仮想通貨におけるソーシャルエンジニアリング攻撃とは

暗号資産（仮想通貨）ウォレットのシードフレーズをだまし取る手口はさまざまです。偽のメールを送ったり、公式サイトを装った偽サイトを作成したり、端末にマルウェアを仕込むなど、攻撃者の手法は多岐にわたります。しかし、これらの多くは「ソーシャルエンジニアリング」と呼ばれる手法に集約されます。

情報セキュリティの分野で、ソーシャルエンジニアリングとは「人間の心理や行動を巧みに操り、攻撃者の目的を達成させる」詐欺のことです。多くの場合、この手法だけで十分な被害が発生します。では、どのような仕組みで、なぜ有効なのでしょうか。
 

ソーシャルエンジニアリングとは？

ソーシャルエンジニアリングは、人を巧みに操り、機密情報を引き出したり、セキュリティを損なう行動を取らせたりする攻撃手法です。仮想通貨の分野では、シードフレーズや秘密鍵を聞き出したり、不正なアドレスへ送金させたり、マルウェアをインストールさせるなどの目的で使われます。

従業員になりすまして個人アカウントへアクセスする手口も一般的です。ソーシャルエンジニアリングは人為的ミスを突くため、他の技術的な攻撃よりも発見が難しい傾向にあります。

人間のミスは、ソフトウェアやOSの脆弱性を突くマルウェア攻撃よりも予測困難です。そのため、ソーシャルエンジニアリングはセキュリティ対策をすり抜ける確率を高めてしまいます。

ソーシャルエンジニアリング攻撃の仕組み

ソーシャルエンジニアリング攻撃は主に2段階で行われます。まず攻撃者はターゲットを調査し、侵入経路やセキュリティ上の弱点となる情報を集めます。

次に、攻撃者は標的の信頼を得るため、あたかも正規の手続きを装って機密情報の開示や重要なリソースへのアクセスを促します。

この攻撃手法は非常にシンプルで、忙しい・油断している・信じやすい人をうまく誘導できれば成立します。有名な事例としては、Twitter社の従業員がだまされ、社内プロセスへのアクセス権を奪われた事件があります。このアクセスを利用して、ジョー・バイデン氏、イーロン・マスク氏、ビル・ゲイツ氏、カニエ・ウェスト氏など著名人のアカウントが乗っ取られ、フォロワーからビットコインを直接送金させる被害が発生しました。

このような攻撃は驚くほど簡単に実行でき、ほぼ同じ流れで繰り返されます。

• まず、攻撃者がターゲットを特定・調査します。
• 次に、信頼関係を築き、被害者との関係を深めます。
• 信頼が得られた段階で、実際の攻撃が行われます。
• 目的が達成されたら、攻撃者は身を引きます。

これらの攻撃は、メールのやり取りやSNS上の会話など、日常的なコミュニケーションを通じて行われます。結果的に、個人情報を第三者に渡してしまったり、マルウェアに感染するリスクが高まります。

主なソーシャルエンジニアリング攻撃の種類

仮想通貨分野でよく見られるソーシャルエンジニアリング攻撃を紹介します。

1. フィッシング攻撃

フィッシング攻撃は、信頼できる企業を装った偽メールやSMSを送り、受信者をだましてシードフレーズやパスワードなどの機密情報を盗み取る手口です。

フィッシング攻撃には主に2種類あります。

Spam phishing：不特定多数に一斉送信されるスパム型のフィッシングです。攻撃者は誰かが引っかかることを狙っています。

Spear phishing：特定の人物を狙った標的型フィッシングです。攻撃者はターゲットについて徹底的に調査し、信憑性の高いメッセージを作成してだまします。有名人や経営者、政治家などが標的になることもあります。

フィッシング攻撃とその対策については、Tangemコミュニティの記事もご覧ください。

2. なりすまし（プレテキスティング）

なりすまし（プレテキスティング）は、架空の状況を作り出し、ターゲットに機密情報を開示させる攻撃です。攻撃者は信頼を得るため、より説得力のあるシナリオを用意します。

たとえば、銀行の従業員を装って電話をかけ、パスワードや個人情報の確認を求めるケースがあります。こうした電話は見抜くのが難しく、成功率も高いです。フィッシングメールやSMSよりも発見しづらいため、注意が必要です。

3. ばらまき型攻撃（ベイティング）

ばらまき型攻撃（ベイティング）は、マルウェアを仕込んだUSBやCDなどをオフィスや大学などの公共の場に故意に放置し、拾った人がパソコンに接続することで感染させる手法です。

また、無料のソフトウェアや特典を装ったメールの添付ファイルにも注意が必要です。こうした「お得な話」には危険が潜んでいることが多いので、安易に開かないようにしましょう。

4. スケアウェア

スケアウェアは、「ウイルスに感染しています」などの偽の警告やポップアップを表示し、不安を煽ってウイルス駆除ツールのダウンロードを促します。しかし、実際にダウンロードするとマルウェアが仕込まれている場合があります。

攻撃者はこれにより個人データへアクセスしたり、偽のセキュリティソフトの購入やログイン情報の入力を誘導したりします。

5. クイド・プロ・クオ（見返り型詐欺）

クイド・プロ・クオ攻撃は、「何かと引き換えに個人情報を提供させる」詐欺です。攻撃者はパソコンの不具合を直す、便利なサービスを提供するなどと偽り、メールアドレスやパスワードなどの情報を聞き出します。

こうした申し出は単なる「エサ」であり、情報を渡してしまうと個人情報の悪用や詐欺被害につながる危険があります。見知らぬ相手には安易に個人情報を教えないよう注意しましょう。

 

