Eviter les dangers de Discord

Pourquoi Discord est si dangereux ?

Je suis sûr que vous avez tous entendu les mêmes choses encore et encore sur le Web3. « Discord est horrible ! », « Notre projet n'utilisera jamais Discord en raison des risques de sécurité », ou mon préféré : « Il suffit de désactiver les DMs, idiot »

De façon générale, les gens sur Twitter font des commentaires, sans vous dire POURQUOI ils ressentent cela. Ils ne vous disent pas POURQUOI les messages directs sont si dangereux. Donc, heureusement, grâce au pouvoir de la science, nous avons extrait le cerveau de l'un de ces dangereux escrocs du Web3, et nous allons examiner leurs objectifs, leur processus de pensée, afin que vous puissiez comprendre que le véritable conseil n'est pas de désactiver les DMs, mais de ne jamais être seul avec un escroc.

#1: Une idée reçue courante… Les DMs…

Désactiver vos DMs sur Discord est un bon conseil, mais sans parler de la raison, cela entraîne de la confusion et des dangers.

Ces mêmes perroquets ne vous diront généralement pas de désactiver les demandes d'amis, ils sont déjà en train de commenter « gm » sur Twitter pour la 300ème journée consécutive dans un étrange rituel de danse sous la pluie pour tenter de raviver le bull market (marché haussier).

Pour savoir comment vous défendre contre les escrocs, il est souvent très utile de penser comme un escroc. Alors, regardons ce qu’il y a dans le cerveau d’un escroc et analysons sa façon de pensée:

Quelque part au plus profond du cerveau de l'escroc : Nous connaissons l'objectif, nous voulons accéder à leur portefeuille, et il y a plusieurs façons d'y parvenir, et pour cela, nous devons accomplir une chose… Nous devons isoler la victime.

C'est exact, si nous pouvons isoler la victime nous pouvons la convaincre que notre arnaque est légitime. Si nous parlons sur une marketplace, une personne viendra crier que nous sommes en train d’essayer d’arnaquer ! Nous ne pouvons pas nous permettre cela.

Les DMs de Discord fonctionnent extrêmement bien pour cela. Mais que se passe-t-il si une victime à ses DMs fermés ? Eh bien, il existe des moyens de contourner cela…

1. Les messages Twitter ! - Oui. C'est exact, un message Twitter n'est pas sûr non plus. Bien qu'il y ait un peu plus de sécurité puisque vous pouvez vérifier les abonnés mutuels, etc., tout cela peut être falsifié avec un compte bien préparé, ou encore pire, cela pourrait être un compte Twitter compromis ! 
2. Les demandes d'amis sur Discord - Quiconque est votre ami sur Discord peut contourner votre paramètre de « désactivation des DMs ». Donc, au lieu de vous envoyer un DM... ils envoient simplement une demande d'ami. De plus, ils pourraient vous demander poliment de les ajouter en tant qu'ami à partir d'une marketplace (des commerçants légitimes feront également cela !).
3. Serveurs Discord à faible volume - Si vous parlez dans un canal, un fil ou un serveur peu fréquenté, il y a moins de chances que quelqu'un d'autre s'en mêle.
4. Fils privés ou tickets de support - Il serait possible qu'un escroc abuse d'un ticket de support ou d'un fil privé pour amener une victime à être seule avec lui.
5. Cette dernière option peut être incroyablement mortelle… vos amis actuels. Les escrocs, s'ils compromettent le compte Discord de vos amis, peuvent vous convaincre d'envoyer de l'argent, de participer à un mint… ou de faire quoi que ce soit, parce que vous faites confiance à votre ami… NE FAITES CONFIANCE À PERSONNE. Soyez méfiant de chaque interaction que vous avez, même si c’est votre meilleur ami au monde qui vous parle.

Donc, la leçon que nous avons apprise ci-dessus est d'être extrêmement prudent lorsque vous parlez à quelqu'un dans un endroit privé. Peu importe la plateforme, Twitter, Telegram, Discord, voire même Tinder ? Les escrocs pourraient vous avoir trouvé et vous cibler là-bas, et dans des endroits privés, l'escroquerie peut commencer, sans interférence extérieure.

#2 Comment trouvons-nous la cible...

