新フィッシングSMS詐欺でバイナンスユーザーがターゲットに
数十人のバイナンス（Binance）ユーザーから、正規のバイナンスアラートを模倣した新手のSMSフィッシングメッセージが届いたとの報告が寄せられている。
Security alert: Beware of fake websites impersonating https://t.co/AZwoBOgsqS.
Scammers are using lookalike sites to steal your credentials.
🔸 We’ll never ask for your password or MFA code outside our site.
🔸 Always check the URL before logging in.
🔸 QR codes should always… pic.twitter.com/xX6ahKtm3t— Binance.US 🇺🇸 (@BinanceUS) April 11, 2025
セキュリティ警告: http://Binance.USを装った偽サイトにご注意ください。
詐欺師は類似サイトを利用してあなたの認証情報を盗んでいます。
🔸当サイトの外でパスワードや MFA コードを要求することはありません。
🔸ログインする前に必ずURLを確認してください。
🔸 QR コードはスキャンする前に必ず検証する必要があります。
現在バイナンスユーザーは、正規のアラートを模倣したSMSフィッシング攻撃の急増に直面しており、同取引所はセキュリティ対策の強化を余儀なくされている。このSMSフィッシング攻撃は標的を絞ったもので、漏えいしたユーザーデータと全く同じメッセージパターンを利用し、メッセージを受信したユーザーを騙そうとしているという。これらのメッセージは、バイナンスの公式アップデート情報で定期的に確認している電話番号やSMSの受信トレイと一致。報告を受けてバイナンスは、フィッシング対策コードをSMSにも拡大し、アラートの確認と不審なメッセージへの報告をユーザーに呼びかけている。
バイナンスユーザーをターゲットにした標的型フィッシング攻撃
ユーザーに送られたメッセージは、多くがユーザーの不正アカウントアクティビティ（新たに追加された2要素認証デバイスなど）に関する警告だ。
フィッシングメッセージは、Ledger LiveとBinance APIの予期せぬ連携に関するテキストメッセージで始まり、流通しているフィッシングメッセージには、2段階認証設定の変更など、ユーザーアカウントにおける不正なアクティビティに関する警告メッセージが含まれていることも。受信者は、指定された電話番号に電話するよう促され、一部の標的ユーザーは、これらのテキストメッセージが正規のバイナンスからの通知と同じスレッドに表示されると主張。本物と偽物の区別が曖昧になり混乱を招き、正規通知に使用されているのと同じ送信者IDから発信されていたため、不意を突かれたケースが多い。
このキャンペーンの背後にいる犯罪者は、ダークウェブフォーラムで公表されているバイナンスユーザーデータの漏えいを悪用しているとみられている。
先月、バイナンスとジェミニ（Gemini）を合わせた推定23万件のユーザー情報がダークウェブで販売されたており、セキュリティ専門家は、これらの漏洩は直接的なシステム侵害ではなく、フィッシング攻撃によるものだと示唆している。
犯罪者グループは、氏名、電話番号、メールアドレスなどの漏えいした情報を利用して、正当性を装う標的型メッセージを作成している可能性が高い。これまでと異なっているポイントは、受信者が単に誘導されたリンク先をクリックする形式ではなく、埋め込まれた電話番号に電話をかけるよう促されている点で、SMSにフィッシングリンクが埋め込まれるという、一般的なシナリオを回避するよう仕組まれている。
バイナンスはSMSにフィッシング対策コードを拡張
バイナンスのジミー・スー（Jimmy Su）CISO（Chief Information Security Officer：最高セキュリティ責任者）は、スミッシング事件の増加について同社が認識していることを明かしている。
同氏は、バイナンスによる対策について、事態の深刻さを強調したうえで、次のように述べている。
これらの詐欺はより本物らしくなっています…。バイナンスのSMSメッセージに固有のフィッシング対策コードを組み込むことで、詐欺師がユーザーを騙すことが大幅に困難になります。
仮想通貨を取り巻く状況が変化を遂げ続けるなか、フィッシング詐欺も巧妙化しており、新たに導入されたフィッシング対策SMSコードを含む同社の積極的な対策は、ユーザーのセキュリティに対する同社のコミットメントを如実に示している。
一方で、ユーザーも詐欺に対して常に警戒を怠らず、アカウントを操作する際は常に適切な認証方法を使用していることを確認する必要がある。仮想通貨の世界へ入ったら、常に警戒を怠らず、安全を確保することを常に念頭に置かなければならない。
