フィッシング攻撃の完全な説明: 偽のエアドロップからウォレットの認証まで、暗号通貨ユーザーはどうやってそれを防ぐことができるか?

フィッシング攻撃とは正確には何ですか?

フィッシングという言葉は、網を投げて魚が食いつくのを待つ釣りから来ています。 攻撃者は技術的な脆弱性を利用してシステムに侵入するのではなく、信頼できる人になりすまして、ログイン パスワード、銀行カード番号、秘密キー、ニーモニック フレーズなどを自分で渡すように要求します。

これはサイバーセキュリティの分野で何十年も前から存在していましたが、ツールは変わりつつあります。 AI ライティング ツールは、自然な口調と正確なアドレスで電子メールをバッチ生成でき、AI 音声クローン作成により、電話で上司や家族の真似をすることができます。 以前は、不審なメールを判断するために「文法上の誤りやぎこちない表現」に頼っていましたが、現在ではこの経験がますます有効ではなくなりつつあります。

暗号通貨ユーザーが直面するリスクはさらに独特です。 チェーン上のトランザクションは元に戻すことができず、一度転送されると元に戻すことはできません。 したがって、暗号化サークルにおけるフィッシングのターゲットは、ニーモニック フレーズ、秘密キー、ウォレット認証などに非常に集中しています。

フィッシングメールは通常どのようなものですか?

最も一般的な配信チャネルは依然として郵便です。 フィッシングメールは、銀行、取引所、または有名なブランドからのものを装い、偽の Web サイトへのリンクや、マルウェアをインストールするために開く添付ファイルが含まれている場合があります。

立ち止まって見てみる価値のある兆候がいくつかあります。

**URLと配送先住所が間違っています。 ** クリックする前に完全な URL をお読みください。 フィッシング サイトでは、名前に余分な文字を追加したり、珍しいドメイン名のサフィックスを使用したりするなど、微妙なスペルの違いが使用されることがよくあります。 リンクの上にマウスを置くと、実際の宛先アドレスがプレビューされます。 また、大企業を代表すると称するメールでも、送信者が Gmail や Yahoo などの公開メール アドレスであること自体が疑わしいものです。

**緊迫感と恐怖感を生み出します。 ** 「アカウントがハッキングされました」、「支払いに失敗しました」、「すぐに対処しないと罰せられます」 - この種の言葉は、あなたが考えるのが遅すぎるように意図的に意図されています。 正当な組織が電子メール リンクを通じて直ちに行動を起こすよう求めることはほとんどありません。

**機密情報の要求。 ** 通常のサービスでは、電子メール、テキスト メッセージ、またはチャットを通じて、パスワード、ニーモニック フレーズ、秘密キー、または完全な銀行カード番号を要求されることはありません。 このような要求が出てくると、どんなに相手が公式であっても、不審者として扱われてしまいます。

暗号化シナリオにおけるフィッシングの違いは何ですか?

通常のフィッシングではアカウントが騙されますが、暗号化されたフィッシングでは資産が騙され、一度成功すると回復することが不可能なことがよくあります。

ウォレット ドレイナー は、比較的破壊的なカテゴリです。 だまされてウォレットを悪意のある Web サイトに接続したり、承認されたトランザクションに署名したりすると、悪意のあるスマート コントラクトによってトークンが転送され、場合によっては数秒以内に残高が消去されてしまいます。 ここで重要な点は、ウォレットと署名認証の接続自体が攻撃対象領域であるということです。

なりすましの顧客サービスも非常に一般的です。 Exchange カスタマー サービスを名乗る人物が、「身元を確認する」ためのニーモニック フレーズを送信するよう求めてきます。 正式なプラットフォームではニーモニックフレーズを尋ねることはありません。 誰かがそれを要求する限り、その要求は例外なく 100% 詐欺です。

偽のエアドロップや偽のギフトは、ソーシャル プラットフォームを使用して拡散されます。 攻撃者は、X、Discord、Telegram の有名人になりすまして、存在しないエアドロップや投資機会を宣伝します。一般的な手口は、認証されたアカウントを盗むか、ほぼ同じアバターと名前で偽のアカウントを作成することです。 この手法は、偽のトークンを使用してアナウンスを発行し、ウォレットの承認に署名するよう誘導するエアドロップ詐欺と重複することがよくあります。

