仮想通貨取引所の名前で検索すると、公式サイトに似た広告やログインページが表示されることがあります。また、取引所を名乗るメールやSMSから、本人確認やアカウントの再認証を求められる場合もあります。
本物の取引所と見た目が似ていても、偽サイトへメールアドレスやパスワードを入力すると、第三者に情報を盗まれるおそれがあります。偽アプリをインストールしたり、指定された送金先へ暗号資産を送ってしまったりする被害も考えられます。
結論からいうと、取引所へアクセスするときは、公式に確認したサイトやアプリを起点にし、メール・SNS・広告のリンクから直接ログインしないことが重要です。
この記事では、金融庁とbitFlyerなどの公式情報をもとに、初めて口座を作る人が確認したいサイト・アプリの見分け方、偽ログイン画面の特徴、本人確認書類の提出先、情報を入力してしまった場合の行動を整理します。
仮想通貨取引所の偽サイトとは？
偽サイトとは、実在する企業やサービスになりすまし、利用者を誤認させるウェブサイトのことです。暗号資産取引所を装うケースでは、本物とよく似たロゴやログイン画面を使用して、メールアドレス、パスワード、認証コードなどを入力させる手口があります。
bitFlyerは、実在する取引所に似せたページへ利用者を誘導し、ログイン情報を盗み出して不正ログインにつなげるフィッシング詐欺に注意するよう呼びかけています。公式サイトにも、見た目だけでは偽サイトを区別しにくい場合があると説明されています。
公式説明：bitFlyer「フィッシング詐欺にご注意ください」
どんな場面で偽サイトに誘導される？
| 入口 | 見せかける内容 | 危険な操作 |
|---|---|---|
| メール | 本人確認の期限切れ、緊急ログイン | 本文リンクから認証情報を入力 |
| SMS | 出金停止、アカウント制限 | 短縮URLにアクセス |
| SNS | 限定キャンペーン、特典付与 | 偽サイトで口座情報を登録 |
| 検索結果・広告 | 公式ページと似た表示 | ドメインを確認せずログイン |
| アプリ配布ページ | 公式アプリのような名称や画像 | 不明な配信元からインストール |
| 偽サポート | 資産保護・出金解除の代行 | 秘密鍵や認証コードを渡す |
これらの入口を通じた連絡がすべて詐欺という意味ではありません。実際に取引所から重要な通知が届く場合もあります。問題は、通知に記載されたリンクや連絡先が本当に公式のものかを確認しないまま、重要情報を入力することです。
最初に確認したいのはサイトのアドレス
サイトのロゴ、デザイン、色合いだけでは、本物と偽物を判断できません。アドレスバーに表示されるURLを確認しましょう。
URLはウェブページの住所にあたる文字列です。その中でも、どの組織が管理するサイトかを判断するためのドメイン名が重要です。
公式URLを最初に登録しておく
例えばbitFlyerの公式サイトでは、https://bitflyer.com/から始まる正規のURLを確認するよう案内しています。Coincheckを利用する場合も、同様に公式ページで使用されているドメインを確認してください。
ただし、サイトのURLは「似ている文字が含まれている」だけでは不十分です。正規のドメインとは別の文字列に会社名が入っていても、本物とは限りません。
初めて登録する際に公式サイトを十分に確認し、そのページをブックマークしておくと、後からメールに記載されたリンクを開く必要を減らせます。
「https」だけでは本物と判断できない
ブラウザのアドレスがhttpsで始まることは、通信の暗号化を確認する手掛かりですが、サイト運営者が正規の取引所であることの証明にはなりません。
偽サイトでもhttpsを利用することがあります。鍵の表示や「保護された通信」だけで判断せず、ドメイン名が公式のものと一致しているか確認してください。
URLを確認する具体的な手順
- 検索結果やメールから開いたページでは、ログイン操作を始める前にアドレスバーを表示する。
- 公式が案内するドメイン名と一致しているか確認する。
- 似た文字や、前後に余計な単語が付いていないか確認する。
- 判断できなければ、そのページを閉じる。
- 以前に確認したブックマークや公式アプリからアクセスし直す。
特にスマートフォンでは、アドレスバーの表示が短くなり、URL全体が見えにくい場合があります。必要に応じて表示を確認してから操作しましょう。
URLが本物か判断できない場合に、ログインを急ぐ必要はありません。
金融庁の登録一覧で業者を確認する
日本で暗号資産交換業を営む事業者には、原則として金融庁・財務局への登録が必要です。利用を検討しているサービスについては、金融庁の公式ページで登録状況を確認しましょう。
