شب است و برداشت شما از یک صرافی گیر کرده. در یک گروه عمومی می‌نویسید: «چند ساعت است منتظرم، کسی می‌داند چه شده؟» چند دقیقه بعد پیام خصوصی می‌رسد: «سلام، من از تیم پشتیبانی هستم. مشکل شما را دیدم، همین الان حلش می‌کنیم.»
این لحظه دقیقاً همان است که کلاهبردار منتظرش بود. او شما را پیدا نکرده؛ شکایت عمومی شما را پیدا کرده است. در این نوشته می‌بینیم پشتیبان جعلی چطور کار می‌کند، با چه نشانه‌هایی لو می‌رود و اگر چیزی را داده‌اید، دقایق اول چه کنید.
پشتیبان جعلی از کجا می‌آید؟
مسیرهای رایج این‌هاست:
- گروه‌ها و زیر پست‌ها. کسی که مشکلی را علنی می‌نویسد، پاسخ «پشتیبانی» می‌گیرد؛ گاهی از حسابی که نام و تصویرش به حساب رسمی شبیه است.
- پیام خصوصی. MetaMask در راهنمایش می‌گوید خودش هرگز با پیام خصوصی پیشنهاد کمک نمی‌دهد و گروه‌هایی که ادعای رسمی بودن دارند، «در بهترین حالت طرفدارباز» هستند و در بدترین حالت مهندسی اجتماعی.
- شماره و ایمیل جعلی. FTC و IC3 هشدار می‌دهند که شماره‌ی «پشتیبانی» ممکن است از تبلیغ یا نتیجه‌ی جست‌وجوی جعلی بیاید. FTC توصیه می‌کند فقط با شماره‌ای تماس بگیرید که خودتان از منبع معتبر می‌دانید.
- برنامه‌ی کنترل از راه دور. FTC و IC3 این الگو را شرح می‌دهند: از شما می‌خواهند برنامه‌ای نصب کنید تا «رایانه را بررسی کنند»؛ بعد به حساب‌ها و فایل‌ها دسترسی دارند.
- سایت «تأیید کیف‌پول». صفحه‌ای که ظاهرش شبیه کیف‌پول یا صرافی است و برای «رفع مشکل» عبارت بازیابی (seed phrase) می‌خواهد. هر سایتی که seed بخواهد، جعلی است.
- تیکت واقعی، تماس جعلی. Ledger الگویی را شرح می‌دهد که در آن مهاجم با ایمیل قربانی تیکت واقعی باز می‌کند تا پیام تأیید خودکار برسد و بعد تماس می‌گیرد و می‌گوید حساب شما در خطر است. پیام تأیید واقعی است؛ تماس واقعی نیست.
پنج نشانه
۱. اول او به شما پیام داده. پشتیبانی واقعی معمولاً پاسخ تیکت یا گفت‌وگویی را می‌دهد که خودتان از مسیر رسمی شروع کرده‌اید. MetaMask می‌گوید با پیام خصوصی سراغ کسی نمی‌رود و شماره‌ی تلفن ندارد. Ledger می‌گوید با پیامک، واتساپ، تلگرام یا تماس تلفنی با کاربران ارتباط نمی‌گیرد.
۲. شما را به بیرون از کانال رسمی می‌برد. «بیا پیام خصوصی»، «به این گروه تلگرام بیا»، «این شماره را بگیر»، «این سایت را باز کن». مسیر درست یکی است: برنامه‌ی رسمی یا سایتی که خودتان از نشانک باز می‌کنید.
۳. فشار زمانی می‌گذارد. «حسابت تا یک ساعت دیگر بسته می‌شود»، «فقط الان می‌توان پول را نجات داد». IC3 می‌گوید هدف فشار این است که فرصت فکر کردن را بگیرد. اگر مهلتی ساعتی است، دقیقاً همان‌جا مکث کنید.
۴. چیزی می‌خواهد که پشتیبان واقعی نمی‌خواهد. عبارت بازیابی، کلید خصوصی، رمز، کد 2FA، یا اجازه‌ی دیدن صفحه‌ی شما. MetaMask و Ledger هر دو صریح‌اند: هر کس seed بخواهد کلاهبردار است. Coinbase هم می‌گوید رمز و کد 2FA نمی‌خواهد و درخواست انتقال به آدرس جدید نمی‌کند.
۵. می‌خواهد برنامه نصب کنید یا پول را جابه‌جا کنید. «برنامه‌ی کمکی را نصب کن»، «صفحه‌ات را به اشتراک بگذار»، «پول را موقتاً به این کیف امن بفرست». FTC می‌گوید شرکت‌های معتبر درخواست دسترسی از راه دور نمی‌کنند و هر کس بخواهد برای «حفظ پول» آن را جابه‌جا کنید، کلاهبردار است.
یک نشانه ممکن است نادرست آلارم بدهد. اما وقتی دو یا سه تا با هم می‌آیند، نیازی به «اثبات» نیست: ارتباط را قطع کنید.
امروز متن بی‌غلط، لحن مؤدب و پاسخ سریع نشانه‌ی سلامت نیست. ابزارهای هوش مصنوعی هم می‌توانند ساعت‌ها صبورانه و درست جواب بدهند. معیار لحن نیست؛ درخواست آخر است.
یک گفت‌وگوی ساختگی
این متن برای آموزش ساخته شده و از هیچ پرونده‌ی واقعی نیست.
مهاجم: سلام. من از واحد امنیت «صرافی نمونه» هستم. پست شما را دیدم؛ حساب شما برای بررسی علامت خورده.
