500 dollarin valmispaketti tekee kenestä tahansa sijoitushuijarin
Osaamiskynnys on poistunut. Ammattimaisen näköinen kryptohuijaussivusto myydään nyt valmiina tuotteena, ja se osaa hakea uhrin oman profiilikuvan näyttääkseen henkilökohtaiselta.
Tiivistelmä
Malwarebytesin tutkijat löysivät rikollispalstalta 500 dollarin hintaisen valmispaketin, joka rakentaa Teslan nimellä esiintyvän valeennakkomyynnin. Sivusto noutaa uhrin X-profiilikuvan, laskee hänelle kuvitteellisen token-osuuden ja pyytää lopuksi lompakon 12 sanan palautuslausetta. Paketti toimii usealla kielellä, joten suomenkielinen toteutus ei vaatisi ostajalta lisätyötä.
Viisisataa dollaria, noin 430 euroa. Sillä hinnalla saa valmiin sijoitushuijauksen, joka ei vaadi ostajalta riviä koodia eikä omaa palvelinta.
Malwarebytes löysi tuotteen 16. toukokuuta rikollisten keskustelupalstalta ja julkaisi havainnot 10. elokuuta. Tutkimustiimi kertoo, että myyjä on liikkunut rikollisverkostoissa maaliskuusta asti nimimerkillä xrep ja kerännyt asiakaspalautetta ja mainetta samaan tapaan kuin tavallinen verkkokauppias. Erikoisalana ovat valmisratkaisut, jotka liittyvät X-palveluun.
– Ostaja ei tarvitse omaa infrastruktuuria, omia työkaluja eikä käytännössä lainkaan teknistä osaamista, Malwarebytes kirjoittaa tutkimusraportissaan.
Rikollisen ei siis tarvitse enää osata mitään. Riittää, että hän maksaa.
Sivusto, joka tietää uhrin kasvot
Paketti on valmis verkkosivusto, joka esiintyy Teslan nimellä ja logolla. Myynnissä on muka rajattu $TSLA-tokenin ennakkomyynti, johon pääsevät vain X:n käyttäjät. Sivusto toimii usealla kielellä ja on viritetty yhtä hyvin puhelimelle kuin työpöydälle.
Ovi avataan valheellisella kelpoisuustarkistuksella. Vierailija syöttää X-tunnuksensa, minkä jälkeen sivu noutaa hänen oikean profiilikuvansa ja laskee valmiiksi kuvitteellisen token-osuuden. Uhri uskoo tulleensa henkilökohtaisesti valituksi.
Päälle ladataan kiirettä. Keräyspalkki nousee koko ajan, kello käy kohti nollaa ja sivu varoittaa hinnan olevan nousemassa. Kokonaisuus on rakennettu niin, että uhri ehtii toimia ennen kuin ehtii ajatella.
Rahat viedään kahdella tavalla.
Ensimmäinen on palautuslauseen kalastelu. Uhrille tarjotaan 15 prosentin bonusta siitä, että hän liittää kryptolompakkonsa sivustoon.
Aitoa lompakkoyhteyttä ei kuitenkaan muodosteta, vaan kenttään pyydetään kirjoittamaan lompakon 12 sanan palautuslause. Sen jälkeen lompakko on kokonaan hyökkääjän hallussa.
Toinen on suora maksu. Valelompakkovaiheen jälkeen uhri päätyy uskottavan näköiseen omaan hallintanäkymään, jossa näkyy keksitty token-saldo. Sieltä häntä kannustetaan ostamaan lisää, ja maksu pyydetään käsin bitcoinina, etherinä, USDT:nä tai dogecoinina osoitteeseen, jonka rikollinen omistaa.
Palautuslause (seed phrase)
Kryptolompakon 12 tai 24 sanan palautuslause on lompakon pääavain. Sillä lompakko voidaan luoda uudelleen millä tahansa laitteella missä tahansa maassa. Kuka tahansa sanat saa, voi tyhjentää lompakon ilman salasanaa ja ilman tunnistautumista.
Suomenkielinen versio ei maksaisi ostajalle mitään
Paketin monikielisyys on se ominaisuus, joka tekee siitä suomalaisen lukijan asian. Kielivalikoiman lisääminen ei vaadi ostajalta työtä, joten kömpelö käännös ei enää kerro huijauksesta oikeastaan mitään. Tästä paketista ei ole toistaiseksi raportoitu suomenkielistä toteutusta, mutta kysymys on lähinnä ajoituksesta.
Ennen kuin rahaa siirtää mihinkään, kannattaa käydä Finanssivalvonnan sivuilla. Valvoja ylläpitää julkista varoituslistaa palveluntarjoajista, joilla ei ole tarvittavaa toimilupaa, ja listan selaaminen on nopein yksittäinen tarkistus koko sijoituspäätöksessä. Finanssivalvonta käsittelee sijoitushuijauksia myös kuluttajansuoja-asiana ja kertoo niistä sivuillaan.
Tunnistusmerkit
Teslan tilalle voi vaihtaa minkä tahansa muun nimen. Seuraavat merkit pysyvät silti paikoillaan.
- Ennakkomyynti, johon sinut on muka valittu.
- Sivu tuntee profiilikuvasi. Kohdennus on halpaa eikä todista mitään.
- Laskuri ja nouseva keräyspalkki samassa näkymässä.
- Bonus, joka on sidottu lompakon liittämiseen.
- Mikä tahansa palautuslauseen kysyminen.
- Saldo, joka näkyy vain kyseisellä sivulla eikä missään muualla.
Sääntö on ihan yksinkertainen. Palautuslausetta ei kirjoiteta verkkosivulle koskaan. Yksikään aito palvelu ei sitä kysy, ja syyt on käyty läpi oppaassa kryptolompakon suojaaminen palautuslauseella.
Mitä tehdä
- Tarkista palveluntarjoaja Finanssivalvonnan varoituslistalta ennen kuin sijoitat euroakaan.
- Jos olet syöttänyt palautuslauseen jollekin sivustolle, siirrä varat uuteen lompakkoon heti. Vanhaa ei saa enää turvattua.
- Tee rikosilmoitus poliisi.fi-palvelussa. Kryptomaksuja on vaikea jäljittää, mutta ilmoitus on ainoa reitti tutkintaan.
- Rikosuhripäivystys 116 006 tarjoaa tukea, jos rahamenetys on iso.
Sijoitustarjouksen yleiset varoitusmerkit on koottu oppaaseen miten tunnistan sijoitushuijauksen, ja kryptopuoli erikseen oppaaseen kryptohuijaukset ja niiltä suojautuminen.
Valmispaketti ei tee huijauksesta vaarallisempaa vaan yleisempää. Seuraavia valeennakkomyyntejä pyörittävät ihmiset, jotka eivät itse olisi osanneet rakentaa niitä. Jää nähtäväksi, kuinka pian sama malli siirtyy Teslasta muihin tunnettuihin nimiin.