Peringatan Keamanan Web3 - Aplikasi Palsu

Di dunia kripto, para penipu terus mengembangkan taktik mereka. Satu ancaman berisiko tinggi kembali muncul: aplikasi Bitget palsu. Aplikasi berbahaya ini dengan cerdik disamarkan agar terlihat seperti aplikasi Bitget resmi - mulai dari logo hingga deskripsi aplikasi - sehingga hampir tidak mungkin dibedakan. Penjahat siber menggunakan berbagai trik untuk memikat pengguna agar mengunduh aplikasi-aplikasi tiruan ini, yang bertujuan untuk mencuri informasi pribadi dan aset digital.

Apa itu aplikasi palsu?

Aplikasi palsu (juga dikenal sebagai aplikasi phishing atau aplikasi peniru yang berbahaya) adalah aplikasi tidak sah yang dibuat untuk meniru platform yang populer dan sah - seperti exchange kripto, dompet, atau jejaring sosial. Aplikasi ini mereplikasi nama, logo, antarmuka, dan bahkan fungsi agar terlihat autentik. Setelah terinstal, aplikasi-aplikasi ini sering kali menyebabkan pelanggaran privasi atau kerugian finansial.

Fitur utama

● Tampilan visual yang mirip: Nama, logo, dan tata letak aplikasi sangat mirip dengan versi resminya, dengan hanya sedikit perbedaan (misalnya, skema warna logo atau detail font).

● Fitur yang dikloning: Aplikasi palsu dapat meniru fungsi inti dari aplikasi asli atau hanya mengarahkan pengguna ke halaman palsu.

● Izin yang berbahaya: Sering meminta akses ke fungsi telepon yang berlebihan seperti kontak, SMS, kamera, atau mikrofon - jauh melebihi apa yang diperlukan - untuk memantau perilaku pengguna atau mencuri data.

● Distribusi tidak resmi: Umumnya ditemukan di toko aplikasi pihak ketiga, situs phishing, tautan yang dikirim melalui SMS atau email, atau dibagikan di komunitas online.

● Kurangnya kredensial resmi: Informasi pengembang tidak jelas atau tidak ada, dan detail kontak atau kebijakan privasi sering kali palsu atau tidak ada.

● Kesalahan pengejaan, tata bahasa, atau deskripsi: Aplikasi phishing sering kali mengandung kesalahan mendasar, karena pengembang yang sah biasanya meninjau teks dengan hati-hati sebelum dipublikasikan.

● Ulasan yang mencurigakan: Jumlah unduhan yang rendah, peringkat yang terpolarisasi (semua bintang 5 atau semua bintang 1), dan ketidaksesuaian antara tanggal rilis dan jumlah ulasan.

Skenario serangan umum

1. Penggantian alamat dompet:

● Pengguna mencoba melakukan deposit atau penarikan dana menggunakan aplikasi exchange palsu.

● Aplikasi secara diam-diam mengganti alamat penerima dengan alamat yang dikendalikan oleh penyerang.

● Dana secara tidak sadar dikirim ke dompet penipu dan tidak dapat dikembalikan.

2. Pencurian kredensial:

● Pengguna memasukkan kredensial login dan kode 2FA mereka ke dalam aplikasi palsu.

● Penipu menggunakan data ini untuk mengakses platform yang asli.

● Aset dengan cepat ditransfer atau disalahgunakan.

3. SMS phishing:

● Korban menerima peringatan SMS seperti “peringatan keamanan mendesak” atau “aktivitas akun yang tidak biasa” dengan tautan untuk mengunduh aplikasi palsu.

● Merasa tertekan, pengguna menginstal aplikasi dan memberikan izin.

● Aplikasi ini kemudian mencuri informasi sensitif, termasuk seed phrase atau mencegat kode verifikasi SMS, sehingga memungkinkan akses yang tidak sah.

4. Injeksi malware:

● Aplikasi palsu menginstal perangkat lunak berbahaya tambahan di latar belakang.

● Aplikasi ini mungkin menggunakan keylogger untuk menangkap input dari aplikasi lain.

● File seperti kunci pribadi atau seed phrase dapat diakses dan diunggah secara diam-diam.

5. Pemantauan berkelanjutan:

● Aplikasi berjalan di latar belakang, memantau aktivitas pengguna.

● Aplikasi ini menangkap konten layar, terutama ketika aplikasi keuangan sedang digunakan.

● Penyerang menunggu saat yang tepat untuk mencegat atau mengubah data transaksi.

Bagaimana cara kerja aplikasi palsu?

Aplikasi palsu menggabungkan penipuan teknis dengan rekayasa sosial:

1. Penipuan teknis

○ Duplikasi kode dan antarmuka:

■ Mengkloning antarmuka, fungsionalitas, atau bahkan kode sumber aplikasi resmi, membuat aplikasi palsu terlihat dan berfungsi sama.

