Კრიპტო კაზინო
Torrent Gear
Როგორ გადავამოწმოთ საიტის უსაფრთხოება გადახდის დროს
„ცნობილ“ საიტებსაც კი აქვთ სისუსტეები: ყალბი გადახდის ფორმები, ფიშინგის დომენები, ბარათების გაჟონვა არასათანადო ინტეგრაციის გამო. ქვემოთ მოცემულია მოკლე და გაფართოებული შემოწმების ფურცლები, რომლებიც ხელს შეუწყობს რისკების სწრაფად შეფასებას გადახდამდე და არ მისცეს მონაცემები თავდამსხმელებს.
60 წამიანი ექსპრეს შემოწმება (მინიმალური, რაც უნდა გაკეთდეს)
1. მისამართის სტრიქონი: დომენი შეცდომების/ჩანაცვლების გარეშე (მაგალითი: 'brand. com 'და არა' brand. com 'მსგავსი სიმბოლოებით).
2. HTTPS და „ციხე“: ნაერთი დაშიფრულია. ციხე არის პატიოსნების გარანტია, მაგრამ ამის გარეშე - დაუყოვნებლივ დატოვეთ.
3. დომენის დამთხვევა: გადახდის ფორმა ბრენდის ან ცნობილი PSP დომენზე (გადახდის პროვაიდერი).
4. 3DS2/ბიომეტრია: ბარათით გადახდისას, ბანკი ითხოვს დადასტურებას (SMS/პროგრამა/ბიომეტრია).
5. ვიზუალური შეუსაბამობები: ორთოგრაფიული შეცდომები, უცნაური ფრჩხილები/ლოგოები, პიქსელის ხატები - შეჩერების მიზეზი.
6. კონფიდენციალურობის/შეთავაზების პოლიტიკა: გახსნილია, იკითხება, არ არის ცარიელი დანამატები.
თუ რამე არ ეთანხმება ამას, არ შეიყვანოთ ბარათის/საფულის მონაცემები.
გაფართოებული შემოწმების სია (5-7 წუთი)
1) ბრაუზერის ინდიკატორები და სერთიფიკატები
HTTPS: უნდა იყოს გადახდის ყველა ნაბიჯზე, რედაქციის ჩათვლით.
TLS სერთიფიკატი: მოქმედი, გაცემულია ცნობილი სასერთიფიკატო ცენტრის მიერ; დომენის სახელი ემთხვევა.
HSTS: მეორე ზარის დროს, საიტი დაუყოვნებლივ აიძულებს HTTPS (ბრაუზერი არ იძლევა HTTP ვერსიის გახსნას).
არ არსებობს „mixed შინაარსი“: გადახდის გვერდზე არ უნდა არსებობდეს არაკომერციული რესურსები (HTTP სურათები/სკრიპტები).
2) დომენი და ბრენდი
დომენის ასაკი და ისტორია: საეჭვოა „გუშინ რეგისტრირებული“.
ერთი ბრენდი: საიტის, კაბინეტის და მხარდაჭერის დომენი შეთანხმებულია (და არა სხვადასხვა ზონიდან შერეული).
კონტაქტები: ნამდვილი მისამართი, იური. სახელი, TIN/რეგნომერი (ფინანსური სერვისებისთვის/კაზინოსთვის - ეს ლიცენზია).
3) გადახდის ფორმის ქცევა
ჰოსტინგის ფორმა:- ჩაშენებული iFrame for PSP ან redirect PSP დომენისთვის ნორმალური პრაქტიკაა.
- მთავარ საიტზე ბარათის შეყვანის ველი iframe- ს გარეშე არის გაზრდილი რისკი (თავად ოპერატორი „ხედავს“ PAN/CVV).
- Tokenization: საიტი აშკარად წერს, რომ ეს ბარათები ტოკენიზდება და არ ინახება მერჩანტში.
- ველების შეზღუდვები: შეყვანის ნიღბები, JS ჩანართის აკრძალვა, BIN ავტომატი - ცოცხალი ანტიფროდიული ლოგიკის ნიშნები.
- მანქანის შენახვის არარსებობა: ბრაუზერი არ გვთავაზობს „პაროლის შენახვას“ ბარათის/საფულის მინდვრებში.
4) სტანდარტები და კონტროლი
PCI DSS (ბარათებისთვის): შესაბამისობის ხსენება და ვინ რეალურად ამუშავებს PAN- ს.
SCA/3DS2: ორფაქტორული დადასტურება ბანკის მეშვეობით.
AML/KYC: ძირითადი შემოწმებები მითითებულია წესებში - ეს ნორმალურია და არა „ბიუროკრატია“.
დაბრუნებისა და დავების პოლიტიკოსები: ნათლად არის განსაზღვრული ვადები და წესრიგი.
5) UI/UX წვრილმანები, რომლებიც ხშირად აძლევენ ფიშინგს
სხვადასხვა შრიფტი და „მოწყვეტილი“ ლექსი ერთ ნაბიჯზე.
ღილაკები ჰოვერების/სახელმწიფოების გარეშე (ნაცრისფერი „სურათები“ ცოცხალი ღილაკების ნაცვლად).
