フィッシング詐欺

簡潔な定義

フィッシング詐欺とは、攻撃者が証券会社、取引所、銀行、規制当局、カスタマーサポート、知人など信頼できる組織や人物を装い、メール、SMS、SNS、電話、偽サイトなどを通じて、利用者に機密情報を入力させたり、資金を送金させたりする詐欺行為です。

トレーダーの場合、狙われやすい情報には、ログインパスワード、ワンタイム認証コード、本人確認書類、銀行口座・カード情報、取引口座の権限、APIキー、暗号資産ウォレットのシードフレーズや秘密鍵などがあります。フィッシング詐欺は取引戦略ではなく、口座の安全性と資金保全に関わるリスクです。

仕組み

フィッシングは多くの場合、「信頼」と「緊急性」を悪用して被害者を誘導します。一般的な流れは次のとおりです。

1. 信頼できる相手を装う：正規の証券会社、取引所、銀行に似た名称、ロゴ、メールアドレス、ウェブデザインを使います。
2. 心理的な圧力をかける：口座の異常、証拠金不足、出金停止、本人確認の再実施、または「期限付き」のセキュリティ通知を装います。
3. クリックや連絡を促す：リンクのクリック、添付ファイルのダウンロード、QRコードの読み取り、チャットグループへの参加、いわゆる専任サポートへの連絡を求めます。
4. 情報を盗む、または口座を乗っ取る：偽のログイン画面、遠隔操作ソフト、悪意ある添付ファイルなどを使い、パスワード、認証コード、端末へのアクセス権限を取得します。
5. 資金を移動する、または追加詐欺を行う：本物の口座にログインし、出金先を変更したり、出金を実行したりします。また、税金、保証金、凍結解除手数料などの名目で追加の支払いを求めることもあります。

取引でよくある場面

簡単な例

• 証券会社から届いたように見えるメールに「口座に異常ログインがあります。30分以内に認証してください」と書かれているケースがあります。リンク先のページは本物の公式サイトに非常によく似ていますが、ドメイン名に1文字余分な文字が入っています。そこで口座情報と認証コードを入力すると、攻撃者が直ちに本物の口座へのログインを試みる可能性があります。
• SNSで取引所のサポート担当者を名乗る人物が、出金を早められると言い、ウォレットのシードフレーズを求めることがあります。シードフレーズが漏れると、ウォレット内の資産が直接移動される可能性があり、通常は回収が難しくなります。
• SMSで、取引口座の凍結を解除するには追加の証拠金を支払う必要があるとして、個人口座や暗号資産ウォレットアドレスへの送金を求められることがあります。このような要求は、特に公式アプリや公式サイトで確認できない場合、強く警戒すべきです。

見分ける手がかり

以下のサインは、それだけで必ず詐欺と断定できるものではありません。ただし、複数当てはまるほどリスクは高くなります。

• 送信元メールアドレス、URL、アプリ名が正規のものとわずかに違う。例：文字が1つ多い、似た文字に置き換えられている、見慣れないドメインを使っている。
• 短縮URL、QRコード、圧縮ファイルを使い、遷移先や内容を明確に説明しない。
• パスワード、ワンタイム認証コード、シードフレーズ、秘密鍵、APIキー、完全な銀行カード情報の提供を求める。
• 口座凍結、出金失敗、規制上の審査、期間限定の優遇などを理由に、すぐ対応するよう急がせる。
• 個人口座、第三者のウォレット、確認できない送金先への支払いを求める。
• 損失の回収、口座凍結の解除、投資収益を保証すると主張する。
• カスタマーサポートが個人用チャットアプリだけで連絡し、公式サイトや公式アプリを通じた本人確認を拒む。

初心者トレーダー向けの防止策

• 公式の入口からログインする：公式サイトのURLを手入力するか、確認済みの公式アプリを利用します。メールやSMS内のリンクから取引口座にログインしないようにします。
• ドメイン名と証明書情報を確認する：つづり、ドメインの末尾、ページ遷移に注意します。ロゴや画面デザインだけで判断しないでください。
• 多要素認証を有効にする：安全性の高い認証方法を利用し、バックアップコードを適切に保管します。
• 重要な認証情報を共有しない：正規の金融機関が通常、パスワード、ワンタイム認証コード、シードフレーズ、秘密鍵、遠隔操作権限を求めることはありません。
• API権限を制限する：取引APIを使う場合は必要最小限の権限にとどめ、出金権限を初期設定のまま有効にしないよう注意し、キーを定期的に更新します。
• 公式チャネルで確認する：口座凍結、出金異常、本人確認の要求があった場合は、公式サイト、公式アプリ、公開されている電話番号を通じて確認します。
• 端末の安全を保つ：OSやブラウザを最新の状態に保ち、出所不明のプラグイン、遠隔操作ソフト、取引ツールをインストールしないようにします。

すでにリンクを開いた、または情報を入力した場合

フィッシングの疑いがある場合、対応の速さは重要です。ただし、詐欺師の指示に従って行動を続けないことも大切です。

1. 直ちにやり取りを止める：リンクのクリック、ファイルのダウンロード、送金を続けないでください。
2. パスワードを変更する：公式の入口からログインし、取引口座、メール、関連する決済口座のパスワードを変更します。
3. 不審な権限を取り消す：ログイン端末、APIキー、登録メールアドレス、電話番号、出金先アドレス、第三者連携を確認します。
4. 公式サポートと銀行に連絡する：フィッシングの可能性を伝え、口座凍結、取引の停止、追加認証の設定が可能か確認します。
5. 証拠を保存する：メール、SMS、チャット履歴、リンク、支払い記録、取引ハッシュなどを保管します。
6. 関係機関に報告する：所在地に応じて、金融規制当局、消費者保護機関、サイバー犯罪の通報窓口、警察などに報告できます。

これらの対応で損失の回収が保証されるわけではありませんが、さらなる被害を抑え、調査に必要な資料を残す助けになります。

正常なセキュリティ通知との違い

正規の金融機関がセキュリティ通知を送ったり、本人確認の完了を求めたりすることはあります。ただし通常は、公式チャネルで手続きするよう案内し、見慣れないリンク先で全ての認証情報を入力させたり、個人口座への支払いを求めたりすることはありません。判断する際は、公式アプリ、公式サイトのお知らせ、契約書類、公開されているカスタマーサポート番号を基準にし、メール、SMS、SNSのメッセージだけで決めないことが重要です。

関連用語

• ソーシャルエンジニアリング：心理的な誘導によって情報を取得したり、特定の操作をさせたりする攻撃手法です。フィッシングは代表的な形態の一つです。
• 偽サイト：正規サイトの画面やドメインに似せて作られ、ログイン情報や決済情報を盗むために使われるサイトです。
• マルウェア：情報の窃取、端末の監視、システムの遠隔操作などを目的とする悪意あるソフトウェアです。
• 多要素認証：パスワードに加えて追加の認証手順を設けることで、口座乗っ取りのリスクを下げる仕組みです。
• 口座乗っ取り：攻撃者が口座の管理権限を得て、登録情報の変更、取引、資金移動などを行う行為です。

参考資料

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/investor/pubs/onlinebrokerage.htm
• https://www.cisa.gov/secure-our-world/avoid-phishing