Guide de sécurité cryptographique : Comment identifier et prévenir les attaques d'ingénierie sociale

Auteur : SafePal

Dans le monde de la cryptographie, les forteresses les plus solides ne sont parfois pas celles qui sont brisées par la technologie, mais celles qui sont "ouvertes" par les gens eux-mêmes.

Comparé aux vulnérabilités complexes sur la chaîne, ce que les utilisateurs ordinaires rencontrent le plus souvent, ce sont en réalité les attaques d'ingénierie sociale (Social Engineering Scam). Les attaquants n'ont pas nécessairement besoin de pirater des portefeuilles matériels ou d'obtenir des droits d'accès au système ; ils sont plus doués pour se déguiser, créer un sentiment d'urgence, puis exploiter la confiance des gens et la peur de la perte d'actifs pour inciter à des transferts, à cliquer sur des liens de phishing, à télécharger des logiciels malveillants, à connecter des portefeuilles, à signer des transactions, voire à remettre volontairement des phrases de récupération et des clés privées.

Les attaques d'ingénierie sociale vraiment habiles ne font souvent pas en sorte que l'escroquerie ressemble à une escroquerie. Au contraire, elles emballent des opérations dangereuses sous l'apparence d'une "opération sécurisée" normale.

I. Les attaques d'ingénierie sociale, les cinq types les plus courants :

Premier type : Usurpation d'identité

Les attaquants peuvent se faire passer pour des services clients de portefeuilles, d'échanges, des administrateurs de projets, des influenceurs, des entreprises de logistique, des avocats, voire d'autres institutions, en contactant activement les utilisateurs via Telegram, Discord, X, WeChat, téléphone, etc.

Les discours courants incluent : "Nous avons détecté une anomalie sur votre compte." "Votre portefeuille nécessite une nouvelle vérification." "Nous pouvons vous aider à récupérer vos actifs."

Le fait que l'autre partie connaisse votre nom, votre téléphone, votre commande ou vos informations de compte ne prouve pas que son identité est réelle. Les informations réelles sont plus susceptibles d'être utilisées par l'attaquant pour augmenter sa crédibilité.

Le critère de jugement n'est pas de savoir si l'autre partie "ressemble à un service client", mais plutôt ce qu'elle vous demande de faire ; toute demande de contrôle d'actifs provient d'un escroc.

Même dans les communautés officielles, il y a des escrocs déguisés en service client. Les messages privés échappent à la surveillance officielle, ce qui est l'endroit où les escrocs réussissent le plus souvent ------ en cas de problème, il est conseillé de poser des questions publiquement dans le canal général et de chercher des réponses.

Il y a une règle d'or dans la communauté cryptographique à garder à l'esprit : les véritables représentants officiels ne vous contacteront jamais activement par message privé pour offrir de l'aide.

Deuxième type : Publication de liens de phishing, faux sites ou faux logiciels

Les e-mails, SMS, publicités de recherche, QR codes et messages privés sur les réseaux sociaux peuvent tous devenir des portes d'entrée pour le phishing.

Les attaquants peuvent créer des pages presque identiques à celles des sites officiels, ou publier de fausses applications de portefeuille, des extensions de navigateur, des clients de bureau et de prétendues "mises à jour de firmware", puis vous inciter à entrer votre compte, votre code de vérification, votre phrase de récupération, à connecter votre portefeuille ou à signer des transactions.

La véritable faille peut être simplement un caractère manquant dans le nom de domaine ou un caractère supplémentaire.

Ainsi, lorsqu'il s'agit de télécharger des portefeuilles, de se connecter à des comptes, d'extensions de navigateur et de firmwares de portefeuilles matériels, ne supposez pas que le fait que la page "ressemble au site officiel" signifie qu'elle est sécurisée. Vous pouvez réduire le risque de tomber sur des sites de phishing en effectuant les opérations suivantes :

1. Après avoir vérifié l'URL via un canal officiel certifié pour la première fois, enregistrez-la manuellement dans vos favoris de navigateur.

Accédez-y à chaque fois via les favoris, évitez autant que possible de dépendre des moteurs de recherche pour rechercher à nouveau chaque fois. Les liens "sponsorisés" ou "publicitaires" en haut des résultats des moteurs de recherche sont souvent les zones les plus touchées par les faux sites.

