暗号資産を狙うフィッシング詐欺とは？見分け方とメールを開いた場合の対処法を解説

取引所やウォレットの名前で1通のメールが届き、手が止まっていないでしょうか。ロゴも文面も本物に見えるのに、求められているのはログインと本人確認。押してよいのか、無視して手続きが遅れないか。答えが出せないまま、開いたり閉じたりを繰り返している状態だと思います。

判断に迷うこと自体は誰にでも起こりますが、間違えたときの重さは同じではありません。クレジットカードや銀行口座なら、気づいた後に止めにいく手続きが一応は用意されています。暗号資産（仮想通貨）にはそれがなく、送金が確定すれば取り消せません。シードフレーズを渡せばウォレットごと開かれ、一度の入力がそのまま戻らない損失になります。

ここでは、届いたメールを確認する視点、すでにクリックや入力をしてしまった場合の対処、認証方式とウォレット承認の見直しを順に扱います。手元にそのメールを開いたまま、上から確かめていってください。

フィッシングメールとは何か―暗号資産の被害だけ「取り返しがつかない」理由

フィッシングメールとは、実在する企業やサービスになりすまし、受け取った人から情報や資産をだまし取るメールです。差出人名やロゴを本物に似せ、メール内のリンクから偽のログイン画面へ誘導し、そこで入力されたIDやパスワード、カード番号をそのまま奪います。名前を借りられる相手は、銀行、宅配業者、ECサイトなど日常的に使うサービス全般に及び、暗号資産の取引所やウォレットも含まれます。

押さえておきたいのは、何を渡したかによって、その後に取れる手段が変わる点です。クレジットカードなら、カード会社に不正利用を申し出て支払いの取り消し（チャージバック）を求められる場合があり、銀行口座なら、金融機関を通じて振込先へ資金の返還を求める「組戻し」という手続きがあります。いずれも必ずお金が戻るわけではありませんが、被害に気づいた後に動ける制度が用意されていることに変わりはありません。

一方、暗号資産にはこの制度がありません。ブロックチェーン上で送金が確定した取引を、後から取り消したり差し戻したりする仕組みは存在しないうえ、取引を巻き戻す権限を持つ管理者もいないため、申し出れば元に戻るという窓口そのものがありません。誤って送った場合も、だまし取られた場合も、扱いは同じです。ウォレットを丸ごと復元できるシードフレーズを入力してしまった場合も同様で、これを手にした第三者は、自分の端末で同じウォレットを開いて中身を送金できます。

つまり暗号資産を持つ人にとって、フィッシングメールは「気をつけていれば、後で何とかなる」類のリスクではありません。判断を誤った一度の入力が、そのまま確定した損失になり得ます。まずは、今あなたの手元にあるそのメールを確認するところから始めます。

今すぐ確認する2つの視点

届いたメールが本物かどうかを確かめるとき、見るべき場所は大きく2つしかありません。**「誰から来たか」と「何が書かれているか」**です。前者は差出人のアドレスやリンク先といった、送り主の身元にあたる部分。後者は件名や本文で何を求められているか、という中身にあたる部分です。

この2つは役割が違い、どちらか片方だけでは判断しきれない場面があります。特に文面の側は、これまで有効とされてきた見分け方がそのままでは通用しなくなってきました。ここでは、身元の確認と文面の確認を順番に見ていきます。

送信元・URL・ドメインで見抜く

最初に確認するのは、差出人のメールアドレスです。表示名は自由に設定できるため、「〇〇サポート」といった名前自体は本物の根拠になりません。見るべきは「＠」より後ろのドメインで、公式サイトのURLと綴りが一致しているかを一文字ずつ確認します。ハイフンや余計な単語を足す、英字の「l」を数字の「1」に替えるなど、よく似せた文字列が使われるためです。

次に、本文中のリンク先です。表示されている文字列と実際の遷移先は別物で、パソコンならカーソルを重ねる、スマートフォンなら長押しすれば本当のURLを確認できます。出てきたドメインが公式と違えば、疑う理由になります。短縮URLで遷移先が分からない場合も、確認できない以上は本物と判断する材料になりません。

そして、確認しても判断がつかないときです。リンクを開いて確かめようとせず、そのメールはいったん閉じてください。口座の状況は、公式アプリかブックマークから入り直せば本物の画面で確認できます。本当に手続きが必要ならログイン後の画面にも同じ案内が出ているはずで、メールにしか存在しない案内ならそれが答えです。メールのリンクを使わずに同じ用件へ到達する習慣は、迷う時間そのものを減らします。