■ Memodifikasi file APK yang sah dengan menyuntikkan kode berbahaya atau mengganti alamat transfer untuk membuat versi yang telah diubah.

○ Penyalahgunaan izin:

■ Meminta izin yang berlebihan (misalnya, membaca SMS, mengakses kontak, melacak lokasi) untuk memungkinkan pencurian data atau kontrol jarak jauh.

○ Mencegat dan mengenkripsi komunikasi:

■ Intersepsi API digunakan untuk mencegat dan memodifikasi data komunikasi antara aplikasi dan server.

■ Mengirimkan informasi sensitif, seperti alamat transaksi atau kata sandi melalui saluran terenkripsi.

○ Penghindaran deteksi:

■ Pengaburan kode: Memodifikasi kode agar tidak dapat dibaca atau lebih sulit dianalisis, sehingga membantu menghindari deteksi otomatis.

■ Aktivasi yang tertunda: Kode berbahaya hanya terpicu setelah penginstalan atau dalam kondisi tertentu.

■ Pemuatan dinamis: Kode berbahaya diunduh setelah penginstalan, bukan digabungkan dengan aplikasi.

■ Permintaan izin yang tersendat-sendat: Izin sensitif diminta secara bertahap, sehingga menurunkan kewaspadaan pengguna.

2. Rekayasa sosial

○ Penyalahgunaan kepercayaan:

■ Dengan meniru platform tepercaya (misalnya Bitget), aplikasi phishing mewarisi kepercayaan pengguna dan menyebabkan pengguna menurunkan pertahanannya.

○ Menciptakan urgensi:

■ Menggunakan taktik menakut-nakuti (misalnya, “Akun kamu berisiko” atau “Kehilangan aset terdeteksi”) melalui SMS atau pemberitahuan push untuk menurunkan kewaspadaan pengguna dan memicu tindakan yang cepat dan tidak terverifikasi.

○ Tipuan visual:

■ Mengeksploitasi ketidakmampuan pengguna untuk melihat perbedaan visual yang kecil, dengan menggunakan elemen visual yang serupa untuk menipu.

■ Meningkatkan legitimasi dengan ulasan palsu dan jumlah unduhan yang dimanipulasi.

○ Distribusi yang ditargetkan:

■ Menargetkan kelompok tertentu, seperti komunitas investor kripto, untuk meningkatkan tingkat keberhasilan serangan.

○ Sering melakukan rebranding:

■ Terus-menerus mengubah nama, ikon, dan deskripsi aplikasi untuk menghindari deteksi dan memperpanjang umur penipuan.

Cara mengenali aplikasi palsu

Waspadai tanda bahaya ini:

● Ikon tidak normal: Perbedaan yang sedikit tetapi nyata dibandingkan dengan ikon aplikasi resmi.

● Permintaan izin yang berlebihan: Permintaan izin yang tidak perlu setelah penginstalan.

● Ulasan yang mencurigakan: Ulasan yang terlalu positif atau terlalu negatif.

● Kesalahan tata bahasa dan ejaan: Kesalahan yang jelas dalam nama atau deskripsi aplikasi.

● Volume unduhan yang tidak biasa: Aplikasi Bitget yang sah seharusnya memiliki jumlah unduhan yang besar.

● Informasi pengembang yang mencurigakan: Detail perusahaan yang hilang atau palsu.

● Waktu perilisan yang dipertanyakan: Berhati-hatilah dengan aplikasi yang baru diluncurkan namun memiliki jumlah ulasan yang sangat tinggi.

● Sumber yang tidak tepercaya: Tautan aplikasi yang dibagikan melalui media sosial, SMS, atau email, bukan saluran resmi.

Perlindungan keamanan Bitget

Bitget berkomitmen untuk membuat kamu selangkah lebih maju dan mendapat informasi lengkap tentang apa yang terjadi di akun kamu.

Peringatan email

Jika kamu telah menautkan email kamu, kamu akan menerima email setiap kali kamu masuk dari perangkat baru. Email ini mencakup kode anti-phishing, kode verifikasi, lokasi masuk (login), alamat IP, dan detail perangkat kamu. Selalu luangkan waktu sejenak untuk memverifikasi bahwa informasi ini sesuai dengan aktivitas kamu.

Jika akun kamu diakses dari lokasi yang berbeda, kamu akan menerima email tindak lanjut yang memberitahukan bahwa kamu telah berhasil masuk (login). Harap verifikasi akses ini.

Saat melakukan penarikan, kamu akan menerima email yang berisi kode verifikasi dan detail transaksi lengkap. Selalu pastikan bahwa semuanya sesuai dengan tujuan penarikan kamu.

Periode penundaan (1 jam atau 24 jam)

Untuk mencegah tindakan impulsif yang disebabkan oleh penipuan, Bitget telah menerapkan periode penundaan (cooling-off) — perlindungan sementara yang dipicu ketika sistem mendeteksi potensi risiko akun (seperti lokasi masuk atau login yang tidak biasa, transaksi yang mencurigakan, atau dugaan penipuan):

Periode penundaan: Tergantung pada level risiko (1 jam atau 24 jam).

