仮想通貨を狙ったフィッシング詐欺：Bitcoin等を盗む手口

Bitcoinをはじめとする仮想通貨は、最近見られた相場の乱高下も手伝って、たいへん盛り上がりを見せています。つい1年前は、仮想通貨と言えばオタクやマニアの領域でしたが、今やあらゆるオンラインメディアで取り上げられていますし、テレビやラジオでも話題です。仮想通貨市場についての新情報を聞かない日はありません。

詐欺師もまた、チャンスを嗅ぎつけています。まさに、仮想通貨はフィッシング詐欺（偽のサイトを作成し、不用心な訪問者の認証情報を盗む行為）に新たな目的を与えたのです。

単純な暗号フィッシング

一番単純な形の仮想通貨フィッシングは、昔ながらのスパムメールを利用したフィッシングです。こういうメールは、Webウォレットや取引所など、仮想通貨関連サービスの提供元から送られたように見せかけてあります。

メールの内容は普通のフィッシングメールよりもはるかに詳しく、洗練されています。たとえば、以下に示す例は、「xxxというアドレスから、xxxというブラウザーを使って、あなたのアカウントへのサインインが試みられました」という、セキュリティアラート風の内容です。問題が起きたのではないかと、メールに記載のリンクをクリックして確認したくもなります。何かあった場合に暗号ウォレットサイトからこのような通知が来るように設定してあったなら、こんなメールが届いても不審に思わないでしょう。

セキュリティアラートを装ったフィッシングメール

仮想通貨関連のアンケートへの協力をお願いする体裁のものもあります。回答の謝礼としてかなり気前のいい額（以下の例では0.005ビットコイン程度、現在のレートで50～70ドルほど）を提示し、アンケートに参加するには「リンクをクリック」するようにと促します。

アンケートへの協力を促す内容のフィッシングメール

行き着く先はいつも同じです。お馴染みの仮想通貨のサイト（ただし偽物）が表示され、電子ウォレットの認証情報の入力を求められます。有名なBitcoin Webウォレットサイトの大半は、かなりシンプルながら一目でそれと分かる見た目なので、それっぽく見える偽サイトを作りやすいのです。

blockchain.infoを装ったフィッシングサイト3種

利益はかなりの額になります。0.2～0.3コイン程度が入った電子ウォレット1つを乗っ取ることは、闇市場ではまとめて20セント程度にしかならないメールアカウントを1つ盗むのとは違います。電子ウォレットは迅速かつ直接的に利益につながるので、犯罪者はフィッシングメッセージへの投資を増やし、その完成度をさらに高めているのです。

独創的な仮想通貨フィッシング

最近は、さらに複雑な仮想通貨フィッシングの仕組みが出てきています。Facebookの「興味深い」機能を使用したやり方です。

1. 詐欺師は仮想通貨関連のFacebookグループを探し出し、このグループの公式ページとタイトルが同じでデザインもそっくりなページを作成します。偽ページのアドレスには、本物と1文字くらいしか違わないくらいの、よく似たアドレスを設定します。Facebookでは、自分自身の名前や自分が属する組織の名前を自由に付けられますし、ページのアドレスよりもこういった名前の方が目立つように表示されるので、アドレスの微細な違いを見つけるのは簡単ではありません。

ある仮想通貨プラットフォームの正規Facebookページ（上）とその偽物（下）

2. 詐欺師は、この偽のページから、本物のグループのメンバー宛にフィッシングメッセージを送信します。ただ、個人宛のメッセージは、さまざまな理由から適していません（たとえば、ページに代わってユーザーにメッセージを送ることができないなど）。そこで、詐欺師は興味深いトリックを使います。偽ページでグループメンバーのプロフィール写真をシェアし、メンバーをタグ付けするのです。このトリックが抜け目ないのは、誰でもそのプロフィール写真が見える（公開状態である）ところです。こうなったら、他の人たちによるシェアやタグ付けを止められません。つまり、プライバシーに十分注意している人に対しても、この手口は有効なのです。このようなタグ付けによるフィッシングから身を守るには、知らない人や知らないページ（またはグループ）によるタグ付けに関する通知を受け取らないように設定するしかありません。

3. 何より興味深いのは、メッセージの内容です。たとえば以下の例は、「平素より当プラットフォームをご愛顧いただいていることへの感謝として、限定100名様に20.72327239[仮想通貨単位]を贈呈させていただきます」という内容です。もちろん、贈呈された仮想通貨を受け取るためのリンクも記載されています。
   また、受け取り要件（そのプラットフォームでの最低取引件数など）が詳しく書かれている点にも注目してください。高すぎず納得のいく、いかにも正確な細かい金額の提示（約100～200ドル）と相まって、すべてがもっともらしく見えます。

フィッシングメッセージの例

仮想通貨フィッシングから身を守るには

最近の仮想通貨市場は、金のなる木のように見えるかもしれません。しかし、仮想通貨サービスは慈善事業ではなく、面白半分にお金をばらまいているのでもありません。もし、誰かが仮想通貨をタダであげると言ってきたら、釣り針付きの餌だと考えていいでしょう。

1. リンクは慎重に確認してください。一番よいのは、インターネットサービスから届いたメッセージ内にあるリンクは一切クリックしないことです。その代わり、ブラウザーのアドレスバーに、アクセス先のアドレスを入力するようにしましょう。
2. Facebookを使った詐欺に引っかからないよう、プライバシー設定を十分に確認しましょう。方法については、こちらの記事を参照してください。Facebook通知を設定するのも一案です。それについての記事もあります。
3. フィッシング詐欺対策機能を持つセキュリティ製品を使用しましょう。カスペルスキー インターネット セキュリティ（カスペルスキー セキュリティのWindows対応プログラム）には、フィッシング対策機能が搭載されています。