2. Reconnaître le lien de téléchargement de l'URL officielle

Lorsque vous téléchargez une application de portefeuille ou une extension de navigateur, vous devez toujours accéder au magasin d'applications officiel via le lien de redirection fourni par le site officiel. Même si vous effectuez une recherche interne dans le magasin d'applications, vérifiez soigneusement les informations sur le développeur et le nombre de téléchargements pour éviter de télécharger des logiciels contrefaits portant le même nom.

Troisième type : Créer la peur et l'urgence

C'est l'une des techniques psychologiques les plus courantes en ingénierie sociale.

"Les actifs sont en train d'être volés." "Le portefeuille présente de graves vulnérabilités." "Si vous ne traitez pas dans les dix minutes, votre compte sera gelé." "Vous devez mettre à jour immédiatement, sinon l'appareil ne fonctionnera plus."

Ces discours visent à vous faire agir selon les étapes fournies par l'autre partie sans avoir le temps de vérifier.

Souvent, l'"alerte de sécurité" fait elle-même partie de l'escroquerie.

Les attaquants vous font d'abord ressentir la peur de "perdre de l'argent si vous attendez trop longtemps", puis vous présentent des liens malveillants, des faux logiciels ou des soi-disant "adresses sécurisées" comme solution.

Ainsi, plus une information exige une action immédiate, plus il est important de s'arrêter pour vérifier.

Quatrième type : Se cacher et établir une relation de confiance à long terme

Toutes les attaques d'ingénierie sociale ne créent pas de peur ; certaines peuvent même vous offrir des avantages.

Des airdrops gratuits, des NFT, des récompenses de cashback, des investissements à haut rendement, des places internes peuvent tous devenir des appâts.

Certaines escroqueries établissent des relations à long terme via des logiciels sociaux, des discussions de groupe ou même des plateformes de rencontre, puis recommandent lentement aux utilisateurs des soi-disant opportunités d'investissement, des plateformes de trading ou des services de gestion.

Le plus dangereux dans ce type d'attaque est qu'il n'est pas nécessaire d'agir rapidement ------ l'attaquant peut passer plusieurs semaines voire plusieurs mois à établir la confiance, jusqu'à ce que vous transfériez volontairement de l'argent.

Et pour ceux qui ont déjà été escroqués, il existe une escroquerie plus insidieuse appelée "escroquerie secondaire" : des soi-disant avocats, agences d'enquête ou équipes de récupération d'actifs vous contactent activement, affirmant que les fonds ont été retrouvés, il suffit de payer des frais d'avocat, des taxes ou des frais de déblocage.

Cinquième type : Attaques d'ingénierie sociale via des canaux hors ligne

L'ingénierie sociale ne se produit pas seulement sur les écrans.

Les attaquants peuvent utiliser des appels téléphoniques, des lettres physiques, des colis, voire envoyer directement des soi-disant "appareils de remplacement", informant les utilisateurs que l'appareil présente des risques et qu'il est nécessaire de scanner un code pour mettre à jour, de réimporter un portefeuille ou de remplacer le matériel.

Ainsi, tout appareil de portefeuille que vous n'avez pas acheté ou demandé vous-même, mais que vous recevez soudainement, ne doit pas être utilisé directement, et ne doit surtout pas avoir votre phrase de récupération d'origine importée.

II. Comment une attaque d'ingénierie sociale se déroule-t-elle généralement ?

Bien que les formes soient nombreuses, la plupart des attaques peuvent être décomposées en quelques étapes similaires.

Première étape : Établir la crédibilité

Les attaquants peuvent se faire passer pour des portefeuilles, des échanges, des services clients, des projets, des entreprises de logistique, voire des informations personnelles réelles, ou établir la crédibilité par des échanges à long terme.

Ainsi, "l'autre partie connaît mes informations réelles" ne prouve pas que son identité est réelle.

Deuxième étape : Créer une raison à traiter

La raison peut provenir de la peur (vol d'actifs, gel de compte), de l'intérêt (airdrop, remboursement, récupération d'actifs) ou de "l'aide" (je viens vous aider à résoudre cela).

Quoi qu'il en soit, le but est de réduire votre temps de jugement indépendant et de vous pousser à l'étape suivante.

Troisième étape : Exécuter la véritable attaque

Les attaquants demanderont généralement à la fin : accéder à un site spécifique, scanner un code QR, télécharger un logiciel, partager un écran, connecter un portefeuille, entrer un code de vérification, signer une transaction, fournir une phrase de récupération ou une clé privée, ou transférer directement à une adresse.

