乗っ取られたアカウント：信頼できる発信者が詐欺を投稿するとき

その投稿は、あなたが何年もフォローしているアカウントから届きます。有名なプロジェクト、創業者、評判の高いアナリストです。サプライズのトークンローンチ、数量限定のエアドロップ、緊急の移行を告知し、リンクが添えられています。アカウントは認証済みで、プロフィール画像も本物、文章の雰囲気さえ見慣れたものです。

それでも詐欺です。アカウントはもう本来の持ち主の手にないからです。ソーシャルメディアのアカウント乗っ取りは、暗号資産を盗む最も効率的な手口のひとつになりました。まさに、何年もかけて築かれた信頼を借りられるからです。

攻撃者が信頼されたアカウントを狙う理由

偽アカウントはゼロから注目を集めなければなりません。乗っ取られたアカウントは、すでに信じてくれている読者を抱えた状態から始まります。侵害されたプロジェクトのアカウントからの投稿ひとつで、数分のうちに数十万人のフォロワーに届きます。攻撃者にとっては、投稿が気づかれて削除される前に、そのごく一部がクリックしてくれれば十分です。

だからこそ、こうした攻撃はたいてい素早く派手です。立て続けの投稿、オフにされたリプライ欄や偽の称賛で埋め尽くされたリプライ、そして一時間だけ機能すればよいリンクです。

アカウントはどのように乗っ取られるのか

• フィッシングで盗まれたログイン情報。「著作権侵害」「認証」「提携」をうたう偽メッセージが本物そっくりのログインページへ誘導し、パスワードと二要素認証コードをリアルタイムで盗み取ります。
• SIM スワップ。アカウントの復旧が電話番号に頼っている場合、その番号を自分の SIM に移した攻撃者はパスワードをリセットできます。
• 侵害された連携アプリ。投稿権限を持つ外部の予約投稿ツールや分析ツールは、パスワードに一切触れずに悪用される可能性があります。
• チームメンバーの端末に潜むマルウェアがログイン中のセッションを盗みます。パスワードは不要です。
• 脆弱な復旧用メールアドレス。ソーシャルアカウント自体は強固でも、その背後にあるメールが弱いケースです。

詐欺投稿によくある内容

• サプライズのトークンやエアドロップと「受け取る」リンク。偽のエアドロップと同じ手口で、ウォレットを接続し、署名し、資金を失います。
• 緊急の移行：「期限までにトークンを新しいコントラクトへ移してください」。
• それ自体が攻撃であるセキュリティ警告：「脆弱性が見つかりました。ここで承認を取り消して再承認してください」。
• 先に送金を求めるプレゼント企画。
• サポートの申し出：「チーム」を名乗るアカウントが問題解決を手伝うと返信してきますが、行き着く先は同じ偽サポートの手口です。

見分け方

• 緊急性とリンクの組み合わせは、どれほど信頼できるアカウントからでも警告サインです。
• ほかのチャネルを確認する。同じ告知がプロジェクトの公式サイト、ドキュメント、ブログ、ほかの公式アカウントにも出ていますか。本物のローンチは連携して行われますが、乗っ取りは通常そうではありません。
• リンクの表示文字ではなく、ドメインを見る。新しいドメインや微妙に違うドメインは最もわかりやすいサインです。
• リプライがオフになっていないか、同じような熱狂的コメントで埋まっていないかに注意する。
• 一時間待つ。乗っ取りはたいていすぐに発覚し、元に戻されます。本物のチャンスなら残っていますが、詐欺は通常消えています。

これらすべての根底にあるのは、フィッシング全般と同じルールです。メッセージ内のリンクから行動せず、自分でサイトにアクセスしてください。

多くの人に信頼されるアカウントを運営しているなら

プロジェクトや著名人が狙われるのは、まさにその読者層のためです。いくつかの対策で乗っ取りは格段に難しくなります。

• 二要素認証には SMS ではなく、ハードウェアセキュリティキーか認証アプリを使う。
• プラットフォームが許す限り、復旧手段から電話番号を外す。
• 復旧用メールアドレスはアカウント本体と同じ基準で守る。
• 連携アプリを定期的に見直し、使っていないものは削除する。
• 投稿できる人を限定し、パスワードを共有するのではなく、プラットフォームのチーム機能や権限委任機能を使う。
• 乗っ取り時の対応を事前に決めておく：誰がプラットフォームに連絡するのか、どこに警告を出すのか、フォロワーが公式チャネルをどう確認できるのか。

SSP の情報発信について

SSP がトークン、エアドロップ、あなたの資金の「移行」、あるいはリカバリーフレーズを入力すべき理由を告知することは、どこであっても決してありません。私たちが移行すべきものは何もありません。あなたのコインはあなた自身の 2-of-2 金庫にあり、動かせるのはあなたの二台の端末だけです。

もし私たちのものに見えるアカウントが、ウォレットの接続、受け取り、移行、認証を求める投稿をしていたら、乗っ取られたものとして扱い、何かをする前に公式サイトとドキュメントを確認してください。

そして万が一リンクをすり抜けてしまっても、SSP の二台承認がもう一度チャンスをくれます。すべての取引と署名には、スマートフォン上の SSP Key での確認が必要で、そこで実際に何を承認しようとしているのかを読むことができます。

正直なまとめ

乗っ取られたアカウントは、他人の評判を攻撃者の拡声器に変えてしまいます。アカウントが本物だからといって、投稿が本物とは限りません。

誰が投稿したものであっても緊急性とリンクを疑い、告知は二つ目の公式チャネルで確認し、クリックせずに自分でサイトへアクセスし、「期間限定」のチャンスには一時間置いてください。ほとんどの乗っ取りは、それほど長く続きません。