Oszustwa kryptowalutowe na LinkedIn: fałszywi rekruterzy i oferty inwestycyjne

Oszustwa kryptowalutowe na LinkedIn przybierają najczęściej dwie formy: fałszywi rekruterzy wykorzystują proces rekrutacji, by nakłonić cię do uruchomienia malware lub przekazania dostępu, a fałszywi profesjonaliści budują zaufanie, zanim polecą platformę inwestycyjną, która kradnie twoje wpłaty. Obie formy opierają się na profesjonalnej atmosferze LinkedIn, która sprawia, że ludzie tracą czujność.

Oszustwa te są wymierzone szczególnie w pracowników branży krypto, programistów i osoby szukające pracy, ponieważ na ich komputerach często znajdują się klucze do portfeli lub dostęp do firmowych systemów. Celem są też zwykli inwestorzy – poprzez „networking”, który powoli zamienia się w ofertę sprzedażową. Znajomość scenariusza sprawia, że sygnały ostrzegawcze łatwo zauważyć.

Jak działa oszustwo na fałszywego rekrutera

Badacze bezpieczeństwa i organy ścigania publicznie ostrzegali, że niektóre dobrze wyposażone grupy hakerskie, w tym powiązane z państwami, posługują się fałszywymi tożsamościami rekruterów, by atakować pracowników branży krypto. Schemat wygląda zazwyczaj tak:

1. 1Pierwszy kontakt. Rekruter z przekonującym profilem pisze do ciebie w sprawie dobrze płatnego stanowiska w firmie kryptowalutowej, czasem używając nazwy prawdziwej firmy.
2. 2Przeniesienie poza platformę. Rozmowa zostaje przeniesiona na Telegram, Discord lub prywatny e-mail „dla szybkości”.
3. 3Rozmowa kwalifikacyjna. Jedna lub kilka krótkich rozmów sprawia, że wszystko wydaje się prawdziwe.
4. 4Złośliwy ładunek. Dostajesz zadanie programistyczne do sklonowania i uruchomienia w domu albo słyszysz, że musisz zainstalować konkretną aplikację do wideorozmów lub „aktualizację przeglądarki”, by dołączyć do rozmowy.
5. 5Kradzież. Uruchomienie kodu lub oprogramowania instaluje malware, które wyszukuje pliki portfeli, rozszerzenia przeglądarki, zapisane hasła i pliki cookie sesji, a następnie po cichu wysyła je atakującemu.

Nasz szczegółowy poradnik o malware w fałszywych testach programistycznych przy rekrutacji do pracy w krypto wyjaśnia, jak takie repozytoria ukrywają złośliwy kod. Zobacz też: Fałszywe zbiórki charytatywne i na pomoc po katastrofach w krypto.

Jak działa oszustwo z ofertą inwestycyjną

Drugi schemat wygląda jak zwykły networking:

1. 1Osoba z imponującym stanowiskiem, często z branży finansowej, dodaje cię do kontaktów i zaczyna przyjazne rozmowy.
2. 2Przez kilka dni lub tygodni wspomina o swoim dodatkowym dochodzie z tradingu kryptowalut, czasem pokazując zrzuty ekranu.
3. 3Proponuje, że zostanie twoim „mentorem”, i poleca konkretną platformę lub aplikację.
4. 4Pierwsze małe wpłaty pokazują duże zyski, a może nawet pozwolą ci na jedną małą wypłatę.
5. 5Jesteś zachęcany do większych wpłat; potem wypłaty zostają zablokowane przez „podatki”, „opłaty weryfikacyjne” lub „ulepszenia konta”.

To odmiana oszustwa często nazywanego pig butchering. Powiązana lektura: Oszuści podszywający się pod regulatorów i policję w świecie krypto.

Przykład złożony (hipotetyczny)

Poniżej przedstawiamy zmyślony scenariusz łączący typowe cechy; nie jest to prawdziwa sprawa.