Il y a une phrase très courante que des escrocs non nommés utilisent depuis des siècles : « Il y a un imbécile qui naît chaque minute »

C'est en grande partie vrai dans le Web3. Avec un espace aussi nouveau que celui-ci, et étant aussi le point d'entrée vers la crypto pour beaucoup de gens, le Web3 est un environnement riche en cibles. Pensez également au fait qu'il suffit de deux petit clics sur un site malveillant pour obtenir des milliers de dollars en récompenses mal acquises.

Alors, examinons qui sont les meilleures cibles et comment éviter de devenir l'une d'entre elles.

Quelque part au plus profond du cerveau de l'escroc : D'accord, nous avons besoin d'une grosse cible. Nous ne ciblons pas tout le monde, nous ne sommes pas le service de récolte des pertes fiscales. Nous voulons des NFTs de premier choix, nous voulons des tokens DeFi, nous voulons de l'ETH brut. Des choses faciles à vendre, faciles à déplacer, après tout, il faut acheter plus de Robux. Nous avons également besoin de personnes qui sont nouvelles, des cibles faciles...

Donc, les escrocs chercheront souvent des personnes qui affichent de grandes sommes d'argent stockées en un seul endroit. Des personnes publiant des captures d'écran d'un montant important d'ETH dans leur Metamask, des personnes ayant un portefeuille ENS public avec de nombreux Bored Apes, et bien sûr, des personnes en fonction de leur photo de profil.

Même si vous utilisez une clé Ledger, si vous l'utilisez régulièrement et que vous signez souvent des transactions avec, vous êtes une cible de choix.

Vous pouvez participer aux comportements risqués mentionnés ci-dessus, mais si vous le faites, vous courez un risque plus élevé d'être ciblé - alors prenez plus de précautions et restez informé des escroqueries actuelles.

De plus, ces escrocs surveillent les canaux Discord et ciblent les personnes qui posent des questions de débutants, annoncent qu'elles sont nouvelles ou, pire encore, annoncent qu'elles viennent de se faire arnaquer.

Les personnes qui viennent de se faire arnaquer sont souvent ciblées à nouveau, parfois par de nouveaux escrocs, qui utilisent cette peur et cette incertitude altérant le jugement de la victime pour les diriger vers un faux site revoke.cash ou un faux service censé les aider à « récupérer » leurs fonds. Les cryptomonnaies et, par extension, les NFT, sont irréversibles. Vous pouvez suivre où vont les fonds et peut-être récupérer une partie de ceux-ci auprès d'un échange centralisé, mais généralement seulement une petite fraction de ce qui a été volé.

Les serveurs Discord, lorsqu'ils communiquent avec le client Discord, fournissent beaucoup plus d'informations que ce qui est affiché. Les attaquants peuvent récupérer des informations pour obtenir des renseignements tels qu'une liste complète des membres d'un serveur Discord, les rôles qu'ils ont tous et les serveurs mutuels dans lesquels ils pourraient se trouver. Avec chaque serveur Discord d’un projet NFT ayant un équivalent d'un rôle de détenteur, les attaquants peuvent facilement savoir que vous avez un NFT précieux et même générer de longues listes de cibles à forte valeur.

Supposez toujours que les escrocs disposent de plus d'informations que vous. En utilisant de façon malintentionnée Discord, ils sauront beaucoup de choses sur vous sans que vous ayez le même avantage.

En résumé, avec le nombre de cibles disponibles et certains escrocs utilisant des tentatives de scams basées sur des robots automatisés (bot), chaque utilisateur dans le Web3 est une cible.

#3 Comment les amener à réellement y croire… la confiance…

Maintenant qu'une cible est dans une pièce, seule avec un escroc... comment faire fonctionner une arnaque?

Le simple fait de la diriger vers un site qui va vider son portefeuille ne fonctionne pas la plupart du temps… Comment l'escroc peut-il maximiser les chances qu'une victime, eh bien, devienne une victime?