金融庁には暗号資産交換業者の登録一覧と、無登録業者に関する警告情報があります。
公式情報：金融庁「暗号資産交換業者登録一覧」掲載ページ、金融庁「無登録で暗号資産交換業を行う者の名称等」
会社が登録されていても、開いているサイトが本物とは限らない
例えば、金融庁の登録一覧に実在する暗号資産交換業者の名前が掲載されていても、その会社を装った偽サイトが存在する可能性があります。
登録一覧で事業者名を見つけただけでは、現在開いているサイトがその会社の管理するものか確認できたことになりません。
業者の登録確認と、公式URLの確認は別々に行う必要があります。
警告一覧に名前がないから安全とは限らない
金融庁は、無登録業者の警告一覧について、掲載されていない者でも無登録営業に該当する場合があると注意しています。
そのため「警告されていないから公式」「登録一覧に似た名前があるから問題ない」という判断は避けましょう。
事業者が登録されているかと、目の前のサイトが本物かを、両方確認することが大切です。
偽アプリを避けるにはどうすればいい？
暗号資産取引所のアプリを装った不審なアプリにも注意が必要です。スマートフォンにインストールする前に、公式サイトでアプリへの案内を確認しましょう。
公式サイトからアプリストアへ進む
利用する取引所の公式サイトにアクセスし、公式が案内するApp StoreやGoogle Playのリンクからアプリを探す方法があります。
アプリストアで検索するときも、アプリ名だけでなく、開発元や説明の内容が公式サイトの案内と一致しているかを確認してください。
口コミやレビュー数だけでは正規性を保証できません。見覚えのないアプリを、SNSの投稿やDMで届いたリンクから直接入手することは避けましょう。
アプリの権限を確認する
本人確認のためのカメラ利用など、サービスに必要な権限が求められる場合があります。しかし、用途が説明されない不自然な権限や、公式の案内と異なるインストール方法を求められた場合は、手続きを中断して確認してください。
特に、スマートフォンのセキュリティ設定を解除するよう求めたり、通常のアプリストア以外から提供されるファイルをインストールさせたりする案内には慎重になる必要があります。
アプリをインストールした後も確認する
インストール後に、公式とは異なる入金先や不自然な本人確認方法が表示された場合、すぐに入金や書類提出を行わず、公式サポートの案内と照合してください。
アプリを入れたというだけで本物と断定せず、運営元、ログイン方法、案内される操作まで確認することが重要です。
口座開設の本人確認書類はどこへ送る？
取引所の口座開設では、運転免許証やマイナンバーカードなどの本人確認書類を提出する場合があります。氏名・住所・生年月日などの情報を含むため、提出先を間違えないことが重要です。
公式アプリや公式手続きから提出する
通常は、利用する暗号資産交換業者の公式サイトやアプリで案内される本人確認手続きに従います。
メールやSNSで「本人確認書類をこの担当者へ直接送ってください」と求められても、公式サイトで確認できない方法なら送らないでください。
また、本人確認書類の裏面や個人番号など、提出を求められていない情報まで送ることは避けましょう。必要な面や確認方式は取引所によって異なります。
「期限切れで資産が消える」と急がせる案内に注意
偽メールや偽サイトでは、アカウント停止や資産凍結を示して、利用者に短時間で操作させようとすることがあります。
重要な通知が届いた場合でも、まず公式アプリやブックマークからログインし、同じ通知や手続きが表示されているか確認しましょう。
期限があると書かれていても、そのメールのリンクから操作しなければならないとは限りません。確認できない場合は、公式窓口へ問い合わせてください。
パスワード・認証コード・秘密鍵の違いを理解する
暗号資産に関する重要情報には、取引所アカウントのパスワード、二段階認証コード、自己管理型ウォレットの秘密鍵やリカバリーフレーズがあります。いずれも第三者への漏えいを避ける必要がありますが、役割は異なります。
| 情報 | 主な役割 | 注意点 |
|---|---|---|
| ログインパスワード | 取引所アカウントへの認証 | 偽サイトに入力しない |
| 二段階認証コード | 追加の本人確認 | 第三者に伝えない |
| パスキー | 端末等を使った認証 | 端末と復旧手段を適切に管理 |
| 秘密鍵 | 暗号資産の移転に必要な署名 | 第三者へ渡さない |
| リカバリーフレーズ | ウォレット復元の重要情報 | 偽サイトへ入力しない |
取引所のログインに関する話と、自己管理型ウォレットの復元に関する話は分けて理解しましょう。