Wyobraź sobie, że „Sam”, programista smart kontraktów, dostaje na LinkedIn wiadomość od rekrutera znanej giełdy z ofertą stanowiska seniorskiego. Po miłej, 20-minutowej rozmowie Sam otrzymuje repozytorium na GitHubie i prośbę, by „poprawić drobny błąd i uruchomić testy”. Projekt instaluje zależności, z których jedna zawiera zaciemniony skrypt. W ciągu kilku godzin z portfela w przeglądarce na laptopie Sama znikają środki, a atakujący wykorzystuje zapisaną sesję, by zalogować się na służbowe konto Sama. Następnego dnia profil rekrutera zostaje usunięty. Jeśli chcesz dowiedzieć się więcej, przeczytaj Fałszywe aktualizacje przeglądarki i malware z captchą wymierzone w użytkowników krypto.

Lista sygnałów ostrzegawczych

• Stanowiska nie ma na oficjalnej stronie kariery firmy.
• Profil rekrutera jest nowy, ma mało postów lub używa zdjęcia wyglądającego na stockowe.
• Jesteś ponaglany, by przenieść rozmowę z LinkedIn do innego komunikatora.
• Prosi się cię o uruchomienie kodu, zainstalowanie oprogramowania lub użycie „specjalnego” linku do spotkania.
• Test wymaga podłączenia portfela lub podpisania transakcji.
• Nowy kontakt sam z siebie zaczyna mówić o zyskach z krypto.
• Ktoś poleca platformę tradingową, o której nigdy nie słyszałeś.
• Zyski są opisywane jako gwarantowane lub „niskie ryzyko, wysoki zysk”.

Jak się chronić

• Weryfikuj samodzielnie. Sam znajdź stronę internetową firmy i skontaktuj się przez nią z działem HR, aby potwierdzić stanowisko i rekrutera.
• Izoluj testy techniczne. Jeśli musisz przejrzeć kod, zrób to w jednorazowej maszynie wirtualnej lub środowisku chmurowym bez portfeli, haseł i służbowych loginów.
• Trzymaj klucze z dala od codziennego komputera. Do większych środków używaj portfela sprzętowego, aby malware nie mogło po prostu skopiować kluczy.
• Korzystaj tylko ze standardowych narzędzi do spotkań. Prawdziwe firmy używają powszechnie znanych platform, które nie wymagają pobierania podejrzanych plików.
• Sprawdzaj firmy u regulatorów. Wyszukaj każdą platformę inwestycyjną w rejestrze i na liście ostrzeżeń krajowego organu nadzoru.
• Zabezpiecz konta. Używaj silnych, unikalnych haseł oraz uwierzytelniania dwuskładnikowego przez aplikację lub klucz sprzętowy. Więcej znajdziesz w naszym poradniku o socjotechnice w świecie krypto.

Co zrobić, jeśli to już się stało

1. 1Odłącz zaatakowane urządzenie od internetu.
2. 2Z czystego urządzenia przenieś środki z każdego portfela, do którego był dostęp na zainfekowanym komputerze, do zupełnie nowego portfela z nową frazą seed.
3. 3Zresetuj hasła i unieważnij sesje poczty, giełd i kont służbowych, zaczynając od poczty.
4. 4Poinformuj zespół bezpieczeństwa pracodawcy, jeśli mogło to dotyczyć jakichkolwiek systemów firmowych.
5. 5Wyczyść urządzenie i zainstaluj system od nowa, zanim znów go użyjesz.
6. 6Zgłoś profil do LinkedIn, złóż zawiadomienie w lokalnych organach i zgłaszaj oszukańcze strony lub tokeny przez naszą stronę zgłaszania oszustw.

Nasza lista kontrolna krok po kroku o tym, co zrobić natychmiast, gdy twój portfel zostanie przejęty, obejmuje pierwszą, najpilniejszą godzinę. O tym, co dzieje się po zgłoszeniu, przeczytasz w artykule jak zgłosić oszustwo kryptowalutowe i co dzieje się dalej.

Podsumowanie

Oszustwa na LinkedIn działają, bo wyglądają jak zwykła aktywność zawodowa i networkingowa. Zasada jest prosta: prawdziwi pracodawcy nie potrzebują, abyś uruchamiał nieznany kod na swoim głównym komputerze lub podłączał portfel, a prawdziwi profesjonaliści nie polecają ci tajnych platform tradingowych. Weryfikuj każde stanowisko i każdą firmę oficjalnymi kanałami, trzymaj klucze na osobnym sprzęcie i działaj szybko, gdy coś pójdzie nie tak.