ソーシャルエンジニアリング

この種の攻撃では、人間の判断以外に壊されるものはありません。攻撃者は顧客と同様に従業員も標的にします。2020年7月15日にTwitterの従業員に対して行われた電話による攻撃では、130のアカウントに到達し、わずか1日の午後のうちに概算で12.86ビットコインを集めました。確認済みのビットコインの支払いは取り消せないため、この詐欺は一度成功すればよいだけです。

仕組み

ソーシャルエンジニアリングの攻撃は、どれも同じ4つの要素を同じ順序で組み立てます。

プリテキストは、攻撃者があなたと話す口実を与えます。詐欺対策部門、取引所のサポート、配送の問題、求人の案内、マッチングアプリでの新しい相手などです。権威または親近感がその口実を効かせます。偽装された発信者番号、漏えいしたデータベースからの本物の詳細、あるいは単にあなたの名前と利用している取引所を知っていることによって供給されます。緊急性は、あなたが確認する余裕を奪います。アカウントが侵害された、あるいは期限の迫る機会だということは、判断を今すぐ行わなければならないことを意味するからです。最後に取り返しのつかない行為です。コインを送る、コードを読み上げる、リモートアクセスツールをインストールする、言葉を入力する、といった行為です。

ビットコインはこの最後の段階をより厳しくします。カード詐欺には、請求を取り消せる発行会社と、損失の一部を負担する銀行があります。確認済みのオンチェーン決済にはそのどちらもないため、攻撃者の利益は最初の確認の時点で確定します。通常は、あなたが送信を押してからおよそ10分後です。

最も被害の大きい攻撃は顧客を完全に飛ばして企業の従業員を標的にし、そこでは1件の成功が数千のアカウントに届きます。Coinbaseは2025年5月15日に、海外のカスタマーサポートの委託先が顧客データを引き渡すよう買収され、そのデータが「あなたのアカウントは侵害されています」という説得力のある電話に使われたことを公表しました。同社は2,000万ドルの身代金要求を拒否し、是正と払い戻しの費用を1.8億～4億ドルと見積もりました。

どこで見られるか

6つのソーシャルエンジニアリングのパターンが損失の圧倒的大多数を占めており、それぞれにそれを打ち破る機械的なルールがあります。

**安全なウォレットへの誘導電話。**取引所やウォレットベンダーの担当者だと名乗る人物が、あなたのアカウントは侵害されていると言い、提供した「安全なアドレス」へ資金を移すよう手順を案内します。正当な企業がコインを移すよう求めることは決してありません。そう求める発信者は攻撃そのものですから、電話を切ってください。

**検索とチャットでのサポートのなりすまし。**公開の苦情を投稿した瞬間に、有料の検索広告や、正しいロゴを付けたTelegramやDiscordのアカウントが現れます。本物のサポートから先にメッセージを送ることはありません。サポートには、ご自身でたどり着いたページを通じてのみ連絡してください。

**回収詐欺。**損失の後、2人目の攻撃者が、前払いの手数料と引き換えにあなたのコインを追跡して回収すると申し出ます。被害者のリストはまさにこのために転売されます。民間のサービスがビットコインのトランザクションを取り消すことはできません。

**内部からのアクセス。**買収されたサポートの委託先や通信事業者の従業員は、企業の通常のツールを攻撃面に変えます。Coinbaseの公表がそれを示しました。取引所はあなたの保有量と住所を知っているものと考え、長期的に保有する分は取引所の手の届かない場所に保管してください。

**偽の求人面接とコード。**開発者は「自宅課題」やビデオ通話のプラグインを送られ、それが情報窃取プログラムをインストールし、その後ディスク上のウォレットファイルやシードのバックアップを探し回ります。

**物理的な強要。**漏えいした顧客の住所リストが、既知の保有者を狙った住居侵入につながっています。保有資産は、話さず、見せないものとして扱ってください。

2つのルールがこの6つすべてを覆います。入ってきた連絡に促されてコインに関する行動を取らないこと、そして必ずご自身で調べた番号にかけ直すことです。予定外の送金には24時間の個人的な冷却期間を設けてください。緊急性は、どの攻撃者も欠かせない材料だからです。