Alerta de segurança na Web3 - Apps falsos

No mundo cripto, os golpistas estão constantemente desenvolvendo suas táticas. Uma ameaça de alto risco está voltando: apps falsos da Bitget. Esses aplicativos maliciosos são habilmente disfarçados para se parecerem com o app oficial da Bitget, desde o logotipo até a descrição do aplicativo, o que torna quase impossível diferenciá-los. Os criminosos cibernéticos usam uma variedade de truques para induzir os usuários a fazer o download dessas cópias, com o objetivo de roubar informações pessoais e ativos digitais.

O que são apps falsos?

Aplicativos falsos (também conhecidos como aplicativos de phishing ou aplicativos imitadores mal-intencionados) são aplicativos fraudulentos criados para imitar plataformas populares e oficiais, como corretoras de criptomoedas, carteiras ou redes sociais. Eles replicam nomes, logotipos, interfaces e até mesmo funcionalidades para parecerem autênticos. Uma vez instalados, esses aplicativos geralmente levam a violações de privacidade ou perdas financeiras.

Principais recursos

● Visuais semelhantes: nomes, logotipos e layouts de aplicativos muito parecidos com a versão oficial, com apenas pequenas diferenças (por exemplo, esquemas de cores do logotipo ou detalhes da fonte).

● Recursos clonados: os aplicativos falsos podem replicar as principais funções do app real ou simplesmente redirecionar os usuários para páginas falsas.

● Permissões maliciosas: muitas vezes solicitam acesso excessivo a funções do celular, como contatos, SMS, câmera ou microfone – muito além do necessário – para monitorar o comportamento do usuário ou roubar dados.

● Distribuição não oficial: comumente encontrada em lojas de aplicativos externos, sites de phishing, links enviados por SMS ou e-mails ou compartilhados em comunidades on-line.

● Falta de credenciais oficiais: as informações do desenvolvedor são vagas ou ausentes, e os detalhes de contato ou as políticas de privacidade geralmente são falsos ou inexistentes.

● Erros de ortografia, gramática ou descrição: os apps de phishing geralmente contêm erros básicos, uma vez que os desenvolvedores legítimos normalmente revisam o texto cuidadosamente antes da publicação.

● Avaliações suspeitas: baixos números de downloads, avaliações polarizadas (todas com 5 estrelas ou todas com 1 estrela) e uma incompatibilidade entre a data de lançamento e o número de avaliações.

Casos comuns de ataque

1. Substituição do endereço da carteira:

● Os usuários tentam depositar ou retirar fundos usando o app falso da corretora.

● O aplicativo substitui secretamente o endereço do destinatário por um controlado pelo invasor.

● Os fundos são enviados inadvertidamente para a carteira do golpista e não podem ser recuperados.

2. Roubo de credenciais:

● Os usuários inserem suas credenciais de login e códigos de verificação de dois fatores no app falso.

● Os golpistas usam esses dados para acessar a plataforma real.

● Os ativos são rapidamente transferidos ou mal utilizados.

3. Phishing por SMS:

● As vítimas recebem alertas por SMS, como "aviso de segurança urgente" ou "atividade incomum na conta", com links para baixar o app falso.

● Sentindo-se pressionados, os usuários instalam o aplicativo e concedem permissões.

● O aplicativo rouba informações confidenciais, incluindo frases semente ou intercepta códigos de verificação por SMS, permitindo o acesso não autorizado.

4. Injeção de malware:

● O aplicativo falso instala um software malicioso adicional em segundo plano.

● Ele pode implantar keyloggers para capturar entradas de outros aplicativos.

● Arquivos como chaves privadas ou frases semente podem ser acessados e carregados silenciosamente.

5. Monitoramento contínuo:

● O aplicativo é executado em segundo plano, monitorando a atividade do usuário.

● Ele captura o conteúdo da tela, especialmente quando apps financeiros estão sendo usados.

● Os invasores aguardam o momento de interceptar ou alterar os dados da transação.

Como funcionam os apps falsos?

