Myśleli, że rozmawiają z Apple: 195 000 $ w kryptowalutach zniknęło w Singapurze

Nagle pojawiające się okno, telefon i portfel się opróżnia. Singapurska policja wydała publiczne ostrzeżenie dotyczące oszustwa, które podszywa się pod Apple, aby wyłudzić kryptowaluty. Co najmniej pięć ofiar, ponad 195 000 dolarów singapurskich zniknęło w powietrzu (prawie 130 000 euro), a sposób działania nie wymaga żadnych technicznych umiejętności: dobrze umieszczone powiadomienie, uspokajający głos w telefonie, kod składający się z sześciu cyfr wydobyty w odpowiednim momencie.

W komunikacie singapurskiej policji wymieniono dwie domeny używane przez oszustów: << chat-apple.com >> oraz << case-apple.com >>, a także powtarzający się numer kierunkowy: << +1 >>, ten z Ameryki Północnej.

Kluczowe punkty {#h-punkty-kluczowe}

• Co najmniej pięć ofiar w Singapurze i ponad 195 000 dolarów singapurskich w kryptowalutach skradzionych poprzez podszywanie się pod wsparcie Apple
• Scenariusz łączy fałszywe powiadomienie o bezpieczeństwie, telefon z numerem kierunkowym << +1 >> oraz fałszywe strony << chat-apple.com >> i << case-apple.com >>
• Skompromitowane Apple ID daje dostęp do iCloud Keychain i notatek, gdzie wielu przechowuje nieostrożnie swoją frazę seed
• Passkeys, biała lista adresów wypłat i offline'owe przechowywanie kluczy przerywają łańcuch przed przelewem

Powiadomienie, telefon i mechanika się zamyka {#h-powiadomienie-telefon-i-mechanika-sie-zamyka}

Wszystko zaczyna się od niespodziewanego powiadomienia na urządzeniu Apple ofiary: nieautoryzowane próby dostępu miały na celu jej konto, należy jak najszybciej zmienić hasło do Apple ID. Chwilę później telefon dzwoni. Po drugiej stronie linii, rzekomy technik wsparcia Apple potwierdza złe wieści i przejmuje kontrolę nad rozmową.

Ofiara jest następnie kierowana do jednej z fałszywych stron wsparcia, gdzie proszą ją o dane logowania do Apple, dane jej konta kryptowalutowego, a następnie o słynne OTP (One-Time Passwords, te jednorazowe kody mające na celu zatwierdzenie każdej wrażliwej operacji). Z tym kompletem danych, oszuści logują się do powiązanych kont handlowych lub portfeli i transferują fundusze w ciągu kilku minut. Większość ofiar zrozumiała, co się stało, dopiero odkrywając historię transakcji wychodzących.

Szczegół dotyczący numeru kierunkowego << +1 >> nie jest przypadkowy. W Singapurze wszystkie połączenia przychodzące z zagranicy są oznaczane przez << + >> wyświetlane przed numerem, co jest środkiem nałożonym na operatorów, aby zapobiegać tego typu podszywaniu się. Zabezpieczenie, które ma małe znaczenie, gdy ekran właśnie wyświetlił powiadomienie o bezpieczeństwie, a rozmówca mówi językiem wsparcia technicznego.

<< Apple nigdy nie poprosi o podanie hasła Apple ID, kodów jednorazowych ani żadnych innych danych logowania za pośrednictwem niezamówionych połączeń telefonicznych, okienek pop-up lub linków. Nigdy nie ujawniaj tych informacji nikomu. >>

Departament Spraw Publicznych, Singapurska Policja -- Źródło

Apple ID, ten klucz, na który oszuści polują {#h-apple-id-ten-klucz-na-ktory-oszusci-polują}

W tej sprawie nie złamano żadnej linii kodu blockchain. Napastnicy celują w wcześniejszy poziom: konto użytkownika i jego właściciela. Skompromitowane Apple ID otwiera dostęp do iCloud Keychain, synchronizowanych notatek i biblioteki zdjęć. A to właśnie tam wielu inwestorów przechowuje, dla wygody, zrzut ekranu swojej frazy seed lub notatkę zawierającą ich dwanaście słów. Gdy identyfikator Apple upadnie, portfel poddaje się bez oporu.

Reste la couche OTP, dernier verrou avant le retrait. Elle ne cède pas à une attaque informatique, mais à une conversation téléphonique bien menée : la victime dicte elle-même le code qui autorise le virement. Et contrairement à une fraude à la carte bancaire, aucune procédure de rétrofacturation ne viendra rattraper l'erreur. Un transfert confirmé on-chain est définitif, ce qui fait de ces comptes une cible autrement plus rentable qu'un compte courant.

Singapour n'en est pas à sa première alerte. La cité-État avait recensé plus de 51 000 cas d'escroquerie sur la seule année 2024, pour environ 1,1 milliard de dollars singapouriens dérobés, un record. Le Parlement y a répondu avec le Protection from Scams Act, qui autorise la police à geler temporairement les opérations bancaires d'une personne jugée sous emprise. Un outil efficace face à un virement bancaire, nettement moins face à un retrait crypto exécuté depuis une plateforme domiciliée à l'autre bout du monde.

ADD, CHECK, TELL : Les recommandations de la police

La police singapourienne décline ses recommandations en trois temps, résumés par l'acronyme ACT :

• ADD : installer l'application gouvernementale ScamShield pour bloquer les appels frauduleux, activer l'authentification à deux facteurs sur l'Apple ID et sur tous les comptes crypto, plafonner les montants de transaction quand l'option existe.
• CHECK : vérifier la légitimité de tout appel, fenêtre surgissante ou lien auprès des canaux officiels d'Apple, et contrôler l'activité de son wallet via l'application du prestataire, jamais via un lien reçu.
• TELL : prévenir son fournisseur de services crypto, ses proches et la police, via la ligne 1800-255-0000 ou le portail iWitness.

Quelques réglages supplémentaires ferment la porte encore plus tôt. Remplacer l'OTP par SMS par une clé d'accès (passkey ) ou une clé de sécurité physique retire aux escrocs l'objet même de leur appel, puisqu'il n'y a plus de code à dicter. Activer la liste blanche d'adresses de retrait sur son exchange, avec le délai de carence de 24 à 48 heures appliqué après tout ajout ou toute connexion depuis un nouvel appareil, laisse le temps de réagir. Et une seed phrase n'a rien à faire dans un cloud, une note ou une photo : sa place reste un support hors ligne, idéalement un hardware wallet.

Un point de repère suffit souvent à tout arrêter : l'assistance Apple ne vit que sur apple.com et support.apple.com, et elle n'appelle jamais la première pour réclamer un identifiant. << chat-apple.com >> et << case-apple.com >> n'ont jamais appartenu à la firme de Cupertino. En cas de doute, la ligne ScamShield 1799 répond 24 heures sur 24, et le portail scamshield.gov.sg recense les variantes en circulation.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.