もう一歩踏み込むなら、メールの「ソース」を表示する方法があります。Gmailならメニューの「メッセージのソースを表示」、Yahoo!メールやOutlookにも同様の機能があります。表示された文字列の「Authentication-Results」という行に、spf・dkim・dmarcの判定がpassやfailで並びます。これは、名乗っているドメインから本当に送信されたかを受信側が検証した結果で、failが並べばなりすましを疑う材料になります。すべての環境で確認できるわけではありませんが、迷ったときの手段として覚えておいてください。

文面の異変で見抜く。「日本語の不自然さ」はもう決め手にならない

文面の側で目印になるのは、主に3つです。1つ目は、緊急性を煽る言葉。「24時間以内に手続きしないと口座を凍結します」といった、考える時間を奪う書き方です。2つ目は、宛名。氏名ではなく「お客様」やメールアドレスがそのまま入っているものは、不特定多数へ一斉に送られている可能性があります。3つ目は、身に覚えのなさ。使った記憶のないサービス、注文した覚えのない商品に関する通知は、その時点で内容を信じる理由がありません。

一方で、効力を失いつつある目印があります。日本語の不自然さです。以前は、助詞の使い方や句読点の位置の違和感が、そのまま偽物の証拠として機能していました。しかし現在は、生成AIによって自然な日本語の文章を作れます。誤字脱字のない整った文面は、もはや本物である根拠になりません。「日本語がきれいだから本物だろう」という判断は、そのまま危険な方向へ働きます。

だからこそ、文面の印象だけで結論を出さないことが重要です。緊急性や宛名の違和感は、あくまで「疑ってかかる」きっかけにすぎません。そこから先は、前の項目で見た送信元のドメインやリンク先の確認と組み合わせてください。文面がどれだけ整っていても、ドメインが公式と違うという事実は動きません。2つの視点は、どちらかを選ぶものではなく、両方を通して初めて意味を持ちます。

騙りの型と、暗号資産の取引所・ウォレットで特に狙われる手口

フィッシングメールは、無数のパターンがあるように見えて、人を動かすための型そのものは驚くほど似通っています。受け取った人が放置できない用件を作り、公式の画面によく似た場所へ連れていくという骨格は、名前を借りられる業種が変わっても変わりません。だからこそ、自分に関係のない業種の事例であっても、型を知っておくと目が慣れます。

一方で、その型に何を流し込むかは業種によって違います。暗号資産の取引所やウォレットを名乗るメールには、他の業種では出てこない要求が含まれます。ここでは、まず業種を問わず使い回されている定番の型を押さえ、そのうえで暗号資産の場合に何が狙われるのかを見ていきます。

宅配便・金融機関・ECサイト・通信キャリアを騙る定番の型

よく使われる型は、大きく4つに整理できます。1つ目は宅配便の不在通知を装うもので、荷物を預かっている、再配達の手続きが必要だという文面で、住所や氏名の入力画面へ誘導します。2つ目は金融機関のセキュリティ警告を装うもので、不正なログインを検知した、口座を一時制限したといった通知から、ログイン情報や暗証番号を入力させようとします。3つ目はECサイトの支払い情報更新を装うもので、カードの有効期限が切れた、支払いが確認できなかったという理由でカード番号を求めます。4つ目は通信キャリアの高額請求や料金未納を装うもので、期限までに支払わなければ利用を停止するという文面が使われます。

これらは暗号資産と直接の関係がない型です。それでも目を通しておく価値があるのは、4つに共通する骨格が、そのまま暗号資産のメールにも流用されているからです。急がせる理由をつくり、公式を思わせる画面へ誘導し、その場で情報を入力させる。業種が変わり、文面が変わっても、この流れ自体は繰り返されます。自分が使っていないサービスを名乗るメールが届いたときは、型を観察する機会だと考えてみてください。なお、こうしたメールで名前を使われている企業は、被害を受けている側です。実在する企業名が書かれていること自体は、そのメールの真偽とは関係がありません。

暗号資産の取引所・ウォレットを装う手口の実例

取引所を名乗るメールでまず多いのが、口座の状態を理由にログイン情報を求める型です。「アカウントが一時的にロックされました」「本人確認の再提出が必要です」といった文面から、公式によく似たログイン画面へ誘導します。ここでIDとパスワードを入力すると、そのまま本物の口座へのログインに使われます。資産を預けている口座ほどロックや凍結という言葉に強く反応するため、急がせる文面は暗号資産の文脈で特に効いてしまいます。