გატეხილი ლოკალიზაცია, უცნაური ვალუტა/დროის ზონა.
ტაიმერები „გადაიხადეთ 2:59, წინააღმდეგ შემთხვევაში ყველაფერი გაქრება“ - წნევა და მანიპულირება.
გადახდის მეთოდების მახასიათებლები
საბანკო ბარათები
3DS2 სავალდებულოა. დამატებითი დადასტურება არ არსებობს - მაღალი რისკი.
ნუ გადაიღებთ ბარათის ფოტოებს და არ გაგზავნოთ PAN/CVV „მხარდაჭერის“ ჩეთში.
ბარათის შენარჩუნება - მხოლოდ იმ შემთხვევაში, თუ პროვაიდერი მხარს უჭერს ნიშნებს და ენდობით საიტს.
ელექტრონული საფულეები/ადგილობრივი მეთოდები
ლოგინი - მხოლოდ საფულე/ბანკის დომენზე და არა გამყიდველის ვებსაიტზე.
შეამოწმეთ ლიმიტები და კომისიები დადასტურებამდე.
კრიპტოვალუტა
ქსელი და მისამართი ზუსტად უნდა ემთხვეოდეს მითითებულ (TRC20/ERC20/BTC/LN).
დაიმახსოვრე: გარიგებები შეუცვლელია; მისამართის/თანხის ორმაგი შემოწმება სავალდებულოა.
კასტოდიული სერვისის გადახდა - შეამოწმეთ მისი რეპუტაცია და KYC.
წითელი დროშები (დაუყოვნებლივ გაჩერება)
HTTPS ან ბრაუზერი არ იფიცება სერთიფიკატისთვის.
ანაბეჭდის/სიმბოლოების შემცვლელი დომენი, „სარკე“ ახსნის გარეშე.
ბარათის ველები განთავსებულია თავად საიტზე, აშკარა iFrame/PSP რედაქციის გარეშე.
ისინი მოითხოვენ ბარათის ფოტოს ორივე მხრიდან და პასპორტს ერთ წერილში „აჩქარების მიზნით“.
ისინი გვპირდებიან „KYC- ს გარეშე“, „ნებისმიერი ქვეყანა შეზღუდვების გარეშე“, „0% ყოველთვის“.
ისინი წერენ „გადაიტანეთ მენეჯერის პირად ბარათზე/საფულეზე“.
რა უნდა გააკეთოთ, თუ ეჭვი გეპარება
1. ოპვჟრანვრვ. არ შეიყვანოთ მონაცემები.
2. შეამოწმეთ დომენი ხელით, გაიარეთ საიტზე სანიშნე ან მოძებნეთ ნულიდან.
3. შეამოწმეთ ბანკის/საფულის ოფისი: არის თუ არა ავტორიზაციის არასრული მოთხოვნა.
4. ჰკითხეთ მხარდაჭერას (მოკლედ და საქმეში) - ვინ არის მათი გადახდის პროვაიდერი და არის თუ არა PCI DSS/3DS2.
5. გადაიხადეთ ალტერნატივა: დადასტურებული საფულის/PSP- ის საშუალებით; მოერიდეთ P2P პირად ბარათებს.
6. შეატყობინეთ ბანკს ნებისმიერი საეჭვო ავტორიზაციის დროს, ხელახლა გამოუშვეთ ბარათი PAN/CVV გაჟონვის დროს.
მინი პოლიტიკა თავისთვის (შაბლონი)
ვტირი მხოლოდ HTTPS- ზე, 3DS2/SCA და ტოქსიკაციით.
მე არ ვაძლევ PAN/CVV/დამონტაჟებულ ფრაზებს არც წერილით, არც ჩეთ.
მე ვრჩები ბარათებს მხოლოდ დადასტურებულ პროვაიდერებს შორის.
საძირკველისთვის - whitelist მისამართები და 2FA, მცირე სატესტო თარგმანი დიდი თანხის წინ.
მცირედი ეჭვით - კიდევ ერთი მეთოდი/სხვა საიტი.
FAQ (მოკლედ)
მისამართის ზოლში საკეტი გარანტიას უწევს უსაფრთხოებას?
არა. ის მხოლოდ კავშირის დაშიფვრაზე საუბრობს. საიტი მაინც შეიძლება იყოს ფიშინგი.
გადახდის დომენის რედაქცია ნორმალურია?
დიახ, თუ დომენი ცნობილი PSP. მთავარია მისამართის შემოწმება.
მხარდაჭერა ითხოვს ბარათის მონაცემებს „სწრაფი შემოწმებისთვის“. ეაი ლთ?
არასოდეს. მხარდაჭერა არ უნდა ნახოთ PAN/CVV.
უსაფრთხო გადახდა არის რამდენიმე მარტივი წესის დისციპლინა: სწორი დომენი, HTTPS/სერთიფიკატი, 3DS2/SCA, PSP/ტოკენიზაციის თვალსაჩინო ნამუშევარი და ეგზოტიკური „დაპირებების“ არარსებობა. ყოველ ჯერზე წუთში შემოწმების გაკეთება, თქვენ დახურავთ ფიშინგისა და გადახდის მონაცემების გაჟონვის სკრიპტების 90% -ს.