AI技術の進歩により、生成AIで作られた偽の顔画像や偽造身分証を使って、暗号資産取引所のオンライン本人確認（eKYC）を突破しようとする事例が報告されています。今後は書類のディープフェイク（AIによる精巧な偽造）がさらに急増すると予測されており、取引所アカウントの乗っ取りやなりすましのリスクは、もはや他人事ではありません。
結論から言えば、個人ができる効果的な自衛策は「二段階認証の方式を見直す」「出金先アドレスの事前登録とホワイトリスト機能を有効にする」「パスキーなどフィッシングに強い認証を使う」の3点に集約されます。本記事では、それぞれの考え方と設定のポイントを、すぐに使えるチェックリスト形式で整理します。
取引所側のセキュリティがどれだけ強固でも、最後の砦は利用者自身のアカウント設定です。見直しは10分程度で終わる項目ばかりですので、この機会にご自身の口座を点検してみてください。
AIが本人確認を突破する――いま何が起きているのか
eKYC（オンラインで完結する本人確認）は、スマートフォンで身分証と自分の顔を撮影し、照合する仕組みです。来店不要という手軽さから多くの取引所で採用されていますが、生成AIで作成した偽の顔画像や偽造身分証によって、この照合を突破しようとする事例が報告されています。
特に懸念されているのが、書類ディープフェイクの急増です。AIで生成された身分証画像は年々精巧になっており、今後さらに増加すると予測されています。こうした技術は、なりすましによる不正な口座開設や、既存アカウントの乗っ取り（アカウントテイクオーバー）に悪用される恐れがあるとされています。
もっとも、利用者の側で取引所の審査システムそのものを強化することはできません。私たちにできるのは、仮に認証情報が破られても、資産を外部に動かされない仕組みを自分のアカウントに作っておくことです。以下、優先度の高い順に見ていきます。
二段階認証は「方式選び」が9割
二段階認証（ログイン時にパスワードに加えてもう一つの確認を求める仕組み）の設定は大前提ですが、実は方式によって強度が大きく異なります。一般に、安全性は次の順で高くなるとされています。
| 方式 | 仕組み | 強度・注意点 |
|---|---|---|
| SMS認証 | 携帯電話番号にコードが届く | SIMスワップ（電話番号の乗っ取り）に弱いとされる |
| 認証アプリ（TOTP） | アプリが一定時間ごとにコードを生成 | SMSより強固。機種変更時のバックアップ設定に注意 |
| パスキー・セキュリティキー | 端末の生体認証や物理キーで認証 | フィッシングに構造的に強い方式とされる |
現在SMS認証だけを使っている方は、認証アプリまたはパスキーへの移行を最優先で検討してください。SIMスワップは、攻撃者が携帯会社の手続きを悪用して電話番号ごと乗っ取る手口で、SMSに届くコードがそのまま盗まれてしまいます。
パスキーとは何か
パスキーは、パスワードの代わりにスマートフォンやPCの生体認証（指紋・顔）で本人確認を行う仕組みです。認証情報が正規のサイト以外では機能しないため、偽サイトに誘導されても認証が成立せず、フィッシング詐欺に対して構造的に強いとされています。対応している取引所では優先的に有効化するとよいでしょう。
出金ホワイトリストとアドレス登録で「動かせない資産」にする
乗っ取り被害の最終目的は、資産の外部送金です。裏を返せば、出金経路さえ固めておけば、仮にログインを突破されても被害を大きく抑えられます。多くの取引所には次のような機能が用意されています。
- 出金先アドレスの事前登録（ウィズドローアドレス登録）：あらかじめ登録したアドレスにしか送金できなくする機能
- 出金ホワイトリスト：新規アドレスを追加した際に、一定の待機時間やメール承認を挟む設定
- 出金時の追加認証：出金操作のたびに二段階認証コードを要求する設定