より危険度が高いのが、ウォレットを名乗る型です。「アップデートに伴い資産の同期が必要です」「新しいネットワークへの移行手続きをおこなってください」といった名目で、シードフレーズ（リカバリーフレーズ）の入力を求めてきます。正規のウォレットの運営が、メールを起点にシードフレーズの入力を求めることはありません。同期や移行のために第三者へ渡す必要がないためです。入力させようとする画面が出てきた時点で、それ以上進む理由はありません。

こうした手口は、実際に注意喚起の対象になっています。国内の暗号資産交換業者のなかには、自社を装うメールや偽サイトについて、公式サイトのお知らせ欄で注意を呼びかけているところがあります。利用している取引所の名前とあわせて「偽サイト」「注意喚起」で調べると、公式の案内にたどり着ける場合があります。また、特定の取引所名を含む「偽サイト 見分け方」といった検索が、ある月を境に急に増えることがあります。原因は外から断定できませんが、同じ不安を抱えた人が一斉に検索した動きであり、その時期に同じメールが多くの人へ届いている可能性はあります。

二段階認証を設定していても安心できない理由

フィッシング対策を調べると、ほぼ必ず出てくるのが「二段階認証を設定しましょう」という案内です。実際、パスワードだけの口座と、もう一段の確認が必要な口座では、突破のされにくさが大きく違います。まだ有効にしていないなら、今日のうちに済ませておく価値があります。ただし、多くの解説はここで終わります。設定したかどうかだけが語られ、どの方式を選んだか、どういう場面なら破られるのかには触れられていません。

まず、二段階認証を設定していても突破され得る場面があります。代表的なのが、リアルタイム型フィッシングです。偽サイトが読者と本物のサイトの間に入り、入力された情報をその場で本物へ中継する仕組みを指します。偽のログイン画面にIDとパスワードを入れると、それが即座に本物へ送られ、返ってきたワンタイムコードの要求が読者の画面に表示されます。そこで入力したコードも、そのまま本物へ流し込まれます。読者から見れば正規の手順を踏んでいるだけで、画面上に不審な点は出てきません。コードが短時間で無効になっても、中継はその時間内に終わります。コードを盗まれるのではなく、有効なコードを本人に入力させるという点が、この型の厄介なところです。

次に、方式ごとの強弱です。SMSで受け取る方式には、SIMスワップという弱点があります。第三者が本人になりすまして回線を再発行させ、電話番号を乗っ取る手口です。番号を握られれば、そこへ届くコードも相手に渡り、パスワードを変えても通知はそちらへ流れ続けます。一方、端末内でコードを生成する認証アプリは、受け取りが電話番号に紐づいていないため、この経路の影響を受けにくくなります。パスキーも電話番号に依存せず、アクセスしているサイトの正しさを機器側で確かめる設計のため、偽サイト上では同じようには機能しにくいとされています。

とはいえ、どれかを選べば安全が確定するわけではありません。認証アプリやパスキーでも、端末を奪われた場合や復旧用の設定が甘い場合には別の経路が残ります。現実的なのは、「安全な方式はどれか」ではなく**「コードの受け取りが電話番号に依存していないか」という観点で見直す**ことです。取引所の設定画面を開き、SMS以外の方式があるなら切り替えられないか確認してみてください。ただし、認証方式を強くすることは突破される確率を下げる手段であって、偽サイトへ自分から入っていく経路をふさぐものではありません。届いたメールの段階で止まれることが、認証設定と同じだけ重要になります。

すでに開いた・クリックした・入力してしまった場合にやること

ここからは、もう何かをしてしまった人向けです。最初に確かめてほしいのは、被害の有無ではなく**「自分が何を渡したか」**。リンクを開いただけなのか、IDとパスワードを入れたのか、シードフレーズまで入力したのか。渡したものによって、取り返せる余地も最初に動くべき順番も変わります。次の表で自分の位置を確認してください。

まず、リンクを開いただけで、その先では何も入力していない場合です。この段階なら、相手に渡ったものはありません。ページを開いた時点で自動的に口座が操作される、といった心配も基本的に不要です。画面を閉じ、メールは削除せずに残しておきましょう。後から取引所へ状況を伝えるとき、届いた日時や文面が判断材料になります。なお、添付ファイルを開いた場合は別で、端末にウイルス対策ソフトのスキャンをかけておくと安心です。

