Ukázka scamů
Pokud se pohybujete v kryptu, tak dříve nebo později na vás můžou vyskočit fakt divné věci. Je lepší být připraven na nějaké ty podvody. Pojďme se podívat na ukázky scamů, na které jsem v poslední době narazila.
Telefonní hovor z call centra
Volá vám neznámé (nebo zahraniční číslo) představující se jako zákaznická podpora společnosti, u které prý máte nějakou částku BTC. Pokud se k nim chcete dostat, tak call centrum vám pomůže zajistit převod “vašich” prostředků na váš účet. Součástí tohoto podvodu je potřeba si nainstalovat chat, skz který s vámi bude zákaznické centrum komunikovat. Nutno dodat, že primárně vám budou schopni skrz tento program koukat “pod” klávesnici a na obrazovku.
Popis celého podvodu sdílí Petr Bůva na svém FB. S jeho schválením kopíruji tady. Jo, je to dlouhý …
„Tak mě dnes zkusili okrást. A ano, bude to dlouhé čtení. Volali, jakože z crypto burzy blockchain . com, že u nich mám účet a proč ho prý nepoužívám. Přitom tam prý mám krásných 0,2 BTC. Řekl jsem, že si nemyslím, že tam mám účet, ale rád si ho vyberu. Samozřejmě mi je rádi pošlou, jen je třeba se přihlásit a vybrat je. A prý jestli si ještě pamatuji své přístupy. S politováním jsme konstatoval že ne, že si ani nepamatuju, že bych ho tam kdy měl. Prý je to samozřejmé, že prý to je již více než rok, ale pomohou mi účet obnovit a zda jsem u počítače. Byl jsem v autě, takže jsme se domluvili na pozdější čas a přidal jsem si k tomu i pár minut k dobru na přípravu.
Jsem kluk zvědavá, takže místo poslání do p*ele jsem si připravil sandboxová Wokna (pro neznalé: jde o dočasný systém v systému, který nemá přístup k tomu původnímu. Po jeho zavření se veškeré programy, soubory, cokoliv, prostě ztratí. Slouží k testování a spouštění potenciálně rizikových věcí) naklikal tam náhodné pozadí místo defaultního, vytvořil 3 náhodné zástupce na ploše ať to není tak okaté, vytvořil složku GAMES, odpojil se od firemní sítě a zůstal připojen jen přes mobilní připojení. Nezbylo než čekat, až ta dobrá duše, co mě chce obohatit, zavolá.
Z důvodu zajištění bezpečné komunikace jsem měl spustit klienta SupRemo pro vzdálenou komunikaci a nadiktovat ID a heslo. Od té chvíle ten na druhé straně viděl vše co jsem měl na monitoru a mohl používat mou myš. Ale předstíral, že si se mnou může pouze psát, viz dále.
Do chatu v klientovi SupRemo přišel odkaz vedoucí na blockchain . com, přesněji na explorer veřejného blockchainu s nějakou anonymní peněženkou s 0,2 BTC. Ten na druhé straně viděl přesně co dělám, ale snažil se radit pomocí všeobecných rad, aniž by to dal najevo. O možnosti to udělat za mne ani nemluvě, přestože se mi to schválně nedařilo správně kopírovat. Hlavně oběť nevyděsit.
