امنیت حساب در ؛ راهکارهای جلوگیری از کلاهبرداری

 این گزارش امنیت صرافی توبیت را با همین تفکیک بررسی می‌کند؛ چون در اکثریت قاطع پرونده‌های ثبت‌شده در این حوزه، مهاجم به سیستم نفوذ نکرده و کاربر را فریب داده است.

در سمت پلتفرم، سازوکارهای متعارف این صنعت شامل نگهداری بخشی از دارایی‌ها به‌صورت آفلاین، بررسی خودکار تراکنش‌های پرریسک، و ابزارهایی است که در اختیار کاربر گذاشته می‌شود . یک نکته قابل ذکر هم این است که این مجموعه گزارش پشتوانه دارایی‌ها را منتشر می‌کند؛ سازوکاری که به کاربر امکان می‌دهد ادعا را راستی‌آزمایی کند و صرفاً به تبلیغ اکتفا نکند.

اما در سمت کاربر، فهرست کوتاه‌تری وجود دارد که در عمل تعیین‌کننده‌تر است: رمز بلند و یکتا، تایید دومرحله‌ای، تشخیص صفحه و پیام جعلی، و قفل کردن ایمیل حساب. بیشترین آسیب‌های ثبت‌شده دقیقاً از همین ستون می‌آید.

رایج‌ترین روش‌های کلاهبرداری که کاربران را هدف می‌گیرد

فیشینگ و سایت‌های جعلی

الگوی تکرارشونده این است: کاربر نام پلتفرم را جست‌وجو می‌کند، روی نتیجه‌ای کلیک می‌کند که در واقع تبلیغ است، و وارد صفحه‌ای می‌شود که ظاهرش مو نمی‌زند و فقط یک حرف دامنه‌اش فرق دارد. نام کاربری و رمز را وارد می‌کند و در همان لحظه کلید حسابش را تحویل داده است. نسخه پیامکی و ایمیلی همین سناریو هم رایج است: پیامی که می‌گوید حساب شما محدود شده و برای رفع محدودیت روی لینک بزنید.

مهندسی اجتماعی و وعده‌های سود

سناریوی دوم اصلاً سراغ رمز شما نمی‌آید؛ سراغ اعتماد یا طمع می‌آید. یک نفر با عنوان پشتیبانی در پیام‌رسان پیام می‌دهد و برای «حل مشکل» کد ورود می‌خواهد؛ یا فردی با نمایش سودهای چشمگیر شما را قانع می‌کند سرمایه را به حساب مدیریت‌شده او منتقل کنید. دو قاعده بدون استثنا: هیچ پشتیبان واقعی هرگز در پیام‌رسان سراغ شما نمی‌آید و هرگز رمز و کد نمی‌خواهد؛ و هر وعده سود قطعی، یک آگهی کلاهبرداری است.

جلوگیری از فیشینگ در توبیت؛ نشانه‌های نسخه اصلی

• آدرس رسمی را یک‌بار در بوکمارک ذخیره کنید و همیشه از همان وارد شوید؛ نه از جست‌وجو، نه از لینک پیامک و ایمیل، نه از لینکی که کسی فرستاده.
• پیش از وارد کردن رمز، دامنه را حرف‌به‌حرف نگاه کنید. جعل یعنی یک حرف کم و زیاد یا یک پسوند متفاوت؛ چشم انسان وقتی عجله دارد این تفاوت را نمی‌بیند.
• صفحه ورود واقعی هرگز چیزی بیشتر از اطلاعات ورود نمی‌خواهد. اگر وسط ورود، اطلاعات کارت بانکی یا کد برداشت خواسته شد، همان‌جا ببندید.
• اعلان‌های امنیتی را فقط از داخل پنل راستی‌آزمایی کنید؛ هر ایمیل نگران‌کننده‌ای گرفتید، به‌جای کلیک روی لینکش خودتان از مسیر ذخیره‌شده وارد شوید.

و یک ابزار مکمل که دقیقاً برای همین ساخته شده و کمتر استفاده می‌شود: کد ضدفیشینگ. عبارتی است که خودتان انتخاب می‌کنید و پس از آن، در همه ایمیل‌های رسمی همان عبارت می‌آید؛ یعنی هر ایمیلی که آن را نداشته باشد، جعلی است. برای کاربر محتاط، این ساده‌ترین و موثرترین سپر در برابر ایمیل‌های تقلبی است.

