Penipuan pancingan data

Definisi ringkas

Penipuan pancingan data ialah penipuan apabila penyerang menyamar sebagai institusi atau individu yang dipercayai, seperti broker, bursa, bank, pengawal selia, khidmat pelanggan atau kenalan, melalui e-mel, SMS, media sosial, panggilan telefon atau laman web palsu untuk memperdaya pengguna supaya mendedahkan maklumat sensitif atau memindahkan dana.

Bagi pedagang, maklumat yang sering disasarkan termasuk kata laluan log masuk, kod pengesahan sekali guna, dokumen pengenalan diri, maklumat kad bank, kebenaran akaun dagangan, kunci API, frasa benih dompet kripto atau kunci peribadi. Penipuan pancingan data bukan strategi dagangan, tetapi risiko keselamatan akaun dan keselamatan dana.

Cara ia berfungsi

Pancingan data biasanya mengeksploitasi “kepercayaan” dan “rasa terdesak” untuk menjalankan penipuan. Aliran lazimnya ialah:

1. Menyamar sebagai pihak yang dipercayai: Menggunakan nama, logo, alamat e-mel atau reka bentuk laman web yang mirip broker, bursa atau bank sebenar.
2. Mencipta tekanan: Mendakwa akaun bermasalah, margin tidak mencukupi, pengeluaran dibekukan, identiti perlu disahkan semula, atau terdapat notis keselamatan yang perlu diselesaikan “segera”.
3. Mengarah untuk klik atau menghubungi seseorang: Meminta pengguna mengklik pautan, memuat turun lampiran, mengimbas kod QR, menyertai kumpulan sembang atau menghubungi kononnya khidmat pelanggan khas.
4. Mendapatkan maklumat atau mengambil alih akaun: Menggunakan halaman log masuk palsu, perisian bantuan jarak jauh, lampiran berniat jahat atau kaedah lain untuk mendapatkan kata laluan, kod pengesahan atau akses kepada peranti.
5. Memindahkan dana atau meneruskan penipuan: Log masuk ke akaun sebenar, menukar maklumat penerima, memulakan pengeluaran, atau meminta pengguna membayar kononnya cukai, margin atau fi pembukaan sekatan.

Situasi lazim dalam perdagangan

Contoh ringkas

• Anda menerima e-mel yang kelihatan seperti daripada broker, bertajuk “Log masuk mencurigakan dikesan pada akaun anda, sila sahkan dalam 30 minit”. Pautan membuka halaman yang hampir sama dengan laman rasmi, tetapi nama domain mempunyai satu huruf tambahan. Selepas anda memasukkan ID akaun dan kod pengesahan, penyerang mungkin segera cuba log masuk ke akaun sebenar.
• Seseorang di platform sosial mendakwa sebagai khidmat pelanggan bursa dan mengatakan mereka boleh mempercepatkan pengeluaran anda, tetapi meminta frasa benih dompet. Jika frasa benih didedahkan, aset dalam dompet boleh dipindahkan terus dan lazimnya sukar dipulihkan.
• SMS mendakwa akaun dagangan anda perlu menambah margin sebelum sekatan boleh dilepaskan, lalu meminta pemindahan ke akaun individu atau alamat dompet kripto. Permintaan seperti ini perlu dianggap sangat mencurigakan, terutamanya jika tidak dapat disahkan melalui aplikasi rasmi atau laman web rasmi.

Tanda-tanda untuk dikenal pasti

Tanda berikut tidak semestinya membuktikan penipuan secara bersendirian, tetapi semakin banyak tanda yang muncul, semakin tinggi risikonya:

• Alamat e-mel pengirim, URL atau nama aplikasi berbeza sedikit daripada institusi sebenar, contohnya tambahan satu aksara, huruf diganti atau penggunaan akhiran domain yang tidak dikenali.
• Menggunakan pautan pendek, kod QR atau lampiran termampat, dan enggan menjelaskan destinasi pautan.
• Meminta kata laluan, kod pengesahan sekali guna, frasa benih, kunci peribadi, kunci API atau maklumat kad bank penuh.
• Mendesak tindakan segera atas alasan akaun dibekukan, pengeluaran gagal, semakan pengawal selia atau tawaran terhad masa.
• Meminta bayaran ke akaun individu, dompet pihak ketiga atau alamat yang tidak dapat disahkan.
• Mendakwa boleh menjamin pemulihan kerugian, menjamin pembukaan sekatan akaun atau menjamin pulangan pelaburan.
• Khidmat pelanggan hanya berkomunikasi melalui aplikasi sembang peribadi dan menolak pengesahan identiti melalui laman web rasmi atau aplikasi rasmi.