Quelque part au plus profond du cerveau de l'escroc :  Il y a quelques façons de les amener à cliquer sur notre lien fakemint.com… mais nous devons d'abord établir certaines choses. Nous devons d'une manière ou d'une autre gagner leur confiance, heureusement, nous avons quelques astuces pour nous aider…

La première astuce dans l'arsenal d'un escroc est d'établir la confiance. Il existe plusieurs façons pour un escroc d'y parvenir. Les arnaques peuvent être courtes ou longues. Discord peut aider un escroc à établir une relation de confiance de plusieurs manières :

Usurpation d'identité: Discord accepte un large éventail de caractères dans un nom d'utilisateur. En raison de cela, les escrocs peuvent usurper l'identité d'une personne sur Discord, avec les mêmes numéros #1111 à la fin, avec une précision au pixel près.

Les choses que les escrocs ne peuvent pas usurper sont les messages directs partagés précédemment ou les notes privées que vous entrez sur le profil d'un compte Discord. Alors, vérifiez toujours que la personne à qui vous parlez est bien la bonne. Si vous avez le moindre doute, contactez-la via un autre moyen de communication, peut-être sur Twitter. Plus d'informations sur l'usurpation d'identité ici :

🚨🚨🚨 Astuce de sécurité Discord 🚨🚨🚨 

J'ai beaucoup réfléchi aux attaques d'usurpation d'identité ces derniers jours.

Il est courant que des escrocs se fassent passer pour un membre d’une équipe afin de tenter d'arnaquer des utilisateurs ordinaires.

Explorons un peu plus ce sujet. Merci à @crystalgroves de m'avoir alerté à propos de cet usurpateur :
pic.twitter.com/kQ7GKb0OgK

— Jon_HQ (@Jon_HQ) May 30, 2022

Compromission: Il n'est pas nécessaire d'usurper l'identité d'une personne si l'on peut accéder à son compte réel. Les comptes Discord sont extrêmement faciles à compromettre. Sans entrer trop dans les détails, tout ce dont un attaquant a besoin est d'accéder à une chaîne de caractères normalement non chiffrée, appelée votre « Token Discord », pour pouvoir envoyer et recevoir des messages comme le ferait l’utilisateur normal.

Si votre Token Discord est compromis, il suffit de réinitialiser votre mot de passe pour l'invalider et en générer un nouveau. Les différentes arnaques utilisées par les attaquants pour accéder à votre Token Discord mériteraient un article à part entière, mais elles impliquent généralement qu'une victime exécute un fichier EXE malveillant, un script JavaScript, un marque-page, une extension Chrome ou qu'elle manipule quelque chose dans les outils de développement. Avec le nombre de compromissions de comptes Discord, ne faites pas confiance à tout ce qui provient même des comptes réels des gens !

Cela s'applique également aux serveurs Discord eux-mêmes. Des centaines de projets NFT ont vu leur serveur Discord compromis, avec des liens malveillants postés dans les canaux d'annonces officiels. Soyez méfiant vis-à-vis de chaque message que vous lisez sur Discord. Plus d'informations sur l'hameçonnage par Token Discord ici :

Saviez-vous que le serveur Discord NFT moyen compte plus de 12 utilisateurs avec des permissions de niveau Mod ou Équipe ? Un fil d'infographie 🧵 pic.twitter.com/mOYcYXMOrp

— Jon_HQ (@Jon_HQ) March 2, 2022

Validation falsifiée: Les escrocs se présentent bien, prétendant venir d'un projet NFT dont vous avez entendu parler, et ils vous renverront vers le compte Twitter du projet, avec 70 000 abonnés... mais ce sera un faux compte Twitter. Faites toujours vos propres recherches sur les personnes et les projets, ne vous fiez pas aux comptes Twitter liés ou aux liens dans un profil pour trouver le projet.

Liens qui paraissent légitime: Il y a quelques astuces que les escrocs peuvent utiliser pour vous montrer un lien correct dans le client Discord, mais vous serez redirigé vers un site différent lorsque vous cliquez dessus. Vérifiez toujours où vous atterrissez après avoir cliqué sur un lien, ou encore mieux : tapez l'URL vous-même dans votre navigateur.