● Periode 1 jam: Untuk skenario berisiko rendah (misalnya masuk atau login jarak jauh), penundaan singkat ini akan menghentikan sementara penarikan sehingga pengguna dapat memverifikasi aktivitas akun.

● Periode 24 jam: Untuk skenario berisiko tinggi (misalnya, perubahan metode verifikasi atau risiko phishing), semua penarikan ditangguhkan, sehingga pengguna memiliki waktu untuk menilai kembali keamanan akun.

Saluran verifikasi resmi

Jika kamu tidak yakin dengan identitas seseorang, kamu selalu dapat memverifikasinya melalui saluran verifikasi resmi Bitget.

Praktik terbaik untuk keamanan akun

Mengaktifkan beberapa metode 2FA

Autentikasi dua faktor (2FA) adalah lapisan perlindungan penting yang membutuhkan dua metode verifikasi identitas yang terpisah. Ini mungkin termasuk kombinasi email, kata sandi, SMS, Google Authenticator, kunci keamanan, atau metode lainnya. Menggunakan beberapa opsi 2FA sangat memperkuat keamanan dan keandalan akun kamu.

Tetapkan kode anti-phishing

Kode anti-phishing adalah fitur keamanan yang disediakan oleh Bitget untuk membantu pengguna mengidentifikasi situs web phishing. Setelah diaktifkan, semua email dan SMS resmi dari Bitget (tidak termasuk kode verifikasi SMS) akan menyertakan kode anti-phishing unik kamu. Email dan SMS phishing tidak akan berisi kode anti-phishing, sehingga memudahkan pengguna untuk mengidentifikasi apakah email dan SMS tersebut berasal dari saluran resmi Bitget.

Untuk mengaturnya, buka Profil > Keamanan > Kode anti-phishing dan ikuti petunjuknya.

Kunjungi tautan ini untuk detail lebih lanjut tentang kode anti-phising.

Mengaktifkan konfirmasi alamat penarikan

Saat penarikan melalui situs web Bitget, ada risiko aktivitas berbahaya seperti pembajakan trafik, yang dapat merusak alamat penarikan kamu. Untuk mencegah hal ini, Bitget menawarkan sebuah tombol verifikasi lintas perangkat. Kamu akan diminta untuk memindai kode QR menggunakan aplikasi seluler Bitget untuk mengonfirmasi alamat penarikan sebelum permintaan dapat diproses.

Mempraktikkan kebersihan akun yang baik

Instal perangkat lunak antivirus. Selalu unduh aplikasi dan perangkat lunak dari sumber resmi tepercaya, dan hindari mengeklik tautan yang diterima melalui SMS. Untuk lebih meningkatkan keamanan akun kamu, pertimbangkan untuk menggunakan perangkat khusus untuk mengakses akun yang sensitif atau rahasia. Jangan pernah menaruh semua telur milikmu dalam satu keranjang. Hindari masuk ke email, memasukkan kartu SIM, dan menyimpan Google Authenticator di ponsel yang sama. Jika perangkat kamu hilang atau disusupi, memiliki semua yang ada di satu perangkat bisa berarti kehilangan semuanya. Menyebarkan risiko kamu dapat secara signifikan mengurangi potensi kerugian.

Kesimpulan: Keamanan dimulai dengan kesadaran — dan dimulai dari kamu

Teknologi dapat membangun pertahanan di bidang keamanan jaringan, tetapi kesadaran dan kewaspadaan kamu adalah perlindungan utama. Penipu berkembang dengan baik di tengah kebingungan dan urgensi, tetapi jika kamu mendapat informasi, kamu bisa mengenali jebakan dan merespons dengan percaya diri. Bitget menyediakan kerangka kerja keamanan berlapis untuk melindungi pengguna, tetapi perlindungan yang paling kuat adalah pemahaman kamu sendiri tentang risiko. Setiap kesadaran akan penipuan yang kamu peroleh adalah perisai lain yang melindungi aset kamu.

Pengetahuan adalah kekuatan. Tindakan adalah perlindungan. Bitget akan terus memperbarui sumber daya anti-penipuan dan peringatan risiko. Setiap kali kamu memeriksa ulang sebuah detail atau membuat keputusan dengan hati-hati, kamu menutup pintu bagi para penipu. Mari bekerja sama untuk menjadikan keselamatan sebagai fondasi kita bersama.

Pelajari lebih lanjut: Praktik terbaik keamanan Bitget

Artikel terkait:

Peringatan Keamanan Web3 - Penipuan SMS

Peringatan Keamanan Web3 - Payzero

Peringatan Keamanan Web3 - Token Berisiko Tinggi

Peringatan Keamanan Web3 - Aplikasi Palsu

Peringatan Keamanan Web3 - Persetujuan Berbahaya