فعال کردن رمز دوعاملی در توبیت؛ آموزش قدم‌به‌قدم

راه‌اندازی تایید دومرحله‌ای

• یک اپلیکیشن تولید رمز یک‌بارمصرف روی گوشی نصب کنید. توصیه متعارف این صنعت استفاده از اپلیکیشن به‌جای پیامک است، چون در برابر سوءاستفاده از سیم‌کارت مقاوم‌تر است.
• در پنل، از بخش امنیت گزینه تایید دومرحله‌ای را انتخاب و فعال کنید .
• کد QR را اسکن و کد تولیدشده را وارد کنید. اگر کد پذیرفته نشد، ساعت گوشی را روی حالت خودکار بگذارید؛ این کدها به زمان دقیق وابسته‌اند و ساعت ناهماهنگ، گیج‌کننده‌ترین خطای این مرحله است.
• کدهای بازیابی را همان لحظه جایی امن و آفلاین یادداشت کنید؛ اگر روزی گوشی از دسترس خارج شد، همین کدها تنها راه برگشت شماست.

لیست سفید آدرس برداشت

لایه سوم، قفل کردن مقصد پول است: تعریف فهرست آدرس‌های مجاز برداشت، تا حتی در بدترین سناریو هم مهاجم نتواند دارایی را به آدرس خودش منتقل کند . اگر قصد نگهداری مبلغ قابل توجهی دارید، این تفاوت میان یک حساب هک‌شده و یک دارایی ازدست‌رفته است. برای دیدن این تنظیمات و بقیه امکانات همین حالا ببینید یا از صفحه امنیت حساب توبیت شروع کنید.

یک نکته درباره برداشت‌ها که بهتر است از قبل بدانید: در این پلتفرم، درخواست‌های برداشتی که سیستم آن‌ها را پرریسک تشخیص بدهد وارد فرایند بررسی می‌شوند و ممکن است تکمیل احراز هویت خواسته شود. این سازوکار برای حفاظت از خود شما طراحی شده؛ پس اگر روزی با آن مواجه شدید، به‌جای عجله و جست‌وجوی راه میان‌بر، مدارک را کامل کنید.

اگر حسابتان در خطر بود چه کنید

اقدام درست به یک پرسش بستگی دارد: آیا رمز یا کد را جایی وارد کرده‌اید یا نه.

• اگر فقط پیام مشکوک گرفته‌اید: هیچ لینکی را باز نکنید، از بوکمارک خودتان وارد حساب شوید و وضعیت را بررسی کنید. اگر تایید دومرحله‌ای فعال نیست، همان لحظه فعالش کنید.
• اگر رمز یا کد را وارد کرده‌اید: بلافاصله از یک دستگاه سالم رمز را عوض کنید، همه نشست‌های فعال را ببندید، رمز ایمیل حساب را هم عوض کنید چون مهاجم از مسیر بازیابی برمی‌گردد، و از کانال رسمی به پشتیبانی اطلاع بدهید و درخواست بررسی ثبت کنید.

در هر دو حالت، مستندات را نگه دارید: تصویر پیام‌ها، تراکنش‌ها و وضعیت پنل. این‌ها هم برای پیگیری پشتیبانی لازم است و هم در صورت وقوع کلاهبرداری، برای گزارش به پلیس فتا. و یک اصل که در همین لحظه‌های اضطراب بیشترین کاربرد را دارد: هرکس در پیام‌رسان پیشنهاد کمک فوری یا بازگرداندن دارایی داد، به احتمال زیاد قسمت دوم همان کلاهبرداری است.

سوالات متداول

رمز دوعاملی را از کجا فعال کنیم؟

از بخش امنیت در پنل کاربری؛ با نصب اپلیکیشن رمز یک‌بارمصرف، اسکن کد و وارد کردن کد تایید، در چند دقیقه فعال می‌شود. این کار را به فردا موکول نکنید؛ کل هزینه‌اش چند دقیقه است و فایده‌اش این است که حتی با لو رفتن رمز، در بسته می‌ماند. و اگر کد پذیرفته نشد، پیش از هر کاری ساعت گوشی را روی حالت خودکار بگذارید.

از کجا بفهمیم سایت جعلی است؟

سه نشانه پرتکرار: دامنه‌ای که حرف‌به‌حرف با آدرس رسمی یکی نیست؛ ورودی که از لینک پیامک یا تبلیغ شروع شده نه از بوکمارک خودتان؛ و صفحه‌ای که وسط ورود چیزی فراتر از اطلاعات ورود می‌خواهد. اگر کد ضدفیشینگ را فعال کرده باشید، نشانه چهارمی هم دارید: نبود آن عبارت در ایمیل، یعنی ایمیل جعلی است.

اگر حساب هک شد اولین اقدام چیست؟

تغییر فوری رمز از یک دستگاه سالم و بستن همه نشست‌های فعال؛ بلافاصله بعد، اطلاع به پشتیبانی رسمی برای بررسی و در صورت امکان توقف برداشت‌ها، و سپس قفل کردن ایمیل حساب. مستندات را از همان ابتدا نگه دارید. و در آن لحظه‌ها به هیچ پیام و پیشنهاد کمکی در پیام‌رسان‌ها اعتماد نکنید؛ مسیر نجات فقط از کانال رسمی می‌گذرد.