#4 Comment les amener à cliquer dessus…

Et enfin, l’objectif ultime d’un escroc est de pousser sa victime à ignorer les rappels incessants de ne pas cliquer sur des liens, ou de ne pas télécharger de fichiers, afin qu'elle tombe finalement dans le piège. Voyons ce que l’esprit de notre escroc en pense :

Quelque part au plus profond du cerveau de l'escroc : Les moutons refusent toujours de cliquer sur les liens qu'on leur envoie ! Nous devons les empêcher de RÉFLÉCHIR. Nous devons jouer sur leurs émotions, leur donner l'impression qu'ils DOIVENT cliquer... Heureusement, il y a plusieurs moyens d'y parvenir...

Le « FOMO » (peur de rater quelque chose) ne s'applique pas seulement à ces projets que vous oubliez de mint, il peut être utilisé à des fins malveillantes.

Les escrocs utilisent vos émotions pour prendre le dessus sur vous, voici quelques-unes de leurs astuces :

Offres à durée limitée : Méfiez-vous toujours des offres qui vous sont envoyées et qui impliquent une limite de temps. Quelqu'un pourrait proposer d'échanger un NFT Ape, mais il y a un autre enchérisseur qui le veut tout de suite - l'escroc essaie de vous pousser à sauter des étapes, comme vérifier de quel contrat leur faux NFT Ape est réellement issu. Si QUELQU'UN essaie un jour de vous mettre la pression pour agir rapidement, faites le contraire : ralentissez et vérifiez tout soigneusement.

Offres gratuites : Si cela semble trop beau pour être vrai, c'est probablement le cas. Si quelqu'un vous envoie quelque chose « gratuitement », mais que cela nécessite que vous déposiez des fonds d'abord pour pouvoir le retirer, c'est une arnaque. Les gens aiment recevoir des choses gratuites, ils aiment se sentir comme des gagnants, et les escrocs abusent de ce sentiment pour amener les victimes à tomber dans leur piège.

Peur : Ils enverront un message qui vous effraie. Quelque chose comme « un escroc a accédé à votre portefeuille, allez sur ce site pour révoquer leur accès ». Les personnes qui ont peur ou qui sont inquiètes ne prennent pas le temps de vérifier si un site est légitime. Si vous lisez un message qui vous cause de l'effroi, prenez une grande respiration, ralentissez et réfléchissez bien.

Fatigue : Ce n'est pas vraiment une émotion, mais les gens ont tendance à tomber dans les pièges plus facilement tard dans la nuit lorsqu'ils sont fatigués. Les escrocs attendront et observeront, essayeront de comprendre votre rythme de sommeil, et tenteront de vous attaquer à votre plus bas. Faites très attention lorsque vous utilisez les réseaux sociaux tard le soir, car avec le fonctionnement de Discord concernant les statuts, lorsque vous ouvrez Discord, les escrocs peuvent voir que vous êtes en ligne. Ils peuvent utiliser les mises à jour de statut pour suivre votre horaire de sommeil. Même si vous définissez votre statut sur « invisible », ils peuvent toujours approximativement déterminer votre rythme de sommeil en fonction de vos messages sur Discord ou de vos tweets sur Twitter.

En conclusion…

À ce stade, vous remarquez probablement que de nombreuses méthodes et leçons tirées ci-dessus ne s'appliquent pas uniquement à Discord, et vous avez tout à fait raison.

Discord est un moyen de communication, tout comme Twitter, Telegram, et de nombreux autres sites en ligne. Tout endroit où une autre personne peut vous parler peut conduire à une arnaque. Mais pour récapituler les éléments qui rendent Discord particulièrement dangereux :

1. Les comptes sont faciles à usurper
2. Les comptes sont faciles à compromettre
3. Les liens malveillants peuvent être facilement déguisés
4. Les gens peuvent être facilement contactés par messages privés
5. Les listes de membres sont facilement accessibles, offrant un grand nombre de cibles
6. Les mises à jour de statut Discord peuvent révéler les horaires de sommeil
7. La capacité d'envoyer directement des fichiers malveillants

Soyez prudent sur chaque plateforme que vous utilisez pour parler aux autres, vérifiez toujours tout deux fois et ne vous précipitez jamais dans quoi que ce soit. Restez en sécurité !

Avez-vous des questions ou souhaitez-vous en savoir plus sur la sécurité Web3 et rester à jour sur les informations de sécurité les plus récentes, les escroqueries et les tactiques ? Rejoignez-nous sur notre serveur Discord à l'adresse https://discord.gg/boringsecurity .