Как ICO могут защитить покупателей от фишинговых атак

Первичные предложения монет (ICO) оказались столь же выгодными для мошенников, как и для инвесторов.

Как по часам, после объявления о крупном ICO киберпреступники вынашивают схему, чтобы обмануть восторженных розничных инвесторов, заставив их отправить свой эфир или Bitcoin на поддельный адрес. Индустрия в основном реагирует на фишинговые атаки, используя социальные сети, чтобы выразить свое разочарование по поводу того, сколько определенной Криптовалюта они потеряли.

А поскольку отрасль настолько новая и непрозрачная, а заблуждения отдельных людей о собственной компетентности делают людей коллективно доверчивыми, количество успешных мошенничеств вряд ли уменьшится.

Кроме того, поскольку все больше продаж токенов ограничивают число людей, которые могут инвестировать в публичные продажи, сторонники стремятся найти обходные пути в ICO, что может подвергнуть их риску не обдумать предложение.

«Если вы рассчитываете на громкую кампанию, вам следует ожидать, что вы станете мишенью», — сказал Пол Уолш, генеральный директор Metacert, предлагающей бесплатное расширение Chrome, которое инвесторы ICO могут использовать для своей защиты.

На самом деле, NuCypher, проект повторного шифрования прокси, который недавно также запустил ICO, что вызвало интерес у многих инвесторов, столкнулся с повторными попытками фишинга. И каждый раз, когда компания обнаруживает фишинговую кампанию, она предупреждает свое сообщество, на что следует обратить внимание, через свой список адресов электронной почты.

Последняя атака произошла через Slack, в сообщениях, отправленных через slackbots, указывающих адрес Ethereum для отправки средств ether (предположительно) в обмен на токены NuCypher . В своем ответе NuCypher напомнил инвесторам, что никогда не будет использовать Slack для Request инвестиций.

Тем не менее, некоторые люди обожглись, и в результате каждый раз, когда фишинговая афера оказывается успешной, страдает все Криптo сообщество.

Уолш рассказал CoinDesk:

«Как только [инвесторы] обожгутся, они, скорее всего, скажут людям: T делайте этого. Тогда меньше людей будут инвестировать в Криптовалюта».

Чтобы устранить эту проблему, NuCypher применил подход, ориентированный на коммуникацию и обучение, которому могли бы Словарь многие другие эмитенты ICO и инвесторы, заинтересованные в этих раундах.

Но это T единственный способ оставаться в безопасности на таком диком рынке. Инвесторы могут многое сделать, чтобы защитить себя, но на самом деле ONE не может сделать так много, как команда, управляющая ICO.

Откровенный разговор

Возможно, наиболее важной стратегией для эмитентов является акцент только на ONE канале коммуникации, где будут передаваться новости о продажах.

Например, когда поставщик приложений для обмена сообщениями Kik запустил Kin, компанияясно дал понятьчто вся информация о покупке его токенов будет на его сайте продажи токенов и только на нем. Даже если Kik отправлял обновление по электронной почте или через социальный канал, обновление всегда направляло читателей обратно на сайт, чтобы узнать, как действовать.

Это особенно выгодный подход, поскольку, если через веб-сайт передается важная информация, например, адреса кошельков, мошеннику гораздо сложнее изменить веб-сайт, чем отправить убедительное электронное письмо.

Более того, предприниматели и компании, которые планируют или, по слухам, проводят продажу токенов, должны как можно скорее публично заявить о своих намерениях.

Проблемы с неоткрытостью отображаются с помощьюТелеграм ICOПоскольку компания, предоставляющая мобильные сообщения, практически не общалась с общественностью по поводу ICO, мошенники могут воспользоваться этим пробелом в знаниях и создать поддельные сайты, якобы предлагающие токены.

В данном случае инвесторы обратились в Twitter, чтобы пожаловаться на то, что их обманывают поддельные сайты с токенами Telegram; ONE недовольный человек твитнулчто он вложил четыре эфира на сайт в надежде купить токены Telegram.

Генеральный директор Telegram ответил на несколько вопросов о конкретных URL-адресах, и компания создала канал Telegram длясообщать о мошеннических сайтах, но было бы гораздо лучше просто открыто говорить о том, что происходит.

Еще одна область, в которой эмитенты могут снизить вероятность мошенничества, — это маркетинг, снижающий срочность призывов покупать токены, хотя многим это может показаться нелогичным.

Когда маркетинговая команда объявляет, что будут кратковременные периоды специальных скидок, это ставит группу потенциальных инвесторов на спусковой крючок. Они знают, что эти вещи быстро распродаются, поэтому им нужно действовать быстро, если они хотят войти. Таким образом, инвесторы могут быть обмануты, переходя по фальшивым ссылкам, поскольку они действуют, не обдумав все как следует.

По этому поводу Уолш сказал:

«Полезно вызывать энтузиазм вокруг того, что вы собираетесь запустить, но этим командам нужно быть более осознанными».

Однако прежде всего компаниям, проводящим ICO, необходимо четко обозначить, как они будут общаться, чтобы подписчики знали: все, что T Социальные сети этому формату, является фальшивкой.

Ужесточение персонала

В наши дни хакерские атаки в основном осуществляются с помощью социальной инженерии, а не шпионского программирования.

Заставить сотрудников раскрыть важную информацию или придумать, как выдать себя за настоящих сотрудников, — вот два способа, с помощью которых злоумышленники добиваются успеха в своих мошеннических схемах.