C'est aussi l'étape la plus importante pour évaluer le risque.

Ne demandez pas seulement : "Cette personne ressemble-t-elle à un officiel ?" Demandez plutôt : "Que veut-il que je fasse finalement ?"

Si un "avis de sécurité" a pour résultat final de vous faire céder le contrôle de vos actifs, alors même si tout le reste est emballé de manière réaliste, c'est une escroquerie.

III. Face aux attaques d'ingénierie sociale, respectez quatre lignes directrices

Les méthodes de fraude peuvent toujours changer, mais les principes de sécurité ne sont pas si complexes.

Première : Ne fournissez jamais votre phrase de récupération, clé privée, code PIN ou mot de passe de portefeuille à quiconque

La phrase de récupération n'est pas un code de vérification, pas un document d'identité, pas un reçu de remboursement, ni un soi-disant "code de mise à niveau sécurisé".

Un portefeuille de garde auto-régulé peut nécessiter d'entrer la phrase de récupération sur un appareil de confiance ou un logiciel officiel lors de la restauration du portefeuille, mais cela est complètement différent de l'envoi de la phrase de récupération à un service client, un administrateur ou de l'entrer sur un site inconnu.

Deuxième : Ne vérifiez pas l'autre partie via les liens fournis

Si vous recevez un e-mail officiel, ne cliquez pas sur le "site officiel" dans l'e-mail pour vérifier sa véracité ; si vous recevez un appel suspect, ne continuez pas à utiliser le numéro de service client fourni par l'autre partie.

Quittez la source d'information actuelle, trouvez vous-même le site officiel, l'application officielle ou le compte certifié, puis vérifiez à nouveau.

Troisième : Ne confirmez pas les signatures et autorisations que vous ne comprenez pas

Ne pas avoir divulgué votre phrase de récupération ne signifie pas que c'est forcément sécurisé.

Les autorisations malveillantes, les signatures de permis, les approbations de jetons, voire un simple transfert, peuvent entraîner des pertes d'actifs.

Si vous ne savez pas ce que vous êtes en train d'autoriser, ne confirmez pas simplement parce que "le service client dit qu'il faut vérifier".

Quatrième : Plus on vous presse, plus il faut ralentir.

"Vous devez mettre à jour immédiatement" "Les actifs sont en train d'être volés" "Si vous ne traitez pas dans les dix minutes, vous serez gelé", ces discours sont typiquement des pressions psychologiques. Un véritable processus de sécurité normal peut supporter que vous preniez quelques minutes de plus pour vérifier.

Les escroqueries espèrent que vous n'aurez pas le temps de réfléchir.

IV. Que faire si vous avez déjà effectué des opérations suspectes ?

Si vous avez simplement reçu des e-mails, SMS, appels ou messages privés suspects sans cliquer, signer ou transférer, arrêtez le contact et conservez les preuves pertinentes.

Si vous avez déjà saisi votre mot de passe de compte, code de vérification ou téléchargé un logiciel suspect, modifiez rapidement le mot de passe de votre compte concerné, réinitialisez la 2FA et vérifiez les journaux de connexion de vos comptes importants tels que votre e-mail, votre échange, etc.

Si vous avez déjà connecté un DApp inconnu, effectué des autorisations ou des signatures suspectes, vérifiez rapidement les transactions récentes et les autorisations de votre portefeuille, et révoquez les autorisations que vous ne reconnaissez pas ou que vous n'utilisez plus.

Si votre phrase de récupération ou votre clé privée a déjà été divulguée, considérez directement le portefeuille d'origine comme compromis. À ce stade, créez un nouveau portefeuille et une nouvelle phrase de récupération sur un appareil de confiance, et transférez rapidement les actifs restants du portefeuille d'origine vers le nouveau portefeuille. La phrase de récupération divulguée ne doit pas être réutilisée.

En conclusion

Le plus dangereux dans l'ingénierie sociale n'est pas la complexité technique, mais sa capacité à exploiter la psychologie humaine.

Face à tout contact anormal impliquant des actifs, il est plus important de ne pas se souvenir de combien de schémas de fraude existent, mais de ne pas prendre de décisions sous la peur, la cupidité et la pression.

Plus on vous presse, plus il faut ralentir ; plus on vous attire, plus il faut confirmer une étape de plus.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.