Alerta de segurança na Web3 - Apps falsos
No mundo cripto, os golpistas estão constantemente desenvolvendo suas táticas. Uma ameaça de alto risco está voltando: apps falsos da Bitget. Esses aplicativos maliciosos são habilmente disfarçados para se parecerem com o app oficial da Bitget, desde o logotipo até a descrição do aplicativo, o que torna quase impossível diferenciá-los. Os criminosos cibernéticos usam uma variedade de truques para induzir os usuários a fazer o download dessas cópias, com o objetivo de roubar informações pessoais e ativos digitais.
O que são apps falsos?
Aplicativos falsos (também conhecidos como aplicativos de phishing ou aplicativos imitadores mal-intencionados) são aplicativos fraudulentos criados para imitar plataformas populares e oficiais, como corretoras de criptomoedas, carteiras ou redes sociais. Eles replicam nomes, logotipos, interfaces e até mesmo funcionalidades para parecerem autênticos. Uma vez instalados, esses aplicativos geralmente levam a violações de privacidade ou perdas financeiras.
Principais recursos
● Visuais semelhantes: nomes, logotipos e layouts de aplicativos muito parecidos com a versão oficial, com apenas pequenas diferenças (por exemplo, esquemas de cores do logotipo ou detalhes da fonte).
● Recursos clonados: os aplicativos falsos podem replicar as principais funções do app real ou simplesmente redirecionar os usuários para páginas falsas.
● Permissões maliciosas: muitas vezes solicitam acesso excessivo a funções do celular, como contatos, SMS, câmera ou microfone – muito além do necessário – para monitorar o comportamento do usuário ou roubar dados.
● Distribuição não oficial: comumente encontrada em lojas de aplicativos externos, sites de phishing, links enviados por SMS ou e-mails ou compartilhados em comunidades on-line.
● Falta de credenciais oficiais: as informações do desenvolvedor são vagas ou ausentes, e os detalhes de contato ou as políticas de privacidade geralmente são falsos ou inexistentes.
● Erros de ortografia, gramática ou descrição: os apps de phishing geralmente contêm erros básicos, uma vez que os desenvolvedores legítimos normalmente revisam o texto cuidadosamente antes da publicação.
● Avaliações suspeitas: baixos números de downloads, avaliações polarizadas (todas com 5 estrelas ou todas com 1 estrela) e uma incompatibilidade entre a data de lançamento e o número de avaliações.
Casos comuns de ataque
1. Substituição do endereço da carteira:
● Os usuários tentam depositar ou retirar fundos usando o app falso da corretora.
● O aplicativo substitui secretamente o endereço do destinatário por um controlado pelo invasor.
● Os fundos são enviados inadvertidamente para a carteira do golpista e não podem ser recuperados.
2. Roubo de credenciais:
● Os usuários inserem suas credenciais de login e códigos de verificação de dois fatores no app falso.
● Os golpistas usam esses dados para acessar a plataforma real.
● Os ativos são rapidamente transferidos ou mal utilizados.
3. Phishing por SMS:
● As vítimas recebem alertas por SMS, como "aviso de segurança urgente" ou "atividade incomum na conta", com links para baixar o app falso.
● Sentindo-se pressionados, os usuários instalam o aplicativo e concedem permissões.
● O aplicativo rouba informações confidenciais, incluindo frases semente ou intercepta códigos de verificação por SMS, permitindo o acesso não autorizado.
4. Injeção de malware:
● O aplicativo falso instala um software malicioso adicional em segundo plano.
● Ele pode implantar keyloggers para capturar entradas de outros aplicativos.
● Arquivos como chaves privadas ou frases semente podem ser acessados e carregados silenciosamente.
5. Monitoramento contínuo:
● O aplicativo é executado em segundo plano, monitorando a atividade do usuário.
● Ele captura o conteúdo da tela, especialmente quando apps financeiros estão sendo usados.
● Os invasores aguardam o momento de interceptar ou alterar os dados da transação.
Como funcionam os apps falsos?