Os aplicativos falsos combinam o engano técnico com a engenharia social:

1. Fraude técnica

○ Duplicação de interface e código:

■ Clonar a interface, a funcionalidade ou até mesmo o código-fonte do app oficial, fazendo com que o aplicativo falso tenha a mesma aparência e funcione da mesma forma.

■ Modificar arquivos APK legítimos, injetando códigos maliciosos ou substituindo endereços de transferência para criar versões alteradas.

○ Abuso de permissão:

■ Solicitar permissões excessivas (por exemplo, ler SMS, acessar contatos, rastrear localização) para permitir o roubo de dados ou o controle remoto.

○ Interceptação e criptografia de comunicações:

■ A interceptação de API é usada para interceptar e modificar os dados de comunicação entre o app e seu servidor.

■ Transmitir informações confidenciais, como endereços de transações ou senhas, através de canais criptografados.

○ Evasão de detecção:

■ Ofuscação de código: modificar o código para torná-lo ilegível ou mais difícil de analisar, ajudando-o a evitar a detecção automática.

■ Ativação atrasada: o código malicioso só é acionado após a instalação ou sob determinadas condições.

■ Carregamento dinâmico: o código malicioso é baixado após a instalação, em vez de vir junto com o app.

■ Solicitações de permissão escalonadas: as permissões confidenciais são solicitadas gradualmente, diminuindo a vigilância do usuário.

2. Engenharia social

○ Abuso de confiança:

■ Ao imitar plataformas confiáveis (por exemplo, Bitget), os apps de phishing herdam a confiança do usuário e fazem com que ele abandone suas defesas.

○ Cenário de urgência:

■ Usar táticas de intimidação (por exemplo, "Sua conta está em risco" ou "Perda de ativos detectada") por meio de SMS ou notificações push para diminuir a vigilância do usuário e acionar ações rápidas e não verificadas.

○ Truques visuais:

■ Explorar a incapacidade dos usuários de perceber pequenas discrepâncias visuais, usando elementos visuais semelhantes para enganar.

■ Inflacionar a legitimidade com avaliações falsas e contagens de downloads manipuladas.

○ Distribuição direcionada:

■ Visar grupos específicos, como comunidades de investidores em cripto, para aumentar a taxa de sucesso dos ataques.

○ Rebranding frequente:

■ Altere continuamente os nomes, os ícones e as descrições dos aplicativos para evitar a detecção e prolongar a vida útil do golpe.

Como identificar um app falso

Fique atento a esses sinais de alerta:

● Ícone irregular: diferenças leves, mas perceptíveis, em comparação com o ícone oficial do app.

● Solicitação de permissão excessiva: solicitação de permissões desnecessárias após a instalação.

● Avaliações suspeitas: excessivamente positivas ou excessivamente negativas.

● Erros de gramática e ortografia: erros óbvios no nome ou na descrição do app.

● Volume de downloads suspeito: o app da Bitget oficial tem um grande número de downloads.

● Informações suspeitas sobre o desenvolvedor: ausência ou fraude de detalhes da empresa.

● Momento de lançamento questionável: tenha cuidado com aplicativos recém-lançados com um número excepcionalmente alto de avaliações.

● Fontes não confiáveis: links de aplicativos compartilhados por redes sociais, SMS ou e-mail, em vez de canais oficiais.

Medidas de segurança da Bitget

A Bitget tem o compromisso de mantê-lo um passo à frente e totalmente informado sobre o que está acontecendo em sua conta.

Alertas por e-mail

Se tiver vinculado seu e-mail, você receberá um e-mail sempre que fizer login em um novo dispositivo. Esses e-mails incluem seu código antiphishing, código de verificação, local de login, endereço IP e detalhes do dispositivo. Sempre verifique se essas informações correspondem à sua atividade.

Se a sua conta for acessada de um local diferente, você receberá um e-mail de acompanhamento notificando-o sobre o login. Verifique esse acesso.

Ao fazer uma retirada, você receberá um e-mail contendo o código de verificação e os detalhes completos da transação. Sempre confirme se tudo corresponde à retirada pretendida.

