Kryptering skyddar meddelandets överföringsväg; en begäran om pengar måste granskas oberoende.
End-to-end-kryptering kan skydda meddelandenas innehåll mot mellanhänder, men garanterar inte att avsändaren är ärlig. Även en bedragare kan skicka krypterade meddelanden från sitt eget konto. För att bedöma en falsk administratör, en bluffvinst eller ett erbjudande om kryptovaluta behöver du granska kontots identitet och själva begäran separat från säkerheten i meddelandets överföringsväg.
Tre vanliga mönster och hur du bör agera
| Mottaget meddelande | Det du behöver kontrollera | Säkrare åtgärd |
|---|---|---|
| ”Jag är gruppens administratör; skicka det här beloppet nu” | En administratörs namn och bild kan ha kopierats | Kontrollera administratörslistan och be om bekräftelse via en kontaktväg du redan känner till |
| ”Du har vunnit; betala för att få din vinst” | Krav på betalning för att frigöra en vinst är en varningssignal för bedrägeri | Betala inte; hitta arrangören på egen hand |
| ”Garanterad vinst; du har bara några minuter på dig” | Tidspress och löften om säker avkastning försvårar granskningen | Skicka inte pengar eller uppgifter om din kryptoplånbok och kontrollera påståendet oberoende |
De här signalerna är skäl att stanna upp och kontrollera. Ett officiellt utseende, antalet medlemmar eller stöd från några andra konton bevisar inte i sig att något är trovärdigt.
Hur kontrollerar du en falsk administratör?
Visningsnamn och kontobilder går att efterlikna. Granska användarnamnet och identifieraren noga, men tänk på att även ett äkta konto kan ha kapats. Om begäran är ovanlig ska du kontakta personen via en annan väg som du redan känner till, i stället för att svara i samma konversation.
Om administratören för en arbetsgrupp till exempel ber om en överföring i ett privat meddelande, bekräfta saken via ett registrerat telefonnummer eller en officiell kanal inom organisationen, inte via ett nytt nummer som samma konto har lämnat. Skicka inte känsliga uppgifter för att ”bevisa ditt medlemskap”.
Ett säkerhetsnummer eller nyckelfingeravtryck kan hjälpa dig att verifiera den kryptografiska förbindelsen med din kontakt. Men matchande nycklar bevisar inte att personens ekonomiska erbjudande är legitimt eller att enheten är fri från skadlig kod.
Varför ska du inte skicka pengar eller en inloggningskod för att få en vinst?
Den amerikanska handelsmyndigheten FTC:s vägledning om bluffvinster pekar ut krav på betalning för att få en vinst och begäran om ekonomiska uppgifter som centrala varningssignaler. Meddelandet kan se ut att handla om en tävling, lottdragning, gåva eller support för ett konto.
Skicka inte inloggningskoder, lösenord eller återställningsfraser i en chatt. Om någon ber dig att logga in på en webbplats för att ”aktivera vinsten”, öppna själv arrangörens officiella adress via en känd väg. Ett HTTPS-hänglås eller ordet ”krypterad” på sidan bevisar inte att arrangören är äkta.
Hur skiljer sig pump-and-dump och erbjudanden om kryptovaluta från bluffvinster?
Vid pump-and-dump kan samordnad marknadsföring driva upp efterfrågan på och priset på en tillgång så att organisatörerna kan sälja sina egna innehav. I en falsk investering kanske ingen verklig handel alls sker, och en kontrollpanel kan visa påhittade vinster. De här två företeelserna ska inte likställas, men båda kan utnyttja gruppens entusiasm och tidspress.
FTC:s officiella vägledning om kryptobedrägerier varnar för löften om garanterad vinst, att någon utger sig för att vara någon annan och krav på att överföra kryptovaluta. Den här artikeln är inte ett råd att köpa eller sälja tillgångar; syftet är att granska en misstänkt begäran.
Anslut inte en kryptoplånbok och signera inte en transaktion som du inte förstår innebörden av. Ange aldrig din återställningsfras åt en administratör, supportpersonal eller för att ta emot en airdrop. Ytterligare betalningar för att ”frigöra vinsten” eller ”återfå förlorade pengar” kan vara en fortsättning på samma bedrägeri.
Vad hjälper end-to-end-kryptering med och vad löser den inte?
Korrekt kryptering tillsammans med autentisering av nycklarna är utformad för att skydda meddelandenas konfidentialitet och integritet mot personer utanför konversationen. Men en behörig gruppmedlem läser texten och kan ljuga, skicka skadliga länkar eller kopiera meddelanden. Säkerhet efter kompromettering är inte heller ett system för att upptäcka bedrägerier eller automatiskt återkalla en angripares åtkomst.
Ett protokoll som SRP, som inte skickar lösenordet direkt under inloggningen, hindrar inte heller att du skriver in samma lösenord på en falsk sida. Inloggningsskydd och att känna igen vilseledande försök är två skilda frågor.
Enligt Livaras publicerade säkerhetsgränser är offentliga kanaler inte samma sak som privata chattar. Möjligheten att anmäla innehåll är användbar, men varken offentlighet eller anmälningsverktyg gör bedrägerier omöjliga.
Vad gör jag om jag har skickat uppgifter eller pengar?
- Avbryt kontakten och ytterligare betalningar; betala inte en ny avgift för att ”lösa problemet”.
- Spara meddelandena, kontots identifierare, webbplatsens adress och transaktionskvittot för en anmälan; publicera dem inte.
- Om du har lämnat ut inloggningsuppgifter, logga in på den officiella webbplatsen från en betrodd enhet, byt lösenord och kontrollera sessioner och återställningsmetoder.
- Om du har betalat, kontakta den berörda banken eller betaltjänsten snabbt. Återbetalning är inte garanterad, särskilt inte för kryptovaluta.
- Anmäl kontot och meddelandet och blockera kontakten med meddelandetjänstens officiella verktyg. För en anmälan till behöriga myndigheter, sök hjälp hos en officiell instans där du bor.
Korta frågor
Räcker en verifieringssymbol eller många medlemmar?
Nej. Kontrollera den konkreta begäran, personens identitet och betalningens mottagare oberoende; inget yttre kännetecken ersätter den granskningen.
Är en begäran om pengar legitim om säkerhetsnumret stämmer?
Nej. Nyckelverifiering gäller motparten i den kryptografiska förbindelsen, inte sanningshalten i ett ekonomiskt påstående eller säkerheten på personens enhet.
Måste jag klicka på länken för att se om den är falsk?
Nej. När du ska kontrollera en misstänkt begäran, gå först till tjänsten via en officiell och känd väg. En snygg länkförhandsvisning eller ett domännamn som liknar det riktiga bevisar inte att något är legitimt.