Таким образом, эмитентам необходимо KEEP , что защита внутренней команды от фишинга имеет первостепенное значение, особенно в отношении каналов социальных сетей, где мошенники могут публиковать в Twitter вредоносные ссылки, которые при наличии доступа к подлинным аккаунтам будут выглядеть для инвесторов реальными.

Соучредитель PhishMe Аарон Хигби рассказал CoinDesk , что компаниям следует «обратить внимание на то, кто внутри организации может отправлять твиты с этих аккаунтов» или иным образом публиковать сообщения с этих аккаунтов, и убедиться, что они обучены выявлять возможные попытки фишинга.

PhishMe предоставляет автоматизированное, постоянное обучение для компаний, помогающее им повысить осведомленность о методах, которые злоумышленники используют для обмана персонала компании. Обучение, которое предлагается бесплатно для малого и среднего бизнеса, на самом деле работает внутри почтовых ящиков сотрудников, отправляя им электронные письма, которые должны вызывать подозрения.

А Metacert предлагает продукт, который постоянно отслеживает внутренние каналы команды и удаляет вредоносные сообщения до того, как кто-либо успеет их увидеть.

Помимо этого, Уолш утверждает, что руководители и другие высокопоставленные лица в компании не должны иметь права root-доступа к каким-либо данным или системам, поскольку большинство злоумышленников могут не только найти информацию об этом человеке, чтобы подвергнуть его социальной инженерии, но и считают этих руководителей очень ценными для злоумышленника.

Сотрудники управления сообществом также должны быть обучены тому, как распознавать попытки фишинга и какие вопросы указывают на то, что сторонники могут подвергаться фишинговым атакам на другом канале. Например, Kik обнаружил, что злоумышленникипредставляют себя в качестве модераторовв каналах Slack. Таким образом, настоящие модераторы должны следить за этим и другим подозрительным поведением.

И последнее, но не менее важное: эмитенту ICO необходимо убедиться, что его веб-хостинг ставит безопасность на первое место. Это в первую очередь потому, что эмитенты ICO выбирают свой веб-хостинг до того, как сайт продажи будет запущен, давая злоумышленникам столько же времени, чтобы попытаться проникнуть в систему, чтобы разместить поддельную главную страницу с собственным адресом кошелька на сайте, когда он будет запущен.

Даже если такое цифровое граффити продержится всего 20 минут, из-за ажиотажа, который провоцируют многие ICO, можно потерять много денег.

Безопасность в центре внимания

Учитывая все это, эмитентам ICO необходимо с ONE дня задуматься о внутренней безопасности, поскольку, пока основатели проектов сосредоточены на продукте, мошенники знают, что в конечном итоге миллионы долларов FLOW в этот продукт, и будут действовать заранее, выжидая своего шанса нанести удар.

Учитывая это, документы следует уничтожать, чтобы мошенники T могли использовать их для придания своим атакам большей достоверности.

Кроме того, все сотрудники должны использовать двухфакторную аутентификацию (2FA) везде и стараться изо всех сил не использовать 2FA на основе SMS, поскольку это менее безопасно, чем использование таких приложений, как Authy, 1Password или Google Authenticator. Кроме того, с любым мобильным устройством, используемым для 2FA, следует принять дополнительные меры предосторожности, чтобы любые изменения подвергались более высоким проверкам безопасности.

Например, Уолш сказал, что ему известны некоторые проекты, в которых одноразовый телефон KEEP в ящике и используется исключительно для двухфакторной аутентификации.

Не только мобильные устройства, но и списки адресов электронной почты должны быть надежно защищены.

Если злоумышленнику удастся завладеть списком людей, проявивших интерес к ICO, мошенничество на 90 процентов обречено на успех, поскольку эта группа с наибольшей вероятностью поддастся на фишинговую атаку, поскольку она уже заинтересована, а источник кажется подлинным.

Если компания использует электронную почту или рассылку третьих лиц, например MailChimp или ConstantContact, для ведения таких списков, ей следует выбрать самый высокий уровень безопасности для доступа к этим учетным записям.

Уолш даже добавил, что самые вдумчивые компании могли бы пойти еще дальше и отказаться от HTML-писем в пользу чисто текстовых писем. Хотя текстовые письма могут потерять часть маркетинговой мощи, они более безопасны для получателей, поскольку получатели могут фактически видеть LINK им предлагается нажать в письме, тогда как HTML-форматы могут скрывать вредоносные ссылки.

Еще один вариант для проектов ICO — нанять «белых» хакеров, чтобы попытаться обойти системы безопасности, установленные эмитентами токенов, чтобы можно было найти и устранить уязвимости до того, как нанесет удар настоящий злоумышленник.

Кроме того, эмитенты могли бы быть более открытыми для общественности и потенциальных инвесторов в отношении используемых ими процедур обеспечения безопасности, чтобы инвесторы могли принимать обоснованные решения о том, какие проекты они хотят поддержать.

В этой связи Маклейн Уилкинсон из NuCypher сказал CoinDesk:

«В конечном итоге предотвратить фишинговые атаки невозможно, поэтому самое важное, что вы можете сделать, — это просвещение. Вам нужно начать как можно раньше, объяснив своему сообществу, что такое фишинговые атаки, и подготовиться к ним заранее».

Ящик для снастей с приманкамиизображение через Shutterstock