公式サポートを装う相手が「ウォレットを確認するためにリカバリーフレーズを教えてほしい」と求めてきても、渡さないでください。
秘密鍵とリカバリーフレーズの違いは、仮想通貨のリカバリーフレーズと秘密鍵の違いで解説しています。
フィッシング対策で二段階認証は役立つ？
二段階認証は、パスワードだけでなく追加の認証を求める仕組みです。パスワードが漏れた場合でも、不正ログインを防ぐ助けになる場合があります。
bitFlyerは公式に二段階認証の利用を推奨しています。ただし、二段階認証を設定していればすべてのフィッシング被害を防げるわけではありません。
例えば、偽サイトがパスワードと同時に認証コードを盗み、その情報を使ってログインを試みる可能性もあります。
認証方式は必要なセキュリティ対策ですが、正しいサイトへアクセスする確認が不要になるわけではありません。
パスキーの場合もアクセス先を確認する
パスキーは、公開鍵暗号などを利用した認証方法です。一般にフィッシング耐性が高い仕組みとして設計されていますが、端末の管理やアカウントの復旧設定も重要です。
パスキーが設定されている取引所でも、SNS経由の偽サポートに情報を渡したり、偽の送金先へ資産を送ったりすれば、別の被害が起こり得ます。
「二段階認証を設定したから何も確認しなくてよい」とは考えないようにしましょう。
具体例：本物か迷ったときの判断順
ケース1：検索で見つけた口座開設ページ
初めて取引所の口座を作る人が、検索結果からページを開いたケースです。画面には会社のロゴがあり、メールアドレスを入力するフォームが表示されています。
この段階では、ロゴが似ていることだけで本物か判断できません。まずアドレスバーのドメインを確認し、金融庁の登録情報と公式の案内を照合します。
確認できなければ入力を中断し、別の信頼できる経路で公式サイトへアクセスし直しましょう。
ケース2：「出金を止める」というメールが届いた
暗号資産交換業者から「本人確認をやり直さなければ出金が止まる」というメールが届いたと仮定します。
メール本文のリンクを押してログインするのではなく、事前に登録した公式ブックマークや公式アプリを使います。取引所のお知らせに同じ内容があるか確認し、不明なら公式の問い合わせ窓口を利用します。
緊急性を強調する文章だけで、メールの正当性を判断しないことが重要です。
ケース3：SNSでアプリを紹介された
知人を名乗るアカウントが「新しいアプリなら手数料なしでビットコインが買える」と投稿しているケースです。
配信元、運営会社、公式サイト、金融庁登録情報を確認します。これらが一致しない場合や、通常の手続きとは異なる個人口座への送金を要求する場合は利用を保留してください。
価格や手数料が魅力的でも、それだけで公式のサービスだとは判断できません。
偽サイトにパスワードを入力してしまったら
誤って偽サイトへログイン情報を入力した場合は、同じサイトで再度操作を続けず、正規の公式サイト・アプリからアカウントの状態を確認することが重要です。
まず行うこと
- 偽サイトや不審なアプリでの入力・操作を中止する。
- 別の信頼できる経路から公式取引所へアクセスする。
- 公式の案内に従いパスワード変更やセッションの確認を行う。
- 二段階認証、登録メール、出金先、取引履歴などを確認する。
- 公式サポートへ、不審なサイトで情報を入力した可能性を伝える。
- 同じパスワードを他サービスでも使っている場合は、該当サービスの変更も検討する。
取引所が提供している緊急のアカウント保護手続きがあれば、その案内を優先してください。
すでに不正ログインや不審な出金が確認できる場合は、早急に公式窓口へ連絡し、必要に応じて警察へ相談しましょう。
認証コードまで伝えてしまった場合
認証コードを第三者に渡してしまった場合、パスワードの変更だけでは十分でない可能性があります。アカウントの状態、ログイン履歴、登録情報や出金先の変更を確認し、公式サポートへ事情を説明してください。
本人確認書類を送ってしまった場合
氏名、住所、生年月日、書類画像などを不審な相手へ送った場合は、何を送ったのか記録し、必要に応じて警察や消費生活相談窓口などへ相談してください。
書類がどのように悪用されるかは個別に異なります。単に画像を削除しただけで、相手が保持したデータまで消せるとは限りません。
偽アプリをインストールしてしまったら
不審なアプリを入れてしまった場合は、追加の操作や送金をせず、端末の状態を確認する必要があります。
不明なアプリに重要な権限を許可した場合、端末の安全性に影響する可能性があります。端末の標準的なセキュリティ機能やOS提供元の公式案内を確認し、必要に応じて専門の窓口へ相談してください。
アプリを削除すれば常に被害がなくなるとは限りません。認証情報を入力したり、暗号資産を送金したりした場合は、取引所口座やウォレット側の確認も必要です。
