Burlas de phishing: como identificar sites, e-mails e mensagens falsas do Krak

• Sites imitadores. O endereço é semelhante ao do Krak, mas não é igual: uma letra extra ou trocada, ou «krak» seguido de palavras como «-support» ou «-verify».
• Anúncios nos motores de pesquisa. Os burlões pagam anúncios para que o site falso apareça acima do real nos resultados de pesquisa.
• E-mails e mensagens urgentes. Mensagens como «Início de sessão invulgar detetado», «A sua conta está suspensa» ou «Levantamento pendente» direcionam para uma página de início de sessão falsa. As mensagens de texto podem até aparecer no mesmo histórico que mensagens genuínas do Krak.
• Códigos QR em e-mails, mensagens de texto ou cartas que abrem um site falso.
• Páginas falsas de «verificação de humanidade» que lhe pedem para colar um comando no computador. Isto instala Malware. Consulte Riscos do software de acesso remoto.
• Aplicações e extensões de browser falsas que copiam o nome e o logótipo do Krak.
• Sites de esvaziamento de carteiras. Páginas de airdrops falsos ou de «reivindicação de tokens» pedem-lhe que ligue uma Carteira de autocustódia e aprove uma transação que a esvazia.

• Utilize Chaves de acesso para o Início de sessão com 2FA. Uma Chave de acesso está associada ao site real do Krak, pelo que não funciona em sites falsos, mesmo que seja enganado. Só utilize uma Aplicação autenticadora se as Chaves de acesso não estiverem disponíveis e leia Riscos de utilizar uma aplicação autenticadora primeiro. Consulte O que é uma Chave de acesso?
• Escreva o endereço ou utilize um marcador. Aceda a https://id.kraken.com/sign-in escrevendo-o diretamente na barra de endereço do browser (verifique se não há gralhas) e guarde-o nos marcadores se o visitar com regularidade. Não utilize um motor de pesquisa para aceder ao Krak ou a outros sites sensíveis.
• Verifique o domínio, não o cadeado. Um cadeado ou «https» apenas indica que a ligação está encriptada. Os sites falsos também os têm. O domínio é a parte imediatamente antes da primeira barra simples: em krak.app.example.net/sign-in, o domínio é example.net, não Krak.
• Não clique em ligações de mensagens inesperadas. Abra o Krak diretamente e verifique se existem alertas. Para verificar o remetente de um e-mail, consulte Este e-mail é do Krak?
• Nunca introduza a sua frase de recuperação em nenhum site. O Krak nunca a solicitará.
• Descarregue as aplicações do Krak apenas na App Store ou no Google Play, através das ligações em krak.app.
• Adicione uma segunda camada de segurança. Mantenha a sua Chave mestra num dispositivo diferente do utilizado para o Início de sessão com 2FA e ative o Bloqueio de definições global (GSL), para que ninguém que aceda à conta consiga alterar as definições de segurança.
• Opcional: ative a encriptação PGP para e-mail. O Krak pode encriptar os e-mails que lhe envia com a sua chave PGP, tornando-os muito mais difíceis de falsificar.

• Partilhar o seu nome de utilizador, palavra-passe, códigos 2FA ou Chave mestra.
• Partilhar ou reencaminhar um e-mail de Aprovação de dispositivo, ou o link que este contém.
• Partilhar a sua frase de recuperação (também designada por seed phrase), para qualquer Carteira.
• Remover ou alterar o seu 2FA, Chave mestra ou Bloqueio de definições global (GSL), a não ser que nos tenha contactado primeiro através dos canais oficiais para obter ajuda.
• Instalar software de acesso remoto, como o AnyDesk ou o TeamViewer. Consulte Riscos do software de acesso remoto.
• Enviar cripto, ou transferir os seus fundos para uma Carteira ou endereço «seguro» ou «protegido».
• Efetuar um pagamento para libertar, desbloquear ou «verificar» os seus fundos.

Contacte o Apoio Krak imediatamente através de este formulário. Responda às perguntas com honestidade e com o máximo de detalhe possível.

Se ainda conseguir iniciar sessão, aceda ao Krak diretamente (através de um marcador ou digitando o endereço), altere a sua palavra-passe e atualize o Início de sessão com 2FA e a Chave mestra. Verifique se os endereços de levantamento, as chaves de API e os dispositivos são todos reconhecidos, e elimine os que não reconhecer.

Se introduziu uma frase de recuperação, transfira os fundos dessa Carteira para uma nova Carteira com uma nova frase de recuperação, configurada num dispositivo de confiança.

Consulte também Como comunicar um incidente de phishing? e A minha conta foi comprometida. O que devo fazer?