Amalan pencegahan untuk pedagang baharu

• Log masuk melalui saluran rasmi: Taip alamat laman web rasmi secara manual, atau gunakan aplikasi rasmi daripada sumber yang telah disahkan; jangan log masuk ke akaun dagangan melalui pautan dalam e-mel atau SMS.
• Semak domain dan maklumat sijil: Perhatikan ejaan, akhiran domain dan ubah hala halaman; jangan bergantung pada logo atau reka bentuk halaman sahaja.
• Aktifkan pengesahan berbilang faktor: Gunakan kaedah pengesahan yang lebih kukuh dan simpan kod sandaran dengan selamat.
• Jangan kongsi kelayakan penting: Institusi yang sah lazimnya tidak akan meminta kata laluan, kod pengesahan sekali guna, frasa benih, kunci peribadi atau akses kawalan jauh anda.
• Hadkan kebenaran API: Jika menggunakan API dagangan, berikan hanya kebenaran yang diperlukan, elakkan mengaktifkan kebenaran pengeluaran secara lalai, dan tukar kunci secara berkala.
• Sahkan melalui saluran rasmi: Jika menerima permintaan berkaitan akaun dibekukan, pengeluaran luar biasa atau pengesahan identiti, utamakan pengesahan melalui laman web rasmi, aplikasi rasmi atau nombor khidmat pelanggan yang diterbitkan secara terbuka.
• Kekalkan keselamatan peranti: Kemas kini sistem dan pelayar dengan segera, dan jangan pasang pemalam, perisian kawalan jauh atau alat dagangan daripada sumber yang tidak diketahui.

Jika anda telah mengklik atau memasukkan maklumat

Jika anda mengesyaki telah menjadi sasaran pancingan data, tindakan pantas adalah penting, tetapi elakkan terus mengikut arahan penipu:

1. Hentikan interaksi serta-merta: Jangan terus mengklik pautan, memuat turun fail atau membuat pemindahan wang.
2. Tukar kata laluan: Log masuk melalui saluran rasmi dan tukar kata laluan akaun dagangan, e-mel serta akaun pembayaran berkaitan.
3. Batalkan kebenaran mencurigakan: Semak peranti log masuk, kunci API, e-mel berdaftar, nombor telefon, alamat pengeluaran dan kebenaran pihak ketiga.
4. Hubungi khidmat pelanggan rasmi dan bank: Maklumkan kemungkinan pancingan data dan tanya sama ada akaun boleh dibekukan, transaksi boleh disekat atau pengesahan boleh diperketat.
5. Simpan bukti: Simpan e-mel, SMS, rekod sembang, pautan, resit bayaran dan hash transaksi jika berkaitan.
6. Laporkan kepada pihak berkaitan: Bergantung pada lokasi anda, laporan boleh dibuat kepada pengawal selia kewangan, agensi perlindungan pengguna, platform aduan jenayah siber atau polis.

Langkah-langkah ini tidak menjamin kerugian dapat dipulihkan, tetapi boleh membantu mengurangkan kerosakan lanjut dan menyediakan bahan untuk siasatan.

Perbezaan dengan notis keselamatan yang sah

Institusi kewangan yang sah mungkin menghantar amaran keselamatan atau meminta anda melengkapkan pengesahan identiti. Namun, mereka biasanya akan mengarahkan anda berurusan melalui saluran rasmi, bukan meminta anda memasukkan semua kelayakan dalam pautan yang tidak dikenali atau membayar ke akaun peribadi. Untuk membuat penilaian, rujuk aplikasi rasmi, pengumuman laman web rasmi, dokumen kontrak dan nombor khidmat pelanggan yang diterbitkan secara terbuka, bukan hanya berdasarkan e-mel, SMS atau mesej media sosial.

Istilah berkaitan

• Kejuruteraan sosial: Kaedah serangan yang menggunakan manipulasi psikologi untuk mendapatkan maklumat atau mendorong tindakan; pancingan data ialah salah satu bentuk yang lazim.
• Laman web palsu: Laman yang meniru antara muka dan domain laman sah untuk mencuri maklumat log masuk atau maklumat pembayaran.
• Perisian hasad: Perisian yang digunakan untuk mencuri maklumat, memantau peranti atau mengawal sistem dari jauh.
• Pengesahan berbilang faktor: Langkah pengesahan tambahan selain kata laluan untuk mengurangkan risiko akaun dicuri.
• Pengambilalihan akaun: Keadaan apabila penyerang mendapat kawalan akaun lalu mengubah maklumat, membuat dagangan atau memindahkan dana.

Rujukan

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/investor/pubs/onlinebrokerage.htm
• https://www.cisa.gov/secure-our-world/avoid-phishing