秘密鍵・リカバリーフレーズを入力した場合
自己管理型ウォレットの秘密鍵やリカバリーフレーズを偽サイトへ入力した場合、そのウォレットは第三者が操作できる状態になった可能性があります。
単なるパスワード変更で秘密鍵自体を無効にできるわけではありません。安全な環境で新しいウォレットを用意するなど、状況に応じた対応が必要になる場合があります。
ただし、焦って不審な「復旧業者」へ秘密鍵を渡したり、手数料名目で追加送金したりしないようにしてください。
暗号資産を送ってしまった場合は？
偽のサービスへBTCなどを送ってしまった場合、取引所のログイン情報が盗まれた場合とは異なる問題になります。
ブロックチェーン上で成立した送金は、一般に銀行振込のように簡単に取り消せません。送金した相手の協力なしに取り戻すことが困難な場合があります。
まず送金した日時、銘柄、数量、送金先アドレス、トランザクションID（TxID）などの記録を保全します。TxIDはブロックチェーン上の取引を識別する情報です。
送金元の取引所の公式サポートへ事情を伝え、警察など適切な窓口への相談も検討してください。返還を保証できるものではありませんが、記録を残すことが重要です。
詐欺の一般的な見分け方は仮想通貨詐欺の見分け方で解説しています。
普段からできる5つの予防策
被害が起きてから対応するだけでなく、日常的な操作の入口を整理することで、偽サイトにアクセスする機会を減らせます。
- 公式サイトを確認してからブックマークする。
- 公式サイトに案内されたアプリストア経由でアプリを入れる。
- メール・SMS・SNSから直接ログインしない。
- 端末や認証方式を適切に管理し、重要情報を他人に渡さない。
- 突然の資産移転や本人確認要求は、公式の別経路で確認する。
複数の取引所を使う場合は、サービスごとに正規のアクセス方法を整理しておきましょう。取引所を名乗る連絡が来た際に、確認する先が明確になります。
よくある質問
Q. 検索結果の一番上に出たサイトなら公式？
検索順位だけで公式とは判断できません。サイトのドメインと公式の案内を確認してください。
Q. httpsと鍵マークがあれば安全？
通信の暗号化を示す情報だけでは、運営元が本物か判断できません。偽サイトでもhttpsを使う場合があります。
Q. 本物の会社名とロゴが書いてあれば公式？
会社名やロゴは模倣される可能性があります。URLや運営元、公式に案内されている経路を確認してください。
Q. アプリストアにあるアプリなら必ず本物？
公式ストアの利用は重要ですが、それだけで正規性を保証するものではありません。公式サイトに掲載された配信先と開発元を確認しましょう。
Q. 金融庁に登録された会社の名前があるなら安全？
実在する登録業者の名前を偽サイトが使うことも考えられます。会社の登録確認と、開いているサイトの確認を別々に行ってください。
Q. 二段階認証があればパスワードを入力しても大丈夫？
いいえ。二段階認証があっても不正利用の可能性は残ります。偽サイトに情報を入力しないことが重要です。
Q. 公式サポートが秘密鍵を聞いてくることはある？
秘密鍵やリカバリーフレーズは、暗号資産の移転やウォレット復元に関わる重要情報です。第三者へ渡さないでください。不審な要求は公式窓口で確認しましょう。
Q. 偽サイトにアクセスしただけなら必ず被害がある？
アクセスしたことだけで必ず資産が失われるとは限りません。ただし、情報の入力、ファイルのダウンロード、アプリのインストールなどを行っていないか確認してください。
Q. 被害に遭ったら全額補償される？
一律に補償されるわけではありません。bitFlyerは公式のフィッシング注意喚起で、不正出金等の補てんを行っていないと説明しています。補償の有無は事業者と個別事情により異なります。
Q. 不審なメールは誰に相談する？
まず取引所の公式窓口へ確認してください。詐欺が疑われる場合は警察や消費生活相談窓口なども相談先になります。
まとめ：操作前に公式の入口へ戻る習慣をつけよう
仮想通貨取引所の偽サイトは、本物に似せたログイン画面や案内を使い、利用者の認証情報を盗む場合があります。偽アプリや偽サポートも含め、見た目だけで本物と判断することは危険です。
対策の基本は、正規のドメインを確認し、ブックマークや公式アプリからアクセスすることです。金融庁の登録確認も重要ですが、それだけで現在のサイトが本物だと証明できるわけではありません。
本人確認書類、パスワード、認証コード、秘密鍵などを入力する前に、提出先と目的を確認してください。誤って入力した場合は、正規の経路からアカウントの状態を調べ、公式サポートへ連絡することが重要です。
コメント