شما: برداشتم گیر کرده. چه باید بکنم؟
مهاجم: مشکل جدی است. تا ۳۰ دقیقه دیگر دارایی شما مسدود می‌شود. باید هویت کیف‌پول تأیید شود.
شما: از کجا؟
مهاجم: این پیوند «تأیید کیف‌پول» را باز کنید و کلمه‌های بازیابی را وارد کنید. اگر نمی‌توانید، برنامه‌ی کمکی نصب کنید تا خودم انجام دهم. لطفاً کد پیامکی را هم بفرستید.
در این چند سطر هر پنج نشانه هست: او شروع کرده، از گروه به پیام خصوصی و پیوند برده، مهلت گذاشته، seed و کد خواسته و نصب برنامه پیشنهاد کرده. پاسخ درست یک جمله است: جواب ندهید، گفت‌وگو را گزارش دهید و از برنامه‌ی رسمی وارد حساب شوید.
پشتیبانی واقعی هرگز این‌ها را نمی‌خواهد
- عبارت بازیابی (seed) یا کلید خصوصی. Ledger می‌گوید کلمه‌ها را فقط روی خود دستگاه وارد می‌کنید، نه هیچ سایت یا برنامه‌ای.
- رمز عبور یا کد 2FA.
- نصب برنامه‌ی کنترل از راه دور یا اشتراک صفحه.
- انتقال پول به «حساب امن» یا آدرسی که او می‌دهد.
- هزینه‌ی پیش‌پرداخت برای «بازگرداندن» دارایی. «سرویس بازیابی» که پول پیش می‌خواهد، معمولاً کلاهبرداری دوم است.
اگر چیزی را داده‌اید: دقایق اول
خجالت لازم نیست؛ این کلاهبرداری برای فریب افراد باهوش هم طراحی شده است. مهم سرعت و تشخیص این است که چه چیزی داده شده.
- seed یا کلید خصوصی داده‌اید: آن کیف‌پول دیگر امن نیست و لغو مجوز (revoke) کافی نیست. روی دستگاه سالم یک کیف‌پول تازه با seed جدید بسازید و دارایی‌ها را به ترتیب «بیشترین ارزش، ساده‌ترین انتقال» به آن منتقل کنید. اگر کوین کارمزد را فوراً برمی‌دارند، همان‌جا متوقف شوید.
- رمز یا کد 2FA داده‌اید: از برنامه‌ی رسمی همان سرویس رمز را عوض کنید، نشست‌های فعال را ببندید و 2FA را دوباره تنظیم کنید. از مسیر رسمی به سرویس خبر بدهید. Coinbase هم می‌گوید در این حالت سریع از مسیر رسمی گزارش دهید.
- برنامه‌ی کنترل از راه دور نصب کرده‌اید: اتصال اینترنت را قطع کنید، برنامه را حذف کنید و از دستگاه دیگری رمزها را عوض کنید. اگر کیف‌پول روی همان دستگاه بود، آن را آلوده فرض کنید. FTC هم تغییر فوری رمزها و بررسی دستگاه را توصیه می‌کند.
- پولی فرستاده‌اید: تراکنش زنجیره‌ای برگشت‌پذیر نیست، ولی بلافاصله به صرافی مقصد (اگر آدرس مال صرافی است) و مرجع رسمی جرایم سایبری کشور خودتان گزارش دهید. در گزارش، نشانی‌ها، شناسه‌ی تراکنش، تصویر گفت‌وگو و پیوندها را نگه دارید؛ IC3 هم همین را می‌خواهد.
بعد از یک کلاهبرداری، معمولاً کسان دیگری هم پیدا می‌شوند که قول می‌دهند پول را برگردانند. به آن‌ها جواب ندهید.
خلاصه
- کلاهبردار پشتیبان‌نما شکایت علنی شما را شکار می‌کند، نه خود شما را.
- پنج نشانه: او شروع کرده، از کانال رسمی بیرون می‌برد، فشار زمانی می‌گذارد، چیز ممنوعه می‌خواهد، نصب برنامه یا جابه‌جایی پول می‌خواهد.
- پشتیبانی واقعی هرگز seed، کلید خصوصی، رمز، کد 2FA یا اشتراک صفحه نمی‌خواهد.
- لحن مؤدب و متن بی‌غلط معیار نیست؛ درخواست آخر معیار است.
- اگر چیزی را داده‌اید، اول تشخیص دهید چه بوده، بعد سریع و از دستگاه سالم اقدام کنید.
گام بعد
چک‌لیست تشخیص توکن و سایت جعلی جدول نشانه‌ها و کارهای فوری را در یک صفحه جمع کرده است؛ آن را بگیرید و کنار دستتان نگه دارید. موضوع پشتیبان جعلی و رفتار امن در برابر پیام و تماس مشکوک در G4 کاربر امن کریپتو تمرین می‌شود. برای خبر شدن از انتشار، ثبت‌نام فهرست انتظار.
منابع
- FTC Consumer Advice — How To Spot, Avoid, and Report Tech Support Scams — https://consumer.ftc.gov/articles/how-spot-avoid-and-report-tech-support-scams
- FBI IC3 — Tech/Customer Support and Government Impersonation — https://www.ic3.gov/crimeinfo/techsupportgovimpersonation
- MetaMask Support — MetaMask’s official support channels — https://support.metamask.io/stay-safe/safety-in-web3/what-are-metamasks-official-support-channels/
- Ledger — Ongoing phishing campaigns — https://www.ledger.com/phishing-campaigns-status
- Coinbase Help — Technical support and impersonation scams — https://help.coinbase.com/en/coinbase/privacy-and-security/avoid-scams/tech-support-scams
آخرین بازبینی دقت: ۱۴۰۵/۰۸/۰۶