ביום חמישי החליפה מיקרוסופט את תמונת הפרופיל שלה ב-X באטב המונפש של Office, קליפי, התחילה לעקוב אחרי חשבון קריפטו ושיתפה ממנו הודעה. רק שזאת לא הייתה מיקרוסופט. במשך כחצי שעה ראו 13 מיליון העוקבים של החשבון הרשמי ביותר של החברה פרסומת למטבע קריפטו בשם $CLIPPY, ולידה הבטחה שאם יצטברו 500 אלף לייקים, קליפי יחזור.

מה קרה

החשבון שמיקרוסופט שיתפה ממנו, @clippymsftcto, התחזה לקליפי והושעה מאז. חשבון שני המשיך לקדם את המטבע גם אחרי ההשעיה, והציג אותו כמקושר למטבע אחר שנושא את הסימול MSFT, כאילו יש בין השניים ובין מיקרוסופט קשר כלשהו. אין.

ההיגיון של התרגיל פשוט: קונים מטבע חדש בזול בזמן שהוא לא שווה כמעט כלום, דוחפים אותו מחשבון שאנשים מאמינים לו, וכשהקונים נכנסים והמחיר עולה, מוכרים להם את מה שקנו קודם. לשיטה הזאת קוראים pump and dump, והיא לא חדשה בכלל. מה שהשתנה כאן הוא מאיזה חשבון באה הדחיפה.

דובר מיקרוסופט, ברנט קולבורן, אישר שהייתה גישה לא מורשית לחשבון החברה ב-X, כולל פרסומים שלא באו ממיקרוסופט, ושהחשבון הוחזר לשליטת החברה והפרסומים הוסרו. בחשבון הופיעה גם הודעה שבה מיקרוסופט הבהירה שהיא לא מאשרת, לא מקדמת ולא נותנת חסות לשום מטבע קריפטו שנושא את השם שלה או את הסימול שלה, וההודעה הזאת נמחקה אחר כך בלי הסבר. מה שמיקרוסופט לא אמרה זה איך התוקפים נכנסו לחשבון. אף גורם לא פרסם הערכה כמה אנשים קנו את המטבע ובאיזה סכום, ו-X מצידה לא פרסמה הודעה על האירוע בכלל.

למה זה חשוב לכם

הסימן לצד השם ב-X מעיד שהחשבון עבר אימות פעם אחת. הוא לא מעיד שמי שמקליד בו ברגע זה הוא הבעלים. החשבון של מיקרוסופט הוא מהמזוהים ביותר ברשת, ובכל זאת במשך חצי שעה הוא פרסם מה שהתוקפים רצו שיפרסם. אם זה קורה לו, זה יכול לקרות גם לחשבון של בנק, של חברת סלולר או של חנות שאתם קונים בה. בישראל התבנית מוכרת גם בלי קריפטו: מערך הסייבר הלאומי הזהיר בספטמבר מפני מודעות בפייסבוק ובאינסטגרם שמתחזות לחברות מוכרות ומציעות כרטיסים או הטבות, וכשהקורבן משאיר פרטים מבקשים ממנו קוד אימות שנשלח ב-SMS, קוד שמשמש בפועל להשתלטות על קו הסלולר שלו.

מה עושים?

חברה גדולה לא משיקה מטבע קריפטו בפוסט ברשת חברתית. אם חשבון של מותג מפרסם מטבע, הנחת העבודה צריכה להיות שהחשבון נפרץ, ולא שיש כאן הזדמנות. בדקו באתר הרשמי של החברה לפני שאתם נוגעים בכסף.

אל תתנו לסימן האימות לעשות את העבודה של שיקול הדעת שלכם, גם כשהשם שמעליו מוכר לכם היטב.

הגנו על החשבונות שלכם באימות דו-שלבי שלא מבוסס על SMS, כלומר אפליקציית אימות או מפתח אבטחה פיזי. הודעות SMS חשופות לשיטה שבה תוקף מעביר את מספר הטלפון שלכם לכרטיס SIM שבידיו, ומי שמקבל את הקוד מקבל את החשבון.

אם קניתם את המטבע או חיברתם ארנק קריפטו לאתר שהגעתם אליו מהפוסט, בטלו את ההרשאה שנתתם לאתר בארנק עוד היום ועברו על הפעולות האחרונות בו.

פריצה לחשבון של מותג היא לא פריצה למותג. היא שכירות של האמון שהמותג בנה, לחצי שעה.