Samozřejmě mě ujistil, že to je moje peněženka a moje BTC. Pak mě nechal přepnout si zobrazení z BTC na USD, abych viděl, jak moc peněz to je. To bylo vtipné, on chtěl abych to přepnul, ale nemohl dát najevo, že vidí, zda jsme to už udělal nebo ne, protože mě se to zrovna přepínat nechtělo. A proč to chtěl? Protože 0,2 BTC většině lidí nezní tak sexy jako 7900 USD. A také aby mi sdělil, že BTC padá a ještě včera to bylo 9000 USD. Shodli jsme se, že musíme spěchat a zajistit převod co nejrychleji. Není čas přemýšlet nad blbostmi Ujistil mě, že ihned začne připravovat potřebné dokumenty a zajišťovat převod. Ať si zatím otevřu svou banku a pošlu mu do chatu IBAN. Samozřejmě jsem nadšeně souhlasil, to asi vím kde najdu, banku mám ve svém telefonu, hned to bude… Ale ouha. IBAN prý má platnost jen 15 minut a proces pro převod zabere skoro 20 minut a IBAN z bankovnictví v telefonu tak nejde použít. Je třeba přihlásit se do banky v prohlížeči. Připomínám, že dosud nedal nijak najevo, že vidí mou obrazovku a může používat i mou myš. O tom, že je nesmysl, aby měl IBAN nějak omezenou platnost se snad zmiňovat nemusím. Vyzval mě, ať se přihlásím přes web do banky, že zatím připraví dokumentaci pro nadřízené a ať mu pak pošlu IBAN do chatu. A hodil mě na čekačku s hudbou. (Tady bych rád zmínil jednu věc, bylo po celou dobu hovoru naprosto jasně poznat podle zvuků v pozadí, že se jedná o větší call centrum a nejde tedy o nějakého jednotlivce, ale o velký business s více zaměstnanci. Celá debata byla navíc vedena v lámané, ale jinak velmi slušné češtině!). Během té by samozřejmě vyčkával až se přihlásím do banky a on bude připravený reagovat… Chvíli jsem nedělal nic a pak mu napsal nějaký náhodný IBAN do chatu. Zareagoval po pár vteřinách s tím, že má připraveny papíry a čeká jen na mne, aby mi ty peníze mohl zaslat a že tedy vidí že jsem poslal ten IBAN, ale opravdu to takhle nepůjde.
Tady jsem se ptal proč vlastně na účet, že budu úplně v pohodě, když mi pošle BTC, že si to případně směním sám, ale prý to nejde, je to složité a musí dělat i tu směnu na USD, aby to bylo právně v pořádku.
Vysvětlil mi, jak si mám otevřít nové okno prohlížeče a že mám do adresy zadat svou banku. Ani po tom, co mě viděl zadat do adresy slovo BANKA a zmáčknout enter nedal najevo že ho seru a nepřevzal kontrolu.
Místo toho se začal opatrně ptát u jaké konkrétní banky mám ten účet. Náhodně jsem vybral Equabank a dal ji hledat googlem. Po nějaké době jsme se dostali na správný web. Radil, kde mám co zmáčknout, abych se přihlásil a měl opravdu trpělivost. Opravdu jsem se u toho dobře bavil, nemohl říct „víc doprava“ nebo „ano, na to klikněte“, protože stále předstíral, že ten vzdálený přístup neexistuje a je to pouhý chat.
Vyplnil jsem náhodné číslo jako přihlašovací jméno a u hesla jsem zaváhal, on mi ho říct nechtěl, že to je moje heslo, ne jeho a když jsem se ho zeptal, jestli si tam mohu dát jakékoliv, čekal jsem, že mi práskne telefonem, ale měl výdrž Zadal jsem nakonec i náhodné heslo a čekali jsme na SMS kód. A čekali a čekali, až došel k tomu, že bude muset zavěsit, aby mi ta SMS přišla. A tady to začalo být rychlé.
Napsal jsem totiž do chatu náhodné krátké číslo, načež okamžitě převzal kontrolu nad myší, překopíroval domnělý kód do formuláře a zkusil se přihlásit. Když to nešlo, okamžitě přestal myší hýbat a zkusil znovu zavolat. Já to nezvedal, naprázdno přejížděl po stránce banky, otvíral a zavíral klienta SupRemo pro vzdálené přihlášení a jakmile jsem se přiblížil k tlačítku pro odpojení, opět převzal kontrolu, rychle přepl zpět a snažil se znovu přehlásit do banky. Chvíli jsme se tahali o myš a pak jsem to vzdal, nešlo ho jednoduše odpojit běžným BFU postupem jako dát ukončit, vypnout tu aplikaci a podobně. Co mě ale nejvíce zaskočilo byla chvíle, kdy napsal do vyhledávače Bing od Microsoftu „windows turn on camera“ a nabídlo se mu tlačítko „Spuštění kamery“, které váš počítač poslechne! Ten bastard si sám pustil na mém NTB kameru pomocí vyhledávače Bing! Neskočit rychle po záslepce v krytu notebooku, měl mě v přímém přenosu – zvuk i obraz. (Edit: v Sandboxu kamera naštěstí stejně nefunguje, ale u vás bude) V tu chvíli už jsem to vzdal, nečekal co ještě vymyslí a notebook prostě vypl. Tím jsem ho odstřihl a zbavil se nainstalované aplikace a všeho co se mohlo jakkoliv dostat do počítače v rámci jeho původně pouhého chatu. Díky tomu sandboxu, o kterém jsem mluvil na začátku.“
🕵️ Účel podvodu – získat vaše přihlašovací údaje do internetového bankovnictví.
