Osoba z dopasowania wysyła link do instalacji aplikacji poza sklepem

Dlaczego link do instalacji spoza sklepu jest sygnałem stopu

Gdy osoba z dopasowania prosi o zainstalowanie pliku, zamiast wskazać ofertę w sklepie, którą możesz sprawdzić, prośba jest niezweryfikowana. FTC zauważa, że wiadomości phishingowe próbują uzyskać poufne informacje o koncie lub finansach, i zaleca kontaktowanie się z dostawcą przez witrynę lub numer telefonu, które znasz niezależnie, a nie przez podejrzaną wiadomość. Zastosowanie tutaj: nie używaj żadnego linku z wiadomości; sam znajdź sklep. Odmowa przyjęcia pliku to krok bezpieczeństwa, a nie oskarżenie osoby. [FTC: Jak rozpoznawać i unikać oszustw phishingowych]

• Nie dotykaj, nie pobieraj, nie instaluj metodą sideloadingu ani nie instaluj wysłanego pliku.
• Zrób zrzut ekranu wiadomości, a potem na razie zamknij wątek.
• Zapisz tylko rzekomą nazwę aplikacji i podany cel.

Zweryfikuj aplikację przez jej oficjalny sklep

Otwórz sklep bezpośrednio, zamiast podążać za przesłanym linkiem, a następnie wyszukaj dokładną nazwę aplikacji. Porównaj nazwę dewelopera, opis oferty i podany cel z tym, co obiecywała wiadomość. Prawdziwa oferta opisuje aplikację; nie potwierdza nadawcy ani nie czyni pliku spoza sklepu akceptowalnym. Jeśli aplikacji nie ma w ofercie, wysłany plik pozostaje odrzucony. Jeśli oferta istnieje, ale jej cel się różni, wysłany plik nadal pozostaje odrzucony. To sprawdzenie dotyczy wyłącznie twierdzenia o aplikacji.

• Sam wpisz nazwę aplikacji w pasek wyszukiwania sklepu.
• Porównaj nazwę dewelopera, ikonę i opis z wiadomością.
• Jeśli aplikacji brakuje lub cel się różni, odrzuć plik.

Sprawdzanie jednej wąskiej publicznej wskazówki w profilu

Ogranicz sprawdzenie do jednego twierdzenia widocznego w publicznym profilu: czy rzekoma nazwa aplikacji występuje w publicznym opisie profilu. Nie podążaj za linkami z profilu, nie proś o hasła ani udostępnianie ekranu i nie szukaj prywatnego dostępu. Zgodna nazwa w opisie profilu pokazuje tylko, że nazwa występuje publicznie; nie potwierdza, że aplikacja istnieje, że plik jest bezpieczny, że nadawca jest deweloperem ani że właściciel profilu wysłał wiadomość. Nie traktuj opóźnionej odpowiedzi, starego zrzutu ekranu, zgodnej nazwy użytkownika ani odmowy odpowiedzi jako dowodu intencji lub uczciwości. Zatrzymaj się, gdy poznasz odpowiedź.

• Wybierz jedno twierdzenie do sprawdzenia: rzekomą nazwę aplikacji widoczną publicznie.
• Zapisz, co się zgadza, a co pozostaje niezweryfikowane.
• Nie wnioskuj ze wskazówki o intencjach, charakterze ani tożsamości.

Praktyczna tabela porównawcza

Przed odpowiedzią użyj arkusza obok siebie. W kolumnie pierwszej zapisz obserwację: co twierdzi wiadomość. W kolumnie drugiej zapisz ograniczenie: co faktycznie pokazuje oferta w sklepie lub publiczny profil i czego pokazać nie może. W kolumnie trzeciej zapisz swoje działanie. To redakcyjny arkusz, a nie test osoby; każde niezgodność jest powodem do odrzucenia pliku, a nie dowodem winy.

