フィッシング

暗号資産は、カード詐欺よりもフィッシング詐欺師にとって有利な支払い手段です。チャージバックがなく、連絡できる発行会社も存在しないからです。FBIの2023年の暗号資産詐欺報告書では、69,000件を超える届け出と56億ドルを超える損失が集計されており、あるハードウェアウォレットベンダーの流出した顧客ファイルによって、272,853件の自宅配送先住所が標的リストとして出回りました。12語または24語のリカバリーワードを求めるものは、例外なく窃盗です。

手口の仕組み

ビットコイン保有者を狙うフィッシングには4つの形態があり、それぞれ異なる防御が必要です。

認証情報フィッシングは、暗号資産取引所のログインページをそっくりに似せたドメインにコピーする手口で、通常は検索広告、偽の「異常なログインを検出しました」というメール、または入力ミスのあるURLから到達します。現代的な版はリアルタイム中継です。入力した内容は認証アプリのコードを含めて数秒以内に本物のサイトへ転送されるため、6桁のコードが正しいことは何の証明にもなりません。これに耐えられるのはハードウェアセキュリティキーだけです。キーは実際に通信しているドメインに署名するため、似せたドメインには使えるものを一切生成しないからです。

シードフレーズフィッシングは口座を飛ばしてウォレットを狙います。「ウォレット検証」フォーム、偽のファームウェア更新、デバイスの「同期」を求めるサポート担当者、資金が危険にさらされていると主張するブラウザのポップアップなどの形で現れます。リカバリーワードはウォレットそのものです。BIP39はその12語または24語を、あなたが今後保有するすべての秘密鍵に変換するため、それを読んだ者は誰でも自分のマシン上でウォレット全体を再構築し、好きなだけ中身を空にできます。メーカー、取引所、サポートチームのいずれも、それらを見る正当な理由を決して持ちません。

署名フィッシングは、読めないものへの承認を求めます。これは主にEthereumの問題で、1回の署名でトークンに対する無制限の使用許可を与えられることがありますが、ビットコインユーザーも、見慣れない部分的署名済みトランザクションや任意のメッセージへの署名を求められたときに、この変種に遭遇します。

サポートのなりすましはソーシャルエンジニアリングに溶け込みます。正しいロゴのアカウントからXやTelegramで届く返信で、あなたが問題を公開投稿してから数分以内に現れます。本物のサポートが先に連絡してくることはありません。

ビットコインを購入するときにこれが重要な理由

実際にフィッシングを防ぐ防御は、永遠に続ける警戒心ではなく、一度だけ行う設定上の選択です。

取引所へは毎回同じ方法でアクセスしてください。ドメインをブックマークし、そのブックマークだけを使い、検索結果やメール内のリンクは決して使わないでください。当サイトのレビューページには、当サイトが扱う24社の取引所それぞれの公式ウェブサイトを掲載しており、URLを照合する2つ目の場所になります。

アカウントにハードウェアセキュリティキーを設定してください。KrakenとCoinbaseはいずれもFIDO2キーに対応しており、リアルタイムの中継攻撃が転送できない唯一の要素です。キーが選択肢にない場合でも、認証アプリはテキストメッセージより優れています。

出金先アドレスのホワイトリストを有効にし、乗っ取られたセッションが送金先をでっち上げられないようにしてください。

リカバリーワードは一度だけ書くものとして扱ってください。設定中に紙や金属に記録し、電話、コンピューター、写真、パスワードマネージャー、フォームには決して入力しません。ハードウェアウォレットがリカバリーワードを求めるのは、設定中または復元中に自機の画面でだけであり、それ以外のときはありません。ソフトウェアが求めてきたら、そのロゴがどれほど本物らしく見えても、そのソフトウェアは敵対的です。

最後に、期限付きで届くものにはゆっくり対応してください。緊急性はすべてのフィッシングメッセージに共通する唯一の材料です。アドレスバーを確認する時間のある人は、被害者にならずに済むからです。

今もなお何年も後に悪用されているLedgerの顧客リスト

2020年7月、Ledgerは自社のeコマースおよびマーケティングのデータベースが侵害され、約100万件のメールアドレスと、より少数の詳細な顧客記録が流出したことを公表しました。

2020年12月、完全なダンプが公然と公開されました。ハードウェアウォレットを購入した人々の氏名、電話番号、実際の配送先住所を含む272,853件の注文記録です。これは暗号資産を保有していると分かっている世帯のリストであり、どこに住んでいるかまで含んでいます。

その後に起きたことが、このページでこの事件を名指しする理由です。被害者はその後何年にもわたり、Ledgerのセキュリティ通知を装ったフィッシングメールやテキストを受け取りました。2021年には、一部の人が、元の製品がセキュリティ上の理由で交換されると主張するメモと、既存のリカバリーフレーズを新しいハードウェアに入力するよう求める指示を添えた、偽造Ledgerデバイス入りの小包を受け取りました。また、自宅住所に言及した脅迫メッセージを受け取った人もいました。

この教訓は1社にとどまりません。ベンダーのマーケティングシステムから取得されたデータは、フィッシングを個人的で信憑性のあるものにするのに十分であり、期限切れになりません。ビットコインのハードウェアやサービスを購入した企業は、いつかあなたの情報を漏らすと想定し、その漏えいが高くつくのではなく気まずいだけになるような設定を構築してください。

フィッシングvsソーシャルエンジニアリング

フィッシングは、より広いソーシャルエンジニアリングの実践の中の1つの手法です。ソーシャルエンジニアリングは、人を説得して自分自身の利益に反する行動を取らせるあらゆる攻撃を指します。フィッシングはその大量生産されたメッセージ型の版であり、数千人に送信され、その一部が反応することを期待します。この区別は防御を選ぶときに重要です。フィッシングは主に技術で解決できます。セキュリティキー、ブックマーク、ホワイトリストは、あなたが注意を払っているかどうかに関係なく機能するからです。より広いソーシャルエンジニアリング、特にあなたに合わせた実際の電話には、代わりに手順上のルールが必要です。入ってきた連絡が求めたからといって資金を移動させないことです。

フィッシングvsピッグ・ブッチャリング詐欺

フィッシングは次の60秒で認証情報を求めます。ピッグ・ブッチャリング詐欺は次の6か月間で関係を求めます。フィッシングメッセージはあなたがすでに利用しているサービスを装い、考える前に即座に行動させるよう設計されています。ピッグ・ブッチャリング詐欺は何週間もの普通の会話を通じて信頼を築き、その後、偽の利益を示し、機能することを証明するために早期出金を許可する投資プラットフォームを紹介します。2つ目の損失は通常はるかに大きく、被害者が自発的に、繰り返し、しかも自分で調達してきた資金でそれを支払うからです。