次に、偽サイトで取引所のIDとパスワードを入力してしまった場合です。ここは時間との勝負で、最優先は相手が使う前にパスワードを変えてしまうことです。変更は、メールのリンクからではなく、公式アプリかブックマークから本物のサイトへ入り直しておこないます。同じパスワードを他のサービスで使い回しているなら、そちらも順に変更します。あわせて、二段階認証が有効か、不審なログイン履歴がないかも確認します。そのうえで、取引所のサポート窓口へ状況を申告してください。**申告は、事業者側が不正なアクセスに気づくための情報になります。**ただし、出金の制限や口座の保護といった対応が取られるかどうかは、各社の機能や判断によります。連絡すれば必ず資産が守られる、という前提では動かないでください。

最後に、シードフレーズを入力した場合と、ウォレットを接続して承認（Approve）をしてしまった場合です。シードフレーズを渡したウォレットは、相手がいつでも復元できる状態にあり、パスワードのように変更できません。残高があるなら、新しいウォレットを作成して資産を移すことを急いでください。ただし、漏れたウォレットは第三者に監視されている可能性があり、移動のために新しくガス代分の暗号資産を入金すると、その入金ごと自動的に抜き取られることがあります。移す作業自体にもリスクが伴う点は、先に知っておいてください。すでに送金された分は、記事の冒頭で触れたとおり取り戻せません。承認をしてしまった場合は、資産が手元にあっても、第三者が引き出せる状態が残り続けている可能性があります。メールを消しても、ウォレットのアプリを削除しても解消しません。何が残り、どう確認するのかを次の章で見ていきます。

メールの先、ウォレット承認・出金まで見直す

メールをきっかけに偽サイトへ入り、ウォレットを接続してしまった場合、話はメールを削除した時点では終わりません。問題になるのは、接続そのものよりも、その先で求められる**承認（Approve）**です。「このコントラクトが、あなたのトークンを動かすことを許可します」という意味の署名にあたります。署名した時点で資産が減るわけではないため、何も起きなかったように見えます。しかし、許可した状態はブロックチェーン上に残り、サイトを閉じても、ブラウザの履歴を消しても、アプリを入れ直しても取り消されません。相手は好きなタイミングで、あとから資産を動かせる立場に立っています。何日か経ってから被害に気づくのは、この時間差によるものです。

さらに注意したいのが、承認された数量です。本来は上限を設定できますが、実際にはInfinity（無制限）として求められることが少なくありません。無制限の承認が残っていると、対象のトークンは残高の全額が引き出し可能な状態になります。少額を試すつもりで接続した場合でも、その後に資産を追加していれば追加分まで同じ許可の範囲に入ります。承認した時点の残高ではなく、引き出される時点の残高が対象になるのが、この状態の怖いところです。日数が経って資産が動いていないとしても、許可が消えたという意味にはなりません。

確認と取り消しは、自分でおこなえます。EtherscanやPolygonscanといったブロックチェーンエクスプローラには、トークンの承認状況を確認する機能（Token Approvalsなどの名称）が用意されており、自分のウォレットアドレスを入力すれば、どのコントラクトへどのような承認を与えているかを一覧で確認できます。通常のアドレス検索で出るのは取引履歴や残高であり、承認の一覧はこの専用の機能を開かないと出てきません。チェーンごとに対応するエクスプローラが異なるため、複数のネットワークを使っているなら、それぞれで確認が必要です。画面の構成や項目名は変わるので、手順ではなく見るべき点を覚えてください。承認先に心当たりがあるか、数量が無制限になっていないか、今も使う予定があるか。この3つで判断し、不要なものはRevoke（取り消し）の操作で許可を消せます。取り消しもブロックチェーン上の取引になるため、ガス代（手数料）がかかり、額はネットワークの混雑状況によって変わります。なお、検索結果や広告には「承認の解除」をうたう偽サイトが紛れており、そこで再び署名させられる二次被害が起きています。EtherscanやPolygonscanへは、自分で入力したURLかブックマークからアクセスしてください。そのうえで、まずは無制限の承認と、身に覚えのない承認から片付けるのが現実的です。

あわせて見直しておきたいのが、取引所側の設定です。取引所によっては、登録したアドレス以外へ送金できないようにする、いわゆる出金先アドレスのホワイトリストにあたる機能や、一定期間だけ出金を止めておく機能が用意されている場合があります。呼び方も、使えるかどうかも取引所によって違うため、自分の口座で何が使えるのかを一度確認しておくことが大事です。セキュリティ設定の画面で、出金に関する項目に目を通してみてください。こうした機能であらゆる被害を防げるわけではありませんが、万一ログイン情報を握られた場合に、資産が外へ出ていくまでの手数は増やせます。メールを見分ける、認証方式を見直す、承認と出金を締める。この3つを1本の線として押さえておくと、次に不審なメールが届いたときの足元が変わります。

