Cinq moments pour vérifier un contact WEEX avant d’agir

Presque personne ne perd son compte à un moment qui semblait dangereux. Cela arrive à un moment qui semblait banal : cliquer pour se connecter, répondre à un message utilisant le bon logo, ou installer une application dont quelqu’un a aimablement envoyé le lien.

Voilà l’idée utile, et elle renvoie à une habitude plutôt qu’à une base de connaissances. Vous n’avez pas besoin d’apprendre tous les modèles d’arnaque qui circulent. Vous devez reconnaître les quelques moments de votre propre session où une vérification est simple, mais où l’ignorer peut avoir de lourdes conséquences.

Les voici. WEEX publie un outil de vérification des contacts qui permet de tous les contrôler en à peu près le temps nécessaire pour lire cette phrase.

Déclencheur un : vous êtes arrivé via un lien

Chaque fois que vous atteignez une page de connexion en cliquant plutôt qu’en saisissant l’adresse, vous faites confiance à la personne qui a envoyé le lien.

C’est là que les domaines similaires interviennent. Un site cloné peut reproduire exactement la mise en page, le logo, les polices et la fenêtre de connexion : l’inspection visuelle ne vous apprend rien, puisque le design peut être copié pixel par pixel. Ce qui ne peut pas être copié, c’est le domaine lui-même ; c’est donc la seule chose qui mérite d’être lue.

Les attaquants enregistrent des domaines qui ne diffèrent du vrai que par un caractère, un mot supplémentaire, un tiret ou une terminaison différente. Sous la pression du temps, aucune de ces différences ne se remarque visuellement.

L’habitude qui supprime définitivement ce déclencheur : ajoutez le site aux favoris une seule fois et n’y accédez que par ce favori. Une publicité dans les résultats de recherche, un message sur un forum ou un message d’un inconnu ne peut pas vous rediriger via votre favori.

Déclencheur deux : quelqu’un vous a contacté en premier

Un contact entrant prétendant venir de WEEX est le déclencheur le plus important de cette liste, car le sens du contact est lui-même un signal.

Le support WEEX répond aux tickets ouverts par les utilisateurs. Les administrateurs des canaux officiels n’écrivent pas aux utilisateurs en privé et ne les appellent pas. La question n’est donc pas de savoir si le compte semble convaincant : copier un avatar et un nom d’affichage correspondant ne coûte rien. La question est de savoir pourquoi ils vous ont contacté.

Quel que soit le prétexte — compte signalé pour examen, solde gelé, vérification à refaire ou récompense à réclamer — considérez par défaut tout contact entrant comme non vérifié et contrôlez l’identifiant avant de répondre. Collez le pseudo, l’adresse e-mail ou le numéro de téléphone dans l’outil de vérification. Il couvre les sites web, les adresses e-mail, les numéros de téléphone, les Telegram ID et les comptes sociaux.

Une règle ne souffre aucune exception : aucun représentant légitime de WEEX ne vous demandera de transférer des fonds ou des actifs numériques à lui-même ou à un tiers.

Déclencheur trois : vous êtes sur le point d’installer quelque chose

Une application implique une autorisation de confiance plus large qu’une page web. Elle voit ce que vous saisissez.

Les versions non officielles circulent dans les discussions de groupe, via des liens de forum et des pages de téléchargement qui copient la vraie page. Une fois installées, elles récupèrent les identifiants et les codes d’authentification à l’intérieur de votre appareil, là où aucune précaution du côté du site ne peut vous aider.

Installez uniquement depuis la page de téléchargement officielle de WEEX et les fiches des boutiques d’applications qui y sont indiquées. Si quelqu’un vous envoie directement un installateur, ce n’est pas un raccourci : c’est l’attaque tout entière.

Déclencheur quatre : une invite demande un code

Toute demande de code à usage unique, de code d’authentificateur, de mot de passe ou de phrase de récupération mérite un arrêt immédiat.

Ce sont les identifiants qui permettent de finaliser la prise de contrôle d’un compte, raison pour laquelle l’ingénierie sociale cherche à les extraire. Un véritable agent du support n’en a pas besoin. La page ou la personne qui les demande est soit un site d’hameçonnage qui vole le code en temps réel, soit quelqu’un au téléphone qui le saisit dans le véritable formulaire de connexion pendant que vous lui parlez.

Il en va de même pour le partage d’écran et l’accès à distance. Quelqu’un qui peut voir votre écran pendant votre authentification n’a pas besoin de votre mot de passe.

Déclencheur cinq : le message crée un sentiment d’urgence

L’urgence est l’élément central de presque tous les scénarios d’ingénierie sociale, car la réflexion est précisément ce qui les fait échouer.

« Votre compte sera gelé dans une heure. » « Activité suspecte détectée — confirmez maintenant. » « L’offre se termine aujourd’hui. » Le contenu varie, mais la fonction reste la même. Chaque message vise à vous faire passer de la vérification à l’action.