Tangem安全性クイズで、自分がソーシャルエンジニアリング詐欺からどれだけ身を守れているかチェックしてみましょう。

ソーシャルエンジニアリング攻撃の標的は？

ソーシャルエンジニアリング攻撃は、個人・組織・企業を問わず標的になります。特に、経営層や著名人、機密情報にアクセスできる人が狙われやすいです。
また、セキュリティ対策が不十分な企業や組織も攻撃対象となります。

若い世代や入社したばかりの従業員は、サイバーセキュリティに関する知識や経験が少ないため、被害に遭いやすい傾向があります。企業はこうした従業員への教育・注意喚起を徹底することが重要です。
 

ソーシャルエンジニアリング攻撃の見分け方

1. 知らない送信者からのメッセージには注意しましょう。メールアドレスやSNSのプロフィールをよく確認し、怪しい場合は安易に連絡を取らないようにしてください。
    
2. メッセージの送信者が本当に本人か、必ず確認しましょう。直接会うか電話で本人確認を行うのが安全です。特に、アカウント乗っ取りやなりすましの疑いがある場合は要注意です。
    
3. ウェブサイトの正当性を確認する際は、URLや画像の質、企業ロゴなどをチェックしましょう。誤字や古い情報がある場合は、すぐに離脱して安全を確保してください。
    
4. 「うますぎる話」には警戒しましょう。こうしたオファーはソーシャルエンジニアリング攻撃の一環であることが多いです。個人情報（メールアドレスなど）も安易に提供しないようにしましょう。
    
5. メール内の怪しいリンクや添付ファイル名に注意してください。不自然な文脈やタイミングにも警戒し、心当たりのないものは絶対に開かないようにしましょう。

ソーシャルエンジニアリング攻撃を防ぐポイント

被害を防ぐため、以下の対策を心がけましょう。

• 不審なメールやメッセージ内のリンクは、内容に少しでも違和感があれば絶対にクリックしない。
• 強力なパスワードを設定し、アカウントを保護する。
• 可能な場合は多要素認証（2段階認証）を利用する。
• アプリやOSは常に最新の状態に保ち、脆弱性を悪用されないようにする。
• SNSや公開フォーラムで個人情報を過度に公開しない。
• Twitterなどで「最初に遊んだゲーム名」「母親の旧姓」「ペットの名前」「出生地」など、個人情報を答えるクイズには参加しない。
   

仮想通貨ユーザーを狙うソーシャルエンジニアリング詐欺

仮想通貨ユーザー（初心者・上級者問わず）を狙ったソーシャルエンジニアリング詐欺の事例を紹介します。

• Coinbaseリセット詐欺

2024年2月、暗号資産調査員のZachXBT氏が「Coinbaseリセット詐欺」と呼ばれる手口を発見しました。攻撃者は被害者の個人情報を集め、Coinbaseのログイン情報をリセットさせるよう仕向けます。実際に約1,400ETH（約400万ドル相当）を失ったケースも報告されています。
被害を防ぐには、2段階認証など追加のセキュリティキーを利用し、パスワードやメールアドレスの使い回しを避け、不審なログイン要求には十分注意しましょう。

コミュニティ内では、攻撃者が取引所の内部情報を持っているのではないか、あるいはCoinbaseスタッフを装っているのではないかといった憶測もあります。また、詐欺師同士が互いに騙し合う事例も報告されており、こうした犯罪行為の実態は非常に曖昧です。

• サポート詐欺メール

暗号資産詐欺の被害者には、取引所やウォレット、DeFiプロジェクトのサポートを装ったメールが届くことがあります。内容は「アカウントがハッキングされたので至急復旧が必要」など、よくある定型文です。

詐欺師は「テクニカルサポート担当」と名乗り、被害者の代わりに新しいシードフレーズを発行すると持ちかけますが、実際には古いシードフレーズの提供を要求します。これは完全な罠です。この手口はやり取りのみで完結し、被害者が特定のサイトや場所に誘導されることはありません。

• 便利サービス詐欺

「資産を失うことへの不安」は詐欺師が利用しやすい心理ですが、それだけではありません。「面倒な作業を簡単にしたい」という欲求も狙われます。あるユーザーは、あらゆるDeXやNFTプラットフォームにWalletConnect経由で接続できると謳うアグリゲーターサイトに遭遇しました。

サービスは一見便利そうでしたが、何度QRコードを読み込んでもエラーが表示され、解決策として「秘密鍵またはシードフレーズの入力」を求められました。幸いTangem Walletはシードフレーズ不要だったため、被害を免れました。

• エキスパート詐欺

SNSで「専門家」を装い、信頼を得てから詐欺を仕掛ける手口もあります。偽アカウントを作成し、投稿や写真をシェアしたり、ターゲットを友達追加したり、仮想通貨コミュニティに参加したりします。

本物の人物を装って一定数のフォロワーを集めた後、「高収益案件」などの魅力的なオファーを持ちかけます。ウォレットのインストールやプロジェクト登録、エアドロップ参加などが典型例です。

多くの詐欺師はストーリーの細部を詰めず、5ドル程度で「本物らしい」SNSアカウントを購入してグループに参加し、ユーザーへメッセージを送ります。こうしたアカウントは投稿数も少なく、情報もほとんどありません。
 

自分と資産を守るために

心理学的に「お金＝生存」と結びつくため、資産を失う恐怖は本能的なものです。「資産が危険」といったメッセージを受け取ったら、まずは一呼吸おいて冷静に状況を判断しましょう。

繰り返しになりますが、秘密鍵やシードフレーズは絶対に他人へ教えないでください。資産の保管には、Tangem Walletのようなシードフレーズ不要のコールドウォレットも有効です。