Pencurian kelayakan

Definisi ringkas

Pencurian kelayakan merujuk kepada tindakan penyerang mendapatkan kelayakan log masuk pengguna melalui penipuan, perisian hasad, kebocoran data atau kaedah lain. Kelayakan ini boleh termasuk nama pengguna, kata laluan, kod pengesahan SMS, kod sekali guna, kunci API atau token akses platform dagangan.

Dalam konteks kewangan dan dagangan, pencurian kelayakan boleh menyebabkan akaun diakses tanpa kebenaran, dana dipindahkan keluar, posisi didagangkan tanpa izin, maklumat peribadi disalahgunakan, atau API digunakan untuk pesanan luar biasa. Ini bukan risiko pelaburan, tetapi risiko keselamatan akaun dan keselamatan siber.

Bagaimana pencurian kelayakan berlaku

Penyerang biasanya tidak terus “menggodam” sistem dagangan. Sebaliknya, mereka cuba membuat pengguna menyerahkan kelayakan secara sukarela, atau mencurinya daripada peranti pengguna, e-mel atau perkhidmatan pihak ketiga. Mekanisme biasa termasuk:

Senario dagangan yang lazim

1. Halaman log masuk palsu

Seorang pedagang baharu menerima e-mel yang mendakwa akaunnya perlu “disahkan semula”. Pautan dalam e-mel membuka halaman yang kelihatan sangat mirip dengan platform dagangan sebenar. Selepas pengguna memasukkan nama pengguna, kata laluan dan kod pengesahan, penyerang boleh cuba log masuk ke akaun sebenar.

Perkara yang perlu diperiksa: jangan hanya melihat rupa halaman. Semak domain, sijil, akses melalui penanda halaman yang disimpan dan aplikasi rasmi. Elakkan log masuk ke akaun dagangan melalui pautan dalam e-mel atau SMS yang tidak dikenali.

2. Menyamar sebagai khidmat pelanggan untuk meminta kod pengesahan

Penyerang menyamar sebagai khidmat pelanggan platform di media sosial atau aplikasi sembang, lalu mendakwa kod pengesahan diperlukan untuk “memulihkan akaun”, “memproses pengeluaran dana” atau “membatalkan pesanan luar biasa”. Kod pengesahan biasanya digunakan untuk mengesahkan log masuk, pemindahan dana atau operasi sensitif. Memberikan kod kepada orang lain boleh dianggap seperti memberi kuasa kepada mereka untuk mengendalikan akaun.

Perkara yang perlu diperiksa: khidmat pelanggan yang sah biasanya tidak akan meminta kata laluan penuh, kod sekali guna atau kod pengesahan dua faktor daripada pengguna.

3. Kunci API tersiar secara tidak sengaja

Sesetengah pedagang menggunakan alat kuantitatif atau perisian pihak ketiga untuk menyambungkan akaun dagangan. Jika kunci API disalin ke repositori kod awam, tangkapan skrin, sembang kumpulan atau perisian yang tidak dipercayai, penyerang mungkin menggunakan kunci tersebut untuk membuat pertanyaan, menghantar pesanan atau melakukan operasi lain, bergantung pada tetapan kebenaran kunci.

Perkara yang perlu diperiksa: kunci API harus dikonfigurasi dengan prinsip kebenaran minimum, contohnya hanya memberi akses baca atau dagangan yang diperlukan. Kebenaran pengeluaran dana tidak wajar dibuka dengan mudah. Padamkan kunci yang tidak lagi digunakan dengan segera.

Mengapa perkara ini penting untuk pedagang baharu

Kesan pencurian kelayakan tidak semestinya terhad kepada “akaun berjaya dilog masuk”. Dalam akaun dagangan, penyerang mungkin:

• Melihat maklumat pengenalan peribadi, rekod dagangan, baki dan posisi;
• Menukar e-mel, nombor telefon atau tetapan keselamatan;
• Membuat pesanan, menutup posisi atau melakukan operasi berisiko tinggi tanpa kebenaran;
• Cuba memindahkan dana atau aset, bergantung pada proses platform dan kawalan keselamatan;
• Menggunakan akaun untuk penipuan, pengubahan wang haram atau aktiviti lain yang melanggar peraturan.