Os aplicativos falsos combinam o engano técnico com a engenharia social:
1. Fraude técnica
○ Duplicação de interface e código:
■ Clonar a interface, a funcionalidade ou até mesmo o código-fonte do app oficial, fazendo com que o aplicativo falso tenha a mesma aparência e funcione da mesma forma.
■ Modificar arquivos APK legítimos, injetando códigos maliciosos ou substituindo endereços de transferência para criar versões alteradas.
○ Abuso de permissão:
■ Solicitar permissões excessivas (por exemplo, ler SMS, acessar contatos, rastrear localização) para permitir o roubo de dados ou o controle remoto.
○ Interceptação e criptografia de comunicações:
■ A interceptação de API é usada para interceptar e modificar os dados de comunicação entre o app e seu servidor.
■ Transmitir informações confidenciais, como endereços de transações ou senhas, através de canais criptografados.
○ Evasão de detecção:
■ Ofuscação de código: modificar o código para torná-lo ilegível ou mais difícil de analisar, ajudando-o a evitar a detecção automática.
■ Ativação atrasada: o código malicioso só é acionado após a instalação ou sob determinadas condições.
■ Carregamento dinâmico: o código malicioso é baixado após a instalação, em vez de vir junto com o app.
■ Solicitações de permissão escalonadas: as permissões confidenciais são solicitadas gradualmente, diminuindo a vigilância do usuário.
2. Engenharia social
○ Abuso de confiança:
■ Ao imitar plataformas confiáveis (por exemplo, Bitget), os apps de phishing herdam a confiança do usuário e fazem com que ele abandone suas defesas.
○ Cenário de urgência:
■ Usar táticas de intimidação (por exemplo, "Sua conta está em risco" ou "Perda de ativos detectada") por meio de SMS ou notificações push para diminuir a vigilância do usuário e acionar ações rápidas e não verificadas.
○ Truques visuais:
■ Explorar a incapacidade dos usuários de perceber pequenas discrepâncias visuais, usando elementos visuais semelhantes para enganar.
■ Inflacionar a legitimidade com avaliações falsas e contagens de downloads manipuladas.
○ Distribuição direcionada:
■ Visar grupos específicos, como comunidades de investidores em cripto, para aumentar a taxa de sucesso dos ataques.
○ Rebranding frequente:
■ Altere continuamente os nomes, os ícones e as descrições dos aplicativos para evitar a detecção e prolongar a vida útil do golpe.
Como identificar um app falso
Fique atento a esses sinais de alerta:
● Ícone irregular: diferenças leves, mas perceptíveis, em comparação com o ícone oficial do app.
● Solicitação de permissão excessiva: solicitação de permissões desnecessárias após a instalação.
● Avaliações suspeitas: excessivamente positivas ou excessivamente negativas.
● Erros de gramática e ortografia: erros óbvios no nome ou na descrição do app.
● Volume de downloads suspeito: o app da Bitget oficial tem um grande número de downloads.
● Informações suspeitas sobre o desenvolvedor: ausência ou fraude de detalhes da empresa.
● Momento de lançamento questionável: tenha cuidado com aplicativos recém-lançados com um número excepcionalmente alto de avaliações.
● Fontes não confiáveis: links de aplicativos compartilhados por redes sociais, SMS ou e-mail, em vez de canais oficiais.
Medidas de segurança da Bitget
A Bitget tem o compromisso de mantê-lo um passo à frente e totalmente informado sobre o que está acontecendo em sua conta.
Alertas por e-mail
Se tiver vinculado seu e-mail, você receberá um e-mail sempre que fizer login em um novo dispositivo. Esses e-mails incluem seu código antiphishing, código de verificação, local de login, endereço IP e detalhes do dispositivo. Sempre verifique se essas informações correspondem à sua atividade.
Se a sua conta for acessada de um local diferente, você receberá um e-mail de acompanhamento notificando-o sobre o login. Verifique esse acesso.
Ao fazer uma retirada, você receberá um e-mail contendo o código de verificação e os detalhes completos da transação. Sempre confirme se tudo corresponde à retirada pretendida.
