Фішинг-шахрайство: як розпізнати підроблені сайти, листи та повідомлення Krak

• Сайти-двійники. Адреса схожа на адресу Krak, але не ідентична: зайва або переставлена літера, або «krak» з дописаними словами на кшталт «-support» чи «-verify».
• Реклама в пошуку. Шахраї платять за рекламу, щоб їхній підроблений сайт відображався вище за справжній у результатах пошуку.
• Термінові листи та повідомлення. Повідомлення на кшталт «Виявлено незвичний вхід», «Ваш обліковий запис призупинено» або «Виведення очікує підтвердження» ведуть на підроблену сторінку входу. SMS-повідомлення можуть навіть зʼявлятися в тому самому ланцюжку, що й справжні повідомлення від Krak.
• QR-коди в листах, SMS або листівках, що відкривають підроблений сайт.
• Підроблені сторінки «підтвердіть, що Ви людина», які пропонують вставити команду у Ваш компʼютер. Це встановлює шкідливе програмне забезпечення. Докладніше: Ризики програмного забезпечення для віддаленого доступу.
• Підроблені застосунки та розширення для браузера, що копіюють назву та логотип Krak.
• Сайти-дренери гаманців. Підроблені ейрдропи або сторінки «отримати токени» пропонують підключити гаманець для самостійного зберігання криптоактивів і підтвердити транзакцію, яка його спустошує.

• Використовуйте Ключі доступу для 2FA для входу. Ключ доступу прив'язаний до справжнього сайту Krak, тому на підробленому він не спрацює — навіть якщо Вас обдурили. Аутентифікатор використовуйте лише тоді, коли Ключі доступу недоступні, і попередньо прочитайте Ризики використання аутентифікатора. Докладніше: Що таке Ключ доступу?
• Вводьте адресу вручну або користуйтеся закладкою. Переходьте на https://id.kraken.com/sign-in, вводячи адресу в адресний рядок браузера (перевіряйте правопис), і додайте її до закладок, якщо відвідуєте регулярно. Не використовуйте пошукову систему для переходу на Krak або інші конфіденційні сайти.
• Перевіряйте домен, а не замок. Замок або «https» означає лише те, що зʼєднання зашифроване. Підроблені сайти також їх мають. Домен — це частина адреси безпосередньо перед першою одинарною косою рискою: у krak.app.example.net/sign-in домен — це example.net, а не Krak.
• Не натискайте посилання в неочікуваних повідомленнях. Відкрийте Krak самостійно і перевірте, чи є там сповіщення. Щоб перевірити відправника листа, див. Чи цей лист від Krak?
• Ніколи не вводьте фразу відновлення на жодному сайті. Krak ніколи її не запитує.
• Завантажуйте застосунки Krak лише з App Store або Google Play, використовуючи посилання на krak.app.
• Додайте другий рівень захисту. Зберігайте майстер-ключ на іншому пристрої, ніж той, де налаштована 2FA для входу, і ввімкніть глобальне блокування налаштувань (GSL) — тоді навіть той, хто отримає доступ до облікового запису, не зможе змінити налаштування безпеки.
• Додатково: увімкніть PGP-шифрування електронної пошти. Krak може шифрувати листи, які надсилає Вам, за допомогою Вашого PGP-ключа — це значно ускладнює їх підробку шахраями.

• Повідомляти своє імʼя користувача, пароль, коди 2FA або майстер-ключ.
• Пересилати лист із підтвердженням пристрою або посилання з нього.
• Повідомляти фразу відновлення (seed phrase) від будь-якого гаманця.
• Видаляти або змінювати 2FA, майстер-ключ чи глобальне блокування налаштувань (GSL), якщо Ви самі не звернулися до нас по допомогу через офіційні канали.
• Встановлювати програми для віддаленого доступу, як-от AnyDesk або TeamViewer. Див. Ризики використання програм віддаленого доступу.
• Надсилати крипто або переміщувати кошти до «безпечного» гаманця чи на «безпечну» адресу.
• Надсилати платіж, щоб розблокувати, розморозити або «підтвердити» Ваші кошти.

Негайно зверніться до Служби підтримки Krak через цю форму. Відповідайте на запитання правдиво та якомога повніше.

Якщо Ви ще можете ввійти, перейдіть на Krak самостійно (через закладку або ввівши адресу вручну), змініть пароль та оновіть 2FA для входу й майстер-ключ. Перевірте адреси виведення коштів, API-ключі та пристрої й видаліть усе, чого Ви не впізнаєте.

Якщо Ви ввели фразу відновлення, перемістіть кошти з того гаманця до нового гаманця з новою фразою відновлення — на пристрої, якому Ви довіряєте.

Див. також: Як повідомити про фішинговий інцидент? та Мій обліковий запис зламано — що робити?