Phishing przez reklamy w wyszukiwarce: dlaczego pierwszy wynik może być fałszywy

Oszuści kupują reklamy w wyszukiwarkach na nazwy popularnych portfeli, giełd i aplikacji DeFi, więc pierwszy „sponsorowany” wynik może prowadzić do przekonującej fałszywej strony stworzonej, by ukraść twoją frazę odzyskiwania, dane logowania lub zgody z portfela. Najbezpieczniejszy nawyk jest prosty: nigdy nie wchodź na stronę krypto przez reklamę, zamiast tego używaj własnych zakładek.

Ten atak działa, bo wymierzony jest w moment zaufania. Wyszukujesz znaną nazwę, klikasz pierwszy wynik i widzisz stronę, która wygląda dokładnie tak, jak powinna. Nic nie budzi podejrzeń – i właśnie o to chodzi. Ten poradnik wyjaśnia, jak działa ten mechanizm, jak wygląda w praktyce i jak się chronić.

Jak działa phishing przez reklamy w wyszukiwarce, krok po kroku

1. 1Oszust rejestruje łudząco podobną domenę. Może zamienić literę, dodać słowo takie jak „app” lub „claim”, użyć innej końcówki domeny albo znaków, które wyglądają identycznie jak litery łacińskie.
2. 2Klonuje prawdziwą stronę. Skopiowanie wyglądu portfela, giełdy czy aplikacji DeFi wymaga niewiele wysiłku.
3. 3Kupuje reklamy na nazwę marki. Reklama celuje w wyszukiwania takie jak nazwa portfela plus „download” albo nazwa giełdy plus „login”.
4. 4Omija weryfikację. Sztuczki obejmują pokazywanie weryfikatorom nieszkodliwej strony, a prawdziwym odwiedzającym strony phishingowej, lub przekierowania przez kilka domen.
5. 5Ofiary klikają i działają. Fałszywa strona prosi o frazę odzyskiwania, by „przywrócić” portfel, przechwytuje hasło do giełdy i kod uwierzytelniania dwuskładnikowego, oferuje pobranie złośliwej aplikacji lub prosi o połączenie portfela i podpisanie transakcji.
6. 6Środki zostają wyprowadzone. Mając frazę odzyskiwania lub zgodę na wydatki, atakujący w ciągu kilku minut przenosi aktywa, często przez miksery lub mosty.

Fałszywa strona zwykle szybko znika, a jej miejsce zajmuje nowa domena z nową reklamą. Szerzej piszemy o tym w artykule Oszustwa na kryptopożyczki.

Hipotetyczny przykład

Poniższy scenariusz jest złożony i poglądowy – to nie jest prawdziwy przypadek.

Wyobraź sobie, że Sam chce sprawdzić swoją pozycję DeFi. Sam wpisuje nazwę protokołu w wyszukiwarkę i klika pierwszy wynik, oznaczony małym drukiem jako „Sponsorowane”. Strona wygląda identycznie jak prawdziwa aplikacja. Baner informuje, że „migracja bezpieczeństwa” wymaga ponownego połączenia portfela. Sam łączy portfel i zostaje poproszony o podpisanie wiadomości, która wygląda jak rutynowe logowanie. Zobacz też: Bezpieczeństwo konta e-mail dla użytkowników krypto.

W rzeczywistości podpis to permit na tokeny, który daje atakującemu zgodę na przenoszenie stablecoinów Sama. Kilka minut później saldo znika. Gdy Sam patrzy na pasek adresu, domena ma o jedną literę za dużo. Nasz artykuł o ice phishingu i podpisach permit pokazuje, jak działają takie podpisy.

Lista sygnałów ostrzegawczych

Jak się chronić

Wyrób bezpieczne nawyki dostępu

• Dodaj oficjalne strony do zakładek raz, po ich starannym zweryfikowaniu, i używaj wyłącznie tych zakładek. Nasz poradnik o tym, jak sprawdzić, czy strona jest oficjalną stroną projektu, omawia te kontrole.
• Przewijaj reklamy przy każdym wyszukiwaniu związanym z finansami lub krypto. Jeszcze lepiej: w ogóle nie wyszukuj stron logowania.
• Instaluj aplikacje portfeli wyłącznie z linków na oficjalnej stronie lub ze zweryfikowanych stron w sklepach z aplikacjami, sprawdzając nazwę dewelopera. Sygnały ostrzegawcze znajdziesz w artykule fałszywe aplikacje portfeli.

Ogranicz szkody, jeśli popełnisz błąd

• Używaj portfela sprzętowego, który pokazuje szczegóły transakcji na własnym ekranie, i czytaj je.
• Większość środków trzymaj w portfelu, który rzadko łączysz z aplikacjami, a do eksperymentów używaj osobnego portfela.
• Regularnie przeglądaj i cofaj zgody na tokeny.
• Używaj blokera reklam lub ustawienia przeglądarki ukrywającego wyniki sponsorowane, jeśli ci to odpowiada.

Sprawdzaj adresy, nie wygląd

Przeczytaj domenę w pasku adresu, zanim cokolwiek wpiszesz. Strona, która wygląda idealnie, niczego nie dowodzi; liczy się domena. Więcej informacji znajdziesz w artykule Ataki na łańcuch dostaw.

Co zrobić, jeśli to ci się przydarzyło

1. 1Przestań korzystać ze strony i odłącz portfel.
2. 2Jeśli wpisałeś frazę odzyskiwania, utwórz zupełnie nowy portfel z nową frazą odzyskiwania i natychmiast przenieś pozostałe środki.
3. 3Jeśli podpisałeś zgodę, cofnij ją za pomocą renomowanego narzędzia do sprawdzania zgód, a następnie rozważ przeniesienie środków na nowy adres.
4. 4Jeśli wpisałeś dane logowania do giełdy, zmień hasło, zresetuj uwierzytelnianie dwuskładnikowe i skontaktuj się ze wsparciem giełdy przez jej oficjalną stronę.
5. 5Zabezpiecz dowody: reklamę, domenę, hashe transakcji i znaczniki czasu.
6. 6Zgłoś to wyszukiwarce, projektowi, pod który się podszyto, oraz przez nasz formularz zgłaszania oszustw.

Nasz poradnik krok po kroku o tym, co zrobić natychmiast, gdy portfel zostanie przejęty, szczegółowo omawia odzyskiwanie. Uważaj na każdego, kto potem się z tobą skontaktuje i obieca odzyskanie środków – oszustwa „na odzyskanie” celują w niedawne ofiary.

Podsumowanie

Czołowe miejsce w wynikach wyszukiwania można kupić; nie jest ono dowodem autentyczności. Oszuści wykorzystują wyniki sponsorowane, by podsuwać łudząco podobne strony krypto dokładnie w chwili, gdy ktoś zamierza się zalogować lub połączyć portfel. Zweryfikuj oficjalne strony raz, dodaj je do zakładek, całkowicie pomijaj reklamy i nigdy nie wpisuj frazy odzyskiwania na żadnej stronie. Te nawyki sprawiają, że cała ta kategoria ataków przestaje cię dotyczyć.