Período de espera (1 hora ou 24 horas)
Para evitar ações impulsivas causadas por golpes, a Bitget implementou um período de espera – uma medida de proteção temporária acionada quando o sistema detecta possíveis riscos à conta (como locais de login incomuns, transações suspeitas ou suspeita de fraude):
Período de espera: dependerá do nível de risco (1 hora ou 24 horas).
● Período de 1 hora: para cenários de menor risco (por exemplo, logins remotos), esse pequeno atraso pausa as retiradas para que os usuários possam verificar a atividade da conta.
● Período de 24 horas: para cenários de alto risco (por exemplo, alterações no método de verificação ou riscos de phishing), todas as retiradas ficam suspensas, dando aos usuários tempo para reavaliar a segurança da conta.
Canais oficiais de verificação
Se não tiver certeza sobre a identidade de alguém, você sempre poderá verificá-la no canal de verificação oficial da Bitget.
Práticas recomendadas para a segurança da conta
Habilitar vários métodos 2FA
A autenticação de dois fatores (2FA) é uma camada crítica de proteção que exige dois métodos separados de verificação de identidade. Isso pode incluir combinações de e-mail, senhas, SMS, Google Authenticator, chaves de segurança ou outros métodos. O uso de várias opções de 2FA fortalece muito a segurança e a confiabilidade de sua conta.
Definir código antiphishing
Um código antiphishing é um recurso de segurança oferecido pela Bitget para ajudar os usuários a identificar sites de phishing. Após ser ativado, todos os e-mails e SMS oficiais da Bitget (excluindo os códigos de verificação de SMS) incluirão seu código antiphishing exclusivo. Os e-mails e SMS de phishing não conterão códigos antiphishing, facilitando aos usuários identificar se são de canais oficiais da Bitget.
Para configurá-lo, vá para Perfil > Segurança > Código antiphishing e siga as instruções.
Acesse este link para mais detalhes sobre códigos antiphishing.
Ativar a confirmação do endereço de retirada
Ao retirar fundos pelo site da Bitget, há o risco de atividades maliciosas, como sequestro de tráfego, que podem adulterar seu endereço de retirada. Para evitar isso, a Bitget oferece uma chave de verificação entre dispositivos. Será necessário escanear um QR code usando o app da Bitget para confirmar o endereço de retirada antes da solicitação ser concluída.
Limpe sua conta com frequência
Instale um software de antivírus. Sempre baixe apps e softwares de fontes oficiais confiáveis e evite clicar em links recebidos por SMS. Para aumentar ainda mais a segurança da sua conta, considere usar um dispositivo exclusivo para acessar contas sensíveis ou confidenciais. Não dependa de uma única fonte. Evite fazer login no seu e-mail, inserir um cartão SIM e armazenar o Google Authenticator no mesmo celular. Se o seu dispositivo for perdido ou comprometido, ter tudo em um único dispositivo pode significar perder tudo. A distribuição do risco pode reduzir significativamente as possíveis perdas.
Conclusão: a segurança começa com a conscientização e com você
A tecnologia pode criar defesas no campo da segurança de rede, mas sua conscientização e vigilância são as maiores medidas de segurança. Os golpistas prosperam com a confusão e a urgência, mas quando você está informado, pode identificar as armadilhas e responder com confiança. A Bitget fornece uma estrutura de segurança em várias camadas para proteger os usuários, mas a proteção mais poderosa é a sua própria compreensão do risco. Quanto mais você souber sobre golpes, mais protegidos ficarão seus ativos.
Conhecimento é poder! Ação é proteção. A Bitget continuará a atualizar os recursos anti-golpe e os alertas de risco. Ao verificar um detalhe ou tomar uma decisão cautelosa, você pode impedir a ação de um golpista. Vamos trabalhar juntos para priorizar a segurança.
Saiba mais: Melhoras práticas de segurança da Bitget
Artigos relacionados
Alerta de segurança na Web3: falsificação de SMS
Alerta de segurança na Web3 - Tokens de alto risco
Alerta de segurança na Web3 - Apps falsos
Alerta de segurança na Web3 - Aprovações maliciosas