Peraturan perlindungan berbeza mengikut platform, bidang kuasa dan jenis akaun. Sama ada kerugian boleh dipulihkan bergantung pada terma platform, undang-undang tempatan, tetapan keselamatan akaun, laporan polis dan bahan rayuan atau aduan. Jangan menganggap dana pasti boleh dipulihkan atau transaksi pasti boleh dibatalkan.

Langkah pencegahan utama

Langkah berikut tidak menjamin risiko dapat dielakkan sepenuhnya, tetapi boleh mengurangkan kemungkinan kelayakan dicuri dan akaun disalahgunakan dengan ketara:

1. Gunakan kata laluan yang unik dan kuat: Jangan gunakan kata laluan yang sama untuk akaun dagangan, e-mel dan akaun bank.
2. Aktifkan pengesahan pelbagai faktor (MFA): Utamakan aplikasi pengesah atau kunci keselamatan perkakasan. Kod SMS lebih baik daripada tiada MFA, tetapi masih boleh terdedah kepada risiko seperti pertukaran SIM.
3. Semak domain dan sumber aplikasi: Log masuk melalui laman rasmi, gedung aplikasi rasmi atau penanda halaman yang disimpan. Elakkan mengklik pautan yang tidak dikenali.
4. Berwaspada terhadap mesej bernada mendesak: Contohnya “akaun akan dibekukan”, “mesti sahkan sekarang” atau “jika terlepas, pengeluaran dana tidak dapat dibuat”.
5. Lindungi akaun e-mel: E-mel biasanya digunakan untuk menetapkan semula kata laluan akaun dagangan. Jika e-mel dicuri, akaun dagangan juga mungkin diambil alih.
6. Hadkan kebenaran API: Berikan hanya kebenaran yang diperlukan, tetapkan senarai putih IP jika platform menyokongnya, dan putar ganti atau padam kunci yang tidak digunakan secara berkala.
7. Semak rekod log masuk dan aktiviti: Jika terdapat peranti tidak dikenali, IP luar biasa, pesanan yang tidak diketahui atau tetapan keselamatan berubah, ambil tindakan segera.
8. Kekalkan keselamatan peranti: Elakkan memasang perisian dagangan yang tidak diketahui asalnya, pemalam cetak rompak atau sambungan pelayar yang mencurigakan.

Apa yang perlu dilakukan jika mengesyaki kelayakan telah dicuri

Jika anda mengesyaki kelayakan akaun dagangan telah terdedah, ambil tindakan secepat mungkin:

• Log masuk melalui saluran rasmi dan tukar kata laluan dengan segera;
• Batalkan peranti, sesi dan kunci API yang mencurigakan;
• Aktifkan atau tetapkan semula pengesahan pelbagai faktor;
• Semak pesanan terkini, pemindahan dana, alamat pengeluaran dan perubahan maklumat peribadi;
• Hubungi khidmat pelanggan rasmi atau pasukan keselamatan platform, dan simpan e-mel, SMS, pautan, tangkapan skrin serta rekod masa;
• Jika melibatkan kerugian dana atau kecurian maklumat identiti, buat laporan atau aduan kepada pihak berkaitan mengikut undang-undang tempat anda berada dan keperluan platform.

Jangan hantar kod pengesahan baharu, gambar dokumen pengenalan diri atau maklumat akaun penuh kepada “khidmat pelanggan” atau ahli komuniti yang belum disahkan.

Istilah berkaitan

• Pancingan data: Serangan yang menyamar sebagai institusi dipercayai untuk memperdaya pengguna supaya mendedahkan maklumat.
• Pengesahan pelbagai faktor: Faktor pengesahan tambahan selain kata laluan, seperti kod sekali guna, kunci perkakasan atau biometrik.
• Pengisian kelayakan: Penyerang menggunakan gabungan nama pengguna dan kata laluan yang telah bocor untuk mencuba log masuk secara besar-besaran di laman atau platform lain.
• Pengambilalihan akaun: Penyerang memperoleh kawalan akaun, kemudian menukar maklumat, melihat data atau menjalankan operasi.
• Kunci API: Kelayakan untuk mengakses platform dagangan secara berprogram. Jika bocor, ia boleh menimbulkan risiko operasi automatik tanpa izin.

Rujukan

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.cisa.gov/MFA
• https://www.sec.gov/oiea/investor-alerts-and-bulletins/ib_safeguardingaccount
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing
• https://www.finra.org/investors/insights/cybersecurity-and-your-brokerage-account