„Pracovní příležitost“
Dočtete se nebo dostanete pracovní nabídku, ta spočívá v tom, že nakoupíte BTC za zaslané peníze od klienta, kterého firma sežene. Vy si z peněz necháváte například 10 % jako provizi. Nakoupené BTC pak posíláte na adresu, kterou vám firma zašle.
🕵️Účel podvodu – praní peněz přes “bílého koně”, tak aby podvodná praktika byla spojena s naprosto cizími lidmi a ne těmi, kteří podvod organizují.
Fake livestreamy influencerů či vlivných osobností
Jednou za čas se objeví na Youtube “live stream“ konference, na které mluví Vitalik Buterin (zakladatel Etherea), Elon Musk nebo jiná známá osobnost. Nepoznáte hned, že se jedná pouze o záznam ve smyčce. Obvykle tyto videa nabízejí giveaway. Skrz QR kód máte poslat malou částku ETH nebo BTC a dostanete nazpět dvojnásobek. Samozřejmě nic takového se nestane.
🕵️Účel podvodu – získání malé částky krypta od velkého množství lidí.
Phishingový útok
V dubnu letošního roku vznikl phishingový útok na zákazníky Trezoru a Ledgeru. Plno zákazníků potvrdilo, že byl skvěle vytvořený a těžce rozeznatelný od oficiální komunikace. Jednalo se o email, který zákazníky mylně informoval o bezpečnostním incidentu, kvůli kterému bylo potřeba si stáhnout nejaktuálnější verzi softwaru. V následných krocích byli zákazníci vyzvání k připojení jejich zařízení a zadání svého seedu a pinu.
Útočníci vytvořili identickou stránku, v jejíž url byly malinké a nepostřehnutelné změny. V případě oficiálního webu Trezor.io šlo o podvodnou stránku Trezor . us nebo Trez0r. Níže naleznete příklad podvodného emailu.
Phishingové útoky nemusí být lehce odhalitelné. Prozrazuje je však naléhavost, časová tíseň, možné gramatické překlepy nebo malé a nepostřehnutelné změny v názvu url adresy.
🕵️Účel podvodu – dostat se skrz podvodný software k vašemu seedu a ke kryptu.
Zadání seedu (z důvodu obnovy, krádeže nebo ztráty HW/SW peněženky) byste měli iniciovat jenom vy. Měli byste být obezřetní vůči externí popudu pro vložení vašeho seedu.
Jaké jsou bezpečností kroky, na které se často zapomíná?
Problémem může být vytvoření si účtu na burze pod emailem, který nemá dvou fázovou autentizaci (2FA). Pokud se hacker dostanete k vašim přihlašovacím údajům, nic mu nebrání si krypto z burzy přeposlat tam, kam potřebuje. Pomocí vašeho emailu si potvrdí veškeré potřebné náležitosti.
Jak se k vašemu emailu a heslu může někdo dostat? Bezpečnost datábází různých služeb může být narušena, ukradena a šířena na různých serverech. Hackeři pak údaje (emaily a hesla) z těchto vykradených databázi používají.
Jak poznám, že moje přihlašovací údaje unikly a šíří se někde nevyžádaně dál?
Zadejte svůj email nebo telefonní číslo do Avastu nebo HaveIbeenpewned.
https://www.avast.com/hackcheck#pc
Pokud přijdete na to, že váš email je mezi uniklými přístupy, je potřeba změnit a vytvořit silné heslo, nebo začít používat nový email s veškerými náležitostmi jako je 2FA.
Zajímá vás, jak fungují scammeři? Doporučované jsou 2 YT účty – Kitboga a ScammerPayBack. Z českého prostředí doporučuji sledovat Martina Hallera, se kterým měla Soňa rozhovor o bezpečnosti. Martin je tzv. etickým hackerem, zaměřuje se na kybernetickou bezpečnosti. Na jeho blogu se můžete dozvědět, jak probíhá útok na internetové bankovnictví nebo jak je například snadné hacknout webovou kameru.
Dominika