Hipotetyczny przykład opracowany

Załóż, że dopasowanie pisze: „Tu jest instalator, wersja ze sklepu jest nieaktualna”, i załącza plik. Nie otwierasz go. Szukasz nazwy aplikacji w oficjalnym sklepie, znajdujesz wpis opisany jako edytor zdjęć i zauważasz, że w wiadomości twierdzono, iż służy do prywatnych wiadomości. Sprawdzasz jedną publiczną wskazówkę: nazwa aplikacji pojawia się w publicznym opisie profilu. To oznacza tylko, że nazwa jest widoczna publicznie; nie weryfikuje nadawcy, a deklarowany cel nadal się różni. Odpowiadasz, że instalujesz tylko ze sklepu, i wracasz do poprzedniego tematu. Jeśli prośba się powtarza lub nacisk rośnie, możesz zakończyć kontakt i zgłosić profil. To ilustracja, a nie przepis na ocenianie osoby.

• Użyj neutralnego sformułowania: „Instaluję tylko ze sklepu”.
• Prowadź rozmowę w istniejącej aplikacji lub na istniejącej platformie.
• Przestań odpowiadać, jeśli prośba się powtarza lub nacisk rośnie.

Ochrona konta bez nowego dostępu

Możesz chronić konta bez dotykania pliku. FTC zauważa, że uwierzytelnianie wieloskładnikowe zwiększa ochronę konta, więc rozważ jego włączenie, jeśli jest dostępne. Nie udostępniaj dopasowaniu kodów jednorazowych i nie pozwól, by jakikolwiek link decydował o tym, którego sklepu lub strony logowania używasz. [FTC: Jak rozpoznawać i unikać oszustw phishingowych]

• Rozważ włączenie uwierzytelniania wieloskładnikowego, jeśli jest dostępne.
• Nie udostępniaj kodów jednorazowych.
• Samodzielnie wybieraj sklep lub stronę logowania, nigdy przez link.

Kiedy przestać i co zrobić dalej

Z góry ustal zasadę zatrzymania: jeśli aplikacji nie można znaleźć w oficjalnym sklepie albo deklarowany cel różni się od wpisu, odmów przyjęcia pliku i wstrzymaj rozmowę. Zakończenie kontaktu to normalna granica, a nie wyrok w sprawie osoby. Jeśli osoba naciska lub przysyła kolejny plik, zakończ kontakt i zgłoś profil, jak radzi IC3 w przypadku podejrzanych profili i podejrzanego kontaktu. Jeśli udostępniłeś informacje o płatności lub podałeś dane karty na podszywającej się stronie, niezwłocznie skontaktuj się z wystawcą karty lub bankiem w sprawie podejrzanych transakcji oszukańczych. W przypadku już wysłanych pieniędzy skontaktuj się z dostawcą płatności i zgłoś sprawę; dalsze wyszukiwanie profili nie odzyska środków. [FBI/IC3: Nowe schematy weryfikacji wymierzone w użytkowników platform randkowych] [FTC: Co zrobić, jeśli padłeś ofiarą oszustwa]

• Odmów przyjęcia pliku, gdy aplikacji nie ma lub jest błędnie opisana.
• Zgłoś profil, jeśli prośba się powtarza lub eskaluje.
• Jeśli podano dane karty lub wysłano pieniądze, skontaktuj się z wystawcą karty lub dostawcą płatności i zgłoś sprawę.

Jak uprościć przyszłe prośby o instalację

Uczyń sprawdzanie sklepu stałym nawykiem: zanim zainstalujesz cokolwiek, co sugeruje dopasowanie, samodzielnie znajdź aplikację, przeczytaj jej wpis i porównaj deklarowany cel z wiadomością. Ogranicz weryfikację do materiałów publicznych i jednego konkretnego twierdzenia, a potem przestań. Jeśli aplikacji nie ma w sklepie, odpowiedź brzmi nie. Traktuj to jako ograniczenie weryfikacji, a nie osąd czyjegoś charakteru; jedna publiczna wskazówka nie zidentyfikuje osoby ani nie potwierdzi aktywności.

• Samodzielnie wyszukaj aplikację; nie korzystaj z linków z wiadomości.
• Porównaj deklarowany cel z wpisem w sklepie.
• Brak wpisu traktuj jako powód do odmowy, a nie dowód intencji.

Jeszcze kilka pytań