DeFiプロトコルで頻繁に操作したり、P2P取引を行ったりするユーザーは、より多くのウォレットとのやり取りを行うため、当然のことながらより多くのエクスポージャーを持ちます。

フィッシングには電子メール以外にもさまざまな方法があります。

スピア フィッシング 特定の個人または組織を標的とします。 攻撃者は事前に下調べを行い、同僚の名前、最近の取引、役職などの詳細を使用して、メッセージが信頼できるものであるように見せます。 コストは高くなりますが、通常は成功率が高くなります。

ホエーリングは、経営者、政府関係者、または潤沢な資金を持つ人々をターゲットとする、スピア フィッシングの高価値版です。 これらの人々は機密システムや多額の資金にアクセスできるため、成功した場合の影響はさらに深刻になります。

クローン フィッシング とは、本物の電子メールをコピーして、リンクや添付ファイルを悪意のあるものに置き換えるだけで、ほぼ同じバージョンにすることです。 この形式は見慣れているため、受信者は違いを見落としがちです。

スミッシングとビッシングは、それぞれテキスト メッセージと電話で配信されます。 音声フィッシングでは、攻撃者は銀行の代表者やテクニカル サポートになりすましたり、AI のクローン音声を使用して家族になりすますこともあります。 音声合成技術の敷居が下がるにつれて、これら 2 つの方法はますます一般的になりつつあります。

QR コード フィッシング 悪意のある QR コードを使用して、ユーザーをフィッシング Web サイトに誘導します。 これらのコードは、ポスター、パーキング メーター、レストランのメニューなどの物理的環境に掲載されたり、電子メールや文書に埋め込まれたりする場合があります。 QR コードは人間の目には不透明なので、多くの人はスキャンする前にどこにジャンプするかわかりません。

ドメイン ファーミング では、悪意のあるリンクをクリックする必要はありません。 攻撃者は DNS レコードを改ざんし、ユーザーを正しい URL から偽のサイトにリダイレクトします。 URL を自分で入力するため、このタイプの攻撃は通常のフィッシングよりも検出が難しく、より危険です。

ドメイン名スクワッティング (タイポスクワッティング) とは、スペル ミス、文字置換、または異なるトップレベル ドメイン名によって行われる、通常の Web サイトと非常によく似たドメイン名の登録です。 指で間違った文字を入力すると、まったく同じように見える偽の Web サイトにアクセスしてしまう可能性があります。

水飲み場 まず、ターゲット グループが頻繁にアクセスする Web サイトを見つけて、そこに悪意のあるスクリプトを挿入します。 次回ターゲットが感染サイトにアクセスすると、スクリプトが実行され、マルウェアがサイレントにインストールされたり、認証情報が盗まれたりする可能性があります。

フィッシングとドメイン名移植の違い

ドメイン名のグラフティングをフィッシングの一種として分類する人もいますが、この 2 つの操作方法は異なります。 フィッシングでは、被害者は偽のリンクをクリックするか、偽のサイトに資格情報を入力するという間違いを犯す必要があります。 ファーミングでは、DNS レコード自体が改ざんされているため、被害者は正常に見える URL にアクセスするだけで済みます。

この違いは実際的な意味を持ちます。つまり、ファーミングを個人レベルで防ぐのは難しく、実行できる検証手順が少なくなります。

毎日攻撃を受ける確率を減らす方法

最も信頼できるヒントは、予期しないメッセージ内のリンクをクリックしないことです。 ログインする必要がある場合は、ブラウザのアドレス バーに公式 Web サイトのアドレスを直接入力するか、保存した独自のブックマークを使用します。

アカウント レベルで、すべての重要なアカウントに対して 2 要素認証 (2FA) を有効にします。 このように、たとえパスワードが漏洩したとしても、第二の扉は存在します。 認証アプリを使用できる場合は、SMS 認証コードを使用しないでください。 SMS コードは SIM カードのハイジャックによって傍受される可能性があります。

企業は、DKIM (DomainKeys Identified Mail) や DMARC (Domain-based Message Authentication, Reporting, and Conformance) などの電子メール認証標準の導入を検討して、電子メールが実際に主張しているドメイン名から送信されているかどうかを検証できます。

個人レベルでは、自分が知っているテクニックについて家族や友人に伝えること自体が身を守ることになります。 企業が定期的に安全研修を実施すれば、従業員が餌にかかる確率を大幅に減らすことができます。

100%効果的な対策はありません。 技術ツールと継続的なセキュリティ意識を組み合わせることで、リスクが軽減されます。

すでに感染している場合はどうすればよいですか?

