Exchange ユーザーをターゲットにした一般的なフィッシング詐欺を回避するにはどうすればよいですか? (セキュリティチェックリスト)

不審な電子メールのパターンを認識する

1. 正規の暗号通貨取引所は、ユーザーに電子メール リンクを介してアカウントの詳細を確認するよう求めることはありません。

2. フィッシングメールは多くの場合、公式ブランドを模倣していますが、微妙な矛盾が含まれています。つまり、「binance.com」ではなく「binnance.com」など、ドメイン名のスペルが間違っています。

3. 埋め込みリンクの上にマウスを移動すると、実際のリンク先 URL が表示されます。これは、多くの場合、セキュリティで保護されていないドメインまたは無関係なドメインを指しています。

4. 「あなたのアカウントは 2 時間以内に停止されます」などの緊急の言葉は、合理的な監視を回避するために設計された危険信号です。

5. 公式サポート チームは、電子メールや SMS を通じてパスワード、API キー、または 2FA コードを求める問い合わせを開始しません。

ログインする前に Web サイトの信頼性を確認する

1. メッセージや検索結果からリンクをクリックするのではなく、必ず取引所の公式 URL をブラウザに直接入力してください。

2. HTTPS と有効な SSL 証明書を確認します。アドレス バーの横にある南京錠のアイコンをクリックして、その有効性と発行局を検査します。

3. 最初の安全なアクセス時にそのページの信頼性を確認した後、正しいログイン ページをブックマークします。

4. 余分なサブドメインや珍しい文字を含む URL には注意してください。たとえば、「login.binance-security.net」は Binance と提携していません。

5. 一部のフィッシング サイトは、TOTP トークンを収集するために 2 要素認証プロンプトを複製します。本物のプラットフォームは、セッション中に繰り返し 2FA エントリを要求することはありません。

API キーと出金設定を保護する

1. 公開デバイスまたは共有デバイスでは API キーを決して生成しないでください。常にアクセス許可を制限し、絶対に必要な場合を除き、出金アクセスを無効にします。

2. API キーの IP ホワイトリストを有効にして、既知の信頼できるネットワーク アドレスからのみ機能するようにします。

3. Exchange ダッシュボードでアクティブな API キーを定期的に確認し、認識されないものや古いものがある場合はすぐに取り消します。

4. API 認証情報をプレーンテキスト ファイル、クラウド ノート、ブラウザの自動入力フィールドに保存しないようにします。

5. 引き出しアドレスのホワイトリストを設定し、2FA が有効になっている場合でも、新しいアドレスの手動確認を要求します。

多層認証プロトコルを有効にする

1. SIM スワッピング攻撃に対して脆弱な SMS ベースの 2FA の代わりに、ハードウェア セキュリティ キー (YubiKey など) を使用します。

2. Google Authenticator や Authy などの認証アプリを、不審なサイトの閲覧に使用するものではなく、専用のモバイル デバイスにインストールします。

3. 一部の取引所が提供するフィッシング対策コードを有効にします。このコードは、サイトの正当性を確認するためにログイン中に固有のフレーズを表示します。

4. より強力な代替手段が利用可能な場合は、電子メールベースのリカバリなどの未使用の認証方法を無効にします。

5. バックアップ コードは、電子メールやクラウド ドライブではなく、物理的な金庫または暗号化されたオフライン ストレージにオフラインで保存します。

よくある質問

Q: Exchange アカウントのみを使用してログインした場合、フィッシング サイトが私の秘密キーを盗む可能性がありますか? A: いいえ、取引所はユーザーのウォレットの秘密鍵を保管しません。ただし、API キーまたはセッション Cookie が侵害された場合、攻撃者は取引残高から資金を流出させたり、リンクされたウォレット接続をハイジャックしたりする可能性があります。

Q: サードパーティのアプリ ストアからダウンロードした Exchange モバイル アプリを使用しても安全ですか? A:いいえ。 Apple App Store、Google Play、または取引所が直接公開しているダウンロード ページなど、検証済みのソースからの公式アプリのみをインストールしてください。サードパーティのバージョンには隠れたマルウェアが含まれている可能性があります。

Q: 偽のログイン ページに誤って資格情報を入力してしまった場合はどうすればよいですか? A: 直ちにパスワードを変更し、アクティブなセッションをすべて取り消し、API キーを無効にして再生成し、キーロガーや認証情報を盗むマルウェアがないかデバイスをスキャンしてください。

Q: ハードウェア ウォレットは取引所関連のフィッシングから守ってくれますか? A: ハードウェア ウォレットは秘密キーをローカルに保護しますが、侵害された Exchange アカウントを通じて開始される不正な出金を防ぐことはできません。保護は、交換インターフェイス自体のセキュリティを確保することに依存します。