被害に遭った・不安なときの相談窓口

自分だけで判断がつかないときは、公的な窓口に頼って構いません。不審なメールやサイトの情報を受け付けている窓口としては、フィッシング対策協議会があります。実際に金銭や情報を奪われた、あるいはその疑いがある場合は、各都道府県警察のサイバー犯罪に関する相談窓口が相談先になります。契約やお金のトラブル全般については、お住まいの自治体の消費生活センターも利用できます。それぞれ受け付けている内容や方法は異なり、変更されることもあるため、連絡する前に各窓口の公式サイトで最新の案内を確認してください。

一方、暗号資産の口座で起きたことについては、まず利用している取引所のサポート窓口へ連絡するのが先になります。口座に不審なログインや出金の記録があるかどうかは、その事業者でなければ確認できないためです。連絡するときは、届いたメールの日時と文面、自分が入力した内容、気づいた時刻を整理しておくと話が早くなります。前の章でも触れたとおり、連絡したからといって資産が戻ることが保証されるわけではありません。それでも、状況を記録として残し、事業者側が異変に気づける材料を渡しておくことには意味があります。不安を抱えたまま様子を見るより、早い段階で相談してしまったほうが、その後の選択肢は増えます。

よくある質問

本文で扱いきれなかった、周辺の疑問をまとめました。

フィッシングメールと迷惑メール（スパム）の違いは何ですか？

目的が違います。フィッシングメールは、実在する企業やサービスになりすまし、ログイン情報や資産を奪うことを狙って送られます。一方、迷惑メールは広告や勧誘を無差別に送りつけるもので、読まされること自体が目的です。迷惑メールは煩わしいだけで済む場合がありますが、フィッシングメールは開いた後の操作によって実害につながります。

フィッシングメールは開いただけで危険ですか？

本文を表示しただけであれば、それだけで被害に直結することは基本的にありません。危険度が上がるのは、本文中のリンクを開いた場合と、添付ファイルを開いた場合です。特に、リンク先で情報を入力してしまうと被害が成立します。開いてしまったこと自体を悔やむより、その先で何を入力したかを確認してください。

フィッシングメールが届く原因は何ですか？

主な経路は、メールアドレスの流出や漏えいです。過去に登録したサービスから外部へ出てしまったり、出回っているアドレスの一覧に含まれてしまったりすることで、無差別に送信される対象に入ります。届くこと自体は、自分の設定や操作に問題があったとは限りません。届いた後にどう扱うかが分かれ目になります。

特定の取引所を騙るサイトを見分けるにはどうすればいいですか？

取引所名が変わっても、確認する手順は同じです。差出人アドレスの「＠」より後ろのドメインが公式と一致しているか、本文のリンク先が公式のURLと同じかを見比べてください。そして、判断がつかないときはメールのリンクを使わず、公式アプリか自分のブックマークから入り直します。本物の画面で同じ案内が出ているかどうかが、最も確かな確認方法です。

二段階認証を設定していれば安心ですか？

設定していない状態より安全性は高まりますが、それだけで安心とは言えません。二段階認証には方式ごとの強弱があり、SMSで受け取る方式は電話番号を乗っ取られた場合に弱くなります。また、入力したコードをその場で本物のサイトへ中継されるタイプの手口もあります。設定の有無だけでなく、どの方式を使っているかまで確認しておいてください。

まとめ

暗号資産のフィッシング被害が他と違うのは、送金が確定した後に取り消す手段がないという一点です。カードや銀行のように、後から止めにいく制度が用意されていません。だからこそ、届いた時点で止まれるかどうかが結果を分けます。

見分けるときは、「誰から来たか」と「何が書かれているか」の2つを組み合わせてください。日本語の自然さは、もう本物である根拠にはなりません。そして、すでに何かをしてしまった場合は、自分が何を渡したかによって、取り返せる余地と最初に動くべきことが変わります。

最後に、メールを閉じた後の設定です。二段階認証は、設定の有無だけでなく、コードの受け取りが電話番号に依存していないかまで見直しておく価値があります。ウォレットに残った承認と、取引所の出金まわりの設定も、あわせて一度確認してみてください。