最も重要なアカウントから順にパスワードを変更します。 まだ 2FA アカウントを開設していないので、これから追加します。

暗号通貨ウォレットを不審な Web サイトに接続した場合は、以前に付与された承認を取り消してください。 多くの人はこの手順を忘れてしまいますが、承認が取り消されない限り、リスクは常に存在します。

次に、なりすましを受けているプラ​​ットフォームに報告し、また、居住国または地域のサイバーセキュリティ機関にも報告します。

手数料やリベートについて、読者がご自身で確認すべき点は何ですか?

釣りの話題によく含まれるもう 1 つのタイプの損失があります。つまり、通常どおり取引しているつもりでも、実際のコスト構造は理解しているものとは異なります。 この部分は定性的なリマインダーとしてのみ使用できます。 具体的な数値についてはプラットフォームの公式ページを参照してください。

確認する必要がある内容には、スポットと契約のメーカー レートとテイカー レートはそれぞれいくらか、VIP レベルの分類にどの基準が使用されているか、アカウント タイプに BNB 控除が適用されるかどうか、リベートや紹介報酬の決済ルールと支払い方法が含まれます。 これらの条件は調整されるため、サードパーティのチュートリアルの数値は遅れることがよくあります。

さらに重要なことは、「内部レート」または「特別なリベート チャネル」を提供すると主張するプライベート メッセージはフィッシングとして扱う必要があることです。 正式なコスト割引はアカウント バックエンドで確認できるため、見知らぬ人を介してプロセスを行う必要はありません。

よくある質問

**釣りとは何ですか? ** 犯罪者が信頼できる組織または個人になりすまして、ユーザーをだましてパスワード、支払い情報、または暗号化されたニーモニック フレーズを引き渡すサイバー攻撃手法。 これは、オンライン詐欺の最も一般的な形式の 1 つです。

**最も一般的な釣りの種類は何ですか? ** 電子メール フィッシング、スピア フィッシング (標的型攻撃)、SMS フィッシング、ボイス フィッシング、クローン フィッシング。 ウォレットスキミングプログラムや偽のプレゼント詐欺は、暗号通貨分野で特によく見られます。

**フィッシングメールを特定するにはどうすればよいですか? ** 送信アドレスの不審またはスペルミス、個人情報やパスワードの緊急要求、予期しないリンクや添付ファイル、恐怖や緊迫感を引き起こすコンテンツ。 リンク上にマウスを置くと、クリックする前に URL がプレビューされ、公式チャネルを通じて予期せぬリクエストがないか確認できます。

**釣りに遭った疑いがある場合はどうすればよいですか? ** 最も重要なアカウントから始めて、パスワードをすぐに変更してください。 まだ 2FA を持っていないアカウントに対して 2FA を有効にします。 不審な Web サイトに接続した場合は、付与された権限を取り消してください。 なりすましを受けているプラ​​ットフォームと、そのプラットフォームが存在する国または地域のサイバーセキュリティ機関に報告してください。

**フィッシングによって暗号通貨が盗まれる可能性はありますか? ** できる。 クリプトフィッシングでは、ニーモニック フレーズ、秘密キー、またはウォレットの認証が取得される可能性があります。 オンチェーントランザクションは元に戻せないため、資金の損失は永久的です。 一般的な手口には、偽の Exchange ログイン ページ、盗難されたウォレット スマート コントラクト、顧客サービスを装ってニーモニックの検証を要求するなどが含まれます。

参考：Binance Academy「フィッシングとは？種類、例、安全を保つ方法」 https://academy.binance.com/en/articles/what-is-phishing

この記事は一般的な情報をまとめたものであり、投資アドバイスを構成するものではなく、またバイナンスの公式立場を表すものでもありません。 デジタル資産の価格は大きく変動しますので、ご自身の判断で相応のリスクをご負担ください。