新規アドレス追加に待機時間が設定されていれば、不正な追加に気づいてサポートへ連絡する猶予が生まれます。ログイン通知・出金通知メールも必ずオンにしておきましょう。あわせて、取引所に置く資産は売買に使う必要最小限にとどめ、長期保有分はオフラインで管理するのが基本です。詳しくはハードウェアウォレットの選び方ガイドを参考にしてください。
フィッシング対策――そもそも入口を塞ぐ
AIの進歩は、詐欺メールやSMSの文面も自然にしています。かつての「不自然な日本語だから見分けられる」という判断基準は、通用しなくなりつつあるとされています。文面ではなく、行動ルールで防ぐ発想に切り替えましょう。
- 取引所へのアクセスは、ブックマークまたは公式アプリからのみ行う
- メール・SMS内のリンクは、たとえ本物らしく見えても原則クリックしない
- アンチフィッシングコード（取引所からの正規メールに表示される合言葉）を設定する
- パスワードの使い回しをやめ、パスワードマネージャーで取引所専用のものを使う
偽サイト・偽サポートなど具体的な手口と見分け方は、仮想通貨詐欺の見分け方ガイドで詳しく解説しています。
自衛策チェックリスト（保存版）
ここまでの内容を、点検用のチェックリストにまとめます。上から順に確認してみてください。
- 二段階認証をSMS以外（認証アプリまたはパスキー）に設定しているか
- 出金先アドレスを事前登録し、ホワイトリスト機能を有効にしているか
- 新規アドレス追加時の待機時間・承認手続きを有効にしているか
- アンチフィッシングコードを設定しているか
- パスワードを取引所専用にし、使い回していないか
- ログイン通知・出金通知メールをオンにしているか
- 長期保有分をハードウェアウォレットなどオフライン管理に移しているか
- 取引所に登録しているメールアドレス自体の二段階認証を強化しているか
見落とされがちなのが最後の項目です。登録メールアカウントが破られると、パスワード再設定を通じて多くの防御が無効化されます。メールも取引所本体と同じ水準で守ってください。
万一、乗っ取りやなりすましが疑われるとき
身に覚えのないログイン通知や出金通知が届いた場合は、時間との勝負です。次の順で対応するとよいとされています。
- 取引所のサポート窓口に連絡し、アカウントの凍結・出金停止を依頼する
- パスワードを変更し、全端末のログインセッションを無効化する
- 登録メールアドレスのパスワード・認証設定も変更する
- 被害が出た場合は、警察や金融庁の相談窓口に相談する
また、日頃の備えとして、二段階認証の選択肢や出金制限機能が充実した取引所を選ぶことも自衛策の一つです。各社のセキュリティ機能は取引所レビューのカテゴリで比較できます。
よくある質問（FAQ）
SMS認証だけでは危険ですか？
SMS認証は「何も設定しない」よりは有効ですが、SIMスワップと呼ばれる電話番号の乗っ取り手口に弱いとされています。認証アプリやパスキーに対応している取引所であれば、そちらへの切り替えが推奨されます。
パスキーに対応していない取引所ではどうすればよいですか？
認証アプリ（TOTP）方式の二段階認証を設定したうえで、出金先アドレスの事前登録と出金ホワイトリストを有効にしてください。ログイン認証が破られた場合でも、出金経路を固めておけば被害を抑えやすくなります。
eKYCがAIに突破されると、自分の口座も危険なのですか？
eKYC突破は主に不正な口座開設やなりすまし手続きに悪用される恐れが指摘されています。既存口座への直接の影響は限定的ですが、本人確認の再提出を装ったフィッシングなど周辺の手口も想定されるため、公式アプリ・ブックマーク以外から手続きしないことが重要です。
ハードウェアウォレットは必ず必要ですか？
少額の売買が中心であれば必須とまでは言えませんが、長期保有分がある場合は取引所リスクから切り離せるため有力な選択肢とされています。導入コストと管理の手間を踏まえて検討するとよいでしょう。
免責事項：本記事は一般的な情報提供を目的としており、投資助言ではありません。最新の情報は公式情報をご確認ください。