Período de espera (1 hora ou 24 horas)

Para evitar ações impulsivas causadas por golpes, a Bitget implementou um período de espera – uma medida de proteção temporária acionada quando o sistema detecta possíveis riscos à conta (como locais de login incomuns, transações suspeitas ou suspeita de fraude):

Período de espera: dependerá do nível de risco (1 hora ou 24 horas).

● Período de 1 hora: para cenários de menor risco (por exemplo, logins remotos), esse pequeno atraso pausa as retiradas para que os usuários possam verificar a atividade da conta.

● Período de 24 horas: para cenários de alto risco (por exemplo, alterações no método de verificação ou riscos de phishing), todas as retiradas ficam suspensas, dando aos usuários tempo para reavaliar a segurança da conta.

Canais oficiais de verificação

Se não tiver certeza sobre a identidade de alguém, você sempre poderá verificá-la no canal de verificação oficial da Bitget.

Práticas recomendadas para a segurança da conta

Habilitar vários métodos 2FA

A autenticação de dois fatores (2FA) é uma camada crítica de proteção que exige dois métodos separados de verificação de identidade. Isso pode incluir combinações de e-mail, senhas, SMS, Google Authenticator, chaves de segurança ou outros métodos. O uso de várias opções de 2FA fortalece muito a segurança e a confiabilidade de sua conta.

Definir código antiphishing

Um código antiphishing é um recurso de segurança oferecido pela Bitget para ajudar os usuários a identificar sites de phishing. Após ser ativado, todos os e-mails e SMS oficiais da Bitget (excluindo os códigos de verificação de SMS) incluirão seu código antiphishing exclusivo. Os e-mails e SMS de phishing não conterão códigos antiphishing, facilitando aos usuários identificar se são de canais oficiais da Bitget.

Para configurá-lo, vá para Perfil > Segurança > Código antiphishing e siga as instruções.

Acesse este link para mais detalhes sobre códigos antiphishing.

Ativar a confirmação do endereço de retirada

Ao retirar fundos pelo site da Bitget, há o risco de atividades maliciosas, como sequestro de tráfego, que podem adulterar seu endereço de retirada. Para evitar isso, a Bitget oferece uma chave de verificação entre dispositivos. Será necessário escanear um QR code usando o app da Bitget para confirmar o endereço de retirada antes da solicitação ser concluída.

Limpe sua conta com frequência

Instale um software de antivírus. Sempre baixe apps e softwares de fontes oficiais confiáveis e evite clicar em links recebidos por SMS. Para aumentar ainda mais a segurança da sua conta, considere usar um dispositivo exclusivo para acessar contas sensíveis ou confidenciais. Não dependa de uma única fonte. Evite fazer login no seu e-mail, inserir um cartão SIM e armazenar o Google Authenticator no mesmo celular. Se o seu dispositivo for perdido ou comprometido, ter tudo em um único dispositivo pode significar perder tudo. A distribuição do risco pode reduzir significativamente as possíveis perdas.

Conclusão: a segurança começa com a conscientização e com você

A tecnologia pode criar defesas no campo da segurança de rede, mas sua conscientização e vigilância são as maiores medidas de segurança. Os golpistas prosperam com a confusão e a urgência, mas quando você está informado, pode identificar as armadilhas e responder com confiança. A Bitget fornece uma estrutura de segurança em várias camadas para proteger os usuários, mas a proteção mais poderosa é a sua própria compreensão do risco. Quanto mais você souber sobre golpes, mais protegidos ficarão seus ativos.

Conhecimento é poder! Ação é proteção. A Bitget continuará a atualizar os recursos anti-golpe e os alertas de risco. Ao verificar um detalhe ou tomar uma decisão cautelosa, você pode impedir a ação de um golpista. Vamos trabalhar juntos para priorizar a segurança.

Saiba mais: Melhoras práticas de segurança da Bitget

Artigos relacionados

Alerta de segurança na Web3: falsificação de SMS

Web3 Security Alert - Payzero

Alerta de segurança na Web3 - Tokens de alto risco

Alerta de segurança na Web3 - Apps falsos

Alerta de segurança na Web3 - Aprovações maliciosas