wtedy, gdy klucze dostępu są niedostępne, i najpierw przeczytaj artykuł Zagrożenia związane z korzystaniem z aplikacji uwierzytelniającej. Zobacz też Co to jest klucz dostępu?
• Wpisuj adres ręcznie lub korzystaj z zakładki. Przejdź pod adres https://id.kraken.com/sign-in, wpisując go w pasku adresu przeglądarki (sprawdź, czy nie ma literówek), i dodaj go do zakładek, jeśli odwiedzasz tę stronę regularnie. Nie używaj wyszukiwarki, aby przejść do Kraken ani innych wrażliwych stron.
• Sprawdzaj domenę, nie kłódkę. Kłódka lub „https" oznacza jedynie, że połączenie jest zaszyfrowane – fałszywe strony również je mają. Domena to część adresu znajdująca się tuż przed pierwszym pojedynczym ukośnikiem: w adresie kraken.com.example.net/sign-in domeną jest example.net, a nie Kraken.
• Nie klikaj linków w niespodziewanych wiadomościach. Otwórz Kraken samodzielnie i sprawdź, czy nie ma tam żadnych alertów. Aby zweryfikować nadawcę e-maila, zapoznaj się z artykułem Czy ten e-mail pochodzi od Kraken?
• Nigdy nie wpisuj swojej frazy seed na żadnej stronie internetowej. Kraken nigdy Cię o nią nie poprosi.
• Pobieraj aplikacje Kraken wyłącznie z App Store lub Google Play, korzystając z linków na stronie kraken.com.
• Dodaj drugą warstwę ochrony. Przechowuj klucz główny na innym urządzeniu niż to, na którym masz 2FA przy logowaniu, i włącz blokadę ustawień globalnych (GSL) – dzięki temu nawet osoba, która uzyska dostęp do konta, nie będzie mogła zmienić Twoich ustawień zabezpieczeń.
• Opcjonalnie: włącz szyfrowanie e-maili PGP. Kraken może szyfrować wysyłane do Ciebie e-maile przy użyciu Twojego klucza PGP, co znacznie utrudnia ich podrobienie przez oszustów. Zobacz Co to jest szyfrowanie PGP/GPG?

• Udostępniać nazwy użytkownika, hasła, kodów 2FA ani klucza głównego.
• Udostępniać ani przekazywać e-maila z zatwierdzeniem urządzenia ani linku w nim zawartego.
• Udostępniać frazy seed (nazywanej też frazą odzyskiwania) do żadnego portfela.
• Usuwać ani zmieniać 2FA, klucza głównego ani blokady ustawień globalnych (GSL), chyba że wcześniej sam(a) skontaktowałeś(-aś) się z nami w tej sprawie przez oficjalne kanały.
• Instalować oprogramowania do zdalnego dostępu, takiego jak AnyDesk lub TeamViewer. Zobacz Zagrożenia związane z oprogramowaniem do zdalnego dostępu.
• Wysyłać krypto ani przenosić środków do „bezpiecznego" portfela lub adresu.
• Wysyłać płatności w celu odblokowania, odmrożenia ani „weryfikacji" środków.

Natychmiast skontaktuj się z Działem Wsparcia Kraken przez ten formularz. Odpowiedz na pytania zgodnie z prawdą i możliwie wyczerpująco.

Jeśli nadal możesz się zalogować, przejdź do Kraken samodzielnie (przez zakładkę lub wpisując adres ręcznie), zmień hasło oraz zaktualizuj 2FA przy logowaniu i klucz główny. Sprawdź, czy wszystkie adresy wypłaty, klucze API i urządzenia są Ci znane, i usuń te, których nie rozpoznajesz.

Jeśli podałeś frazę seed, przenieś środki z tego portfela do nowego portfela z nową frazą seed, skonfigurowanego na zaufanym urządzeniu.

Zobacz też: Jak zgłosić incydent phishingowy? oraz Moje konto zostało przejęte – co powinienem zrobić?