Considérez la pression temporelle artificielle comme le déclencheur lui-même. Un véritable problème de compte ne disparaît pas parce que vous avez consacré trente secondes à confirmer l’identité de votre interlocuteur. Si un message affirme le contraire, cette insistance est la preuve.

À quoi ressemble une vérification correcte

La méthode compte, car une vérification effectuée de la mauvaise manière procure un faux sentiment de sécurité.

1. N’utilisez pas le lien du message. Saisissez vous-même weex.com/official-verification dans la barre d’adresse ou accédez-y depuis votre propre favori. Une page de vérification ouverte par un clic n’est pas une page de vérification.
2. Copiez l’identifiant exactement — l’URL complète, l’adresse e-mail complète ou le pseudo avec son préfixe.
3. Sélectionnez le bon type d’identifiant et lisez le résultat.
4. Si le résultat n’indique pas qu’il est officiel, arrêtez-vous. Ne répondez pas, ne cliquez pas et n’installez rien. Signalez-le à [email protected] et bloquez-le.

WEEX publie également la liste complète de ses comptes officiels sur les réseaux sociaux et dans les communautés, y compris les comptes régionaux distincts, dans l’annuaire de la communauté. Il est particulièrement utile de le savoir, car les groupes régionaux inventés constituent une faille fréquente : un canal « WEEX [pays] officiel » qui n’y figure pas n’est pas WEEX.

L’habitude à conserver

Cinq déclencheurs, une réponse. Vous êtes arrivé via un lien, quelqu’un vous a contacté en premier, vous allez installer quelque chose, une invite demande un code ou le message vous presse : vérifiez avant d’agir.

Rien de tout cela ne demande une expertise. Il faut simplement remarquer le moment, raison pour laquelle la liste est assez courte pour être mémorisée.

FAQ

1. WEEX contacte-t-il parfois les utilisateurs en premier ?

Non. Le support WEEX répond aux tickets que vous ouvrez. Les administrateurs des canaux officiels ne contactent pas les utilisateurs en privé et ne vous demanderont jamais de leur transférer des fonds ou des actifs numériques, à eux ou à un tiers. Tout contact entrant doit être vérifié avant que vous y répondiez.

2. Comment vérifier si un site ou un compte est officiel ?

Saisissez vous-même weex.com/official-verification dans votre navigateur et collez le site web, l’adresse e-mail, le numéro de téléphone, le Telegram ID ou le pseudo social. N’accédez jamais à la page de vérification via un lien contenu dans le message que vous essayez de vérifier.

3. Le site ressemble exactement à WEEX. Est-ce suffisant ?

Non. La mise en page, le logo et le design de connexion peuvent tous être copiés avec précision ; la ressemblance visuelle n’apporte donc aucune information. Lisez le domaine dans la barre d’adresse caractère par caractère ou utilisez l’outil de vérification.

4. Où puis-je télécharger l’application WEEX en toute sécurité ?

Uniquement sur weex.com/download et dans les boutiques d’applications qui y sont indiquées. Les installateurs partagés dans des groupes de discussion ou provenant de pages de téléchargement atteintes via un lien sont le moyen le plus courant de diffuser des versions qui volent les identifiants.

5. Quelqu’un prétendant être WEEX m’a demandé le code de mon authentificateur. Que faire ?

Ne le communiquez pas et mettez fin à la conversation. Aucun représentant légitime n’a besoin d’un code à usage unique, d’un code d’authentification, d’un mot de passe ou d’une phrase de récupération. Si vous en avez déjà partagé un, changez votre mot de passe depuis un appareil sain, réinitialisez l’authentification à deux facteurs et contactez immédiatement le support par les canaux officiels.

6. Comment savoir si un groupe communautaire régional est authentique ?

Comparez-le à l’annuaire officiel de la communauté sur weex.com/community, qui répertorie les comptes vérifiés pour chaque langue et chaque région. Un groupe régional qui n’y figure pas n’est pas un canal officiel de WEEX.

Avertissement sur les risques

Les crypto-actifs sont très volatils et leur négociation peut entraîner une perte partielle ou totale du capital. Rien dans ce document ne constitue un conseil en investissement, juridique ou fiscal. Les transactions blockchain sont irréversibles : les fonds envoyés à un escroc ou déplacés par une autorisation de portefeuille que vous avez signée ne peuvent généralement être récupérés ni par WEEX, ni par les forces de l’ordre, ni par un service de récupération. Les outils de vérification réduisent le risque d’interagir avec un usurpateur, mais ne peuvent pas éliminer le risque lié à la sécurité du compte — un code d’authentification divulgué, un mot de passe réutilisé, une version non officielle de l’application ou une API key disposant de droits de retrait peuvent chacun suffire à faire perdre un compte, quels que soient les contrôles de la plateforme. Le WEEX Protection Fund ne couvre pas les pertes de trading, les transactions que vous avez été trompé à autoriser ni les pertes résultant d’une fraude ou d’un abus de la plateforme. Il vous incombe de vous assurer que votre utilisation des services WEEX respecte les lois de votre juridiction.