フィッシングからウォレットを守る｜偽サイト・偽アプリ・署名要求の見分け方

本記事にはアフィリエイト広告（PR）を含む場合があります。

※本記事は2026年8月時点で各サービスの公開情報および公的機関の注意喚起を確認した一般的な解説です。仕様や手順は変更されることがあるため、最新の内容は各サービスの公式案内をご確認ください。

仮想通貨のセキュリティ対策というと、パスワードを厳重にする、2段階認証を設定する、といった対策をまず思い浮かべる人が多いはずです。実際、それらは基本として欠かせないものです。

ですが、暗号資産まわりのフィッシングは、パスワードを盗むタイプだけではありません。ウォレットの「署名」を求める形で、資産を移動させたり、トークンを勝手に引き出せる権限を得ようとするタイプが広がっています。パスワードを一文字も知らなくても、署名さえ得られれば実行できてしまう点が、このタイプのやっかいなところです。

この記事では、フィッシングの入口別の特徴と、署名を求められたときに確認したいポイント、そして万が一署名してしまった場合の初動までを整理します。

• 暗号資産のフィッシングは「盗む」より「署名させる」が主流
• 入口別に見るフィッシングの典型パターン
• 署名画面で確認したい2つのポイント
• 公式URLの開き方 ― ブックマークと広告枠
• 身に覚えのないトークン・NFTには触れない
• 承認(approve)を定期的に棚卸しする
• 署名してしまったときの初動
• 記録は損益計算にも必要になる
• よくある質問
• まとめ

暗号資産のフィッシングは「盗む」より「署名させる」が主流

フィッシングは、正規のサービスを装って認証情報や署名を得ようとする手口の総称です(一般論)。従来型のフィッシングは、偽のログイン画面にIDとパスワードを入力させることを主な目的としていました。

暗号資産の世界では、これに加えてもうひとつのパターンが広がっています。ウォレットを接続させたうえで、トランザクションへの署名(承認)を求める形です。署名は、パスワードのように「知られたら終わり」というものではなく、その都度「何を承認するか」が画面に表示されます。ただし、内容を確認せずに署名してしまうと、資産そのものの移転や、特定のトークンを無制限に引き出せる許可(approve)を、相手に与えてしまうことがあります(一般論)。

つまり、パスワードだけを守っていても足りない場面があるということです。次の章では、こうした署名を求める入口がどこにあるのかを整理します。

入口別に見るフィッシングの典型パターン

フィッシングは、メールだけで完結するものではありません。SNSのDM、検索結果の広告枠、アプリストア、そして身に覚えのないトークンの受け取りなど、さまざまな入口から接触してきます。それぞれの典型的な見た目と、防ぎ方の考え方を一覧にまとめます。

共通しているのは、「急かす」「公式を装う」「外部サイトへの接続や署名を求める」という組み合わせです。入口が違っても、最終的にはウォレットを接続させて署名を求める、という着地点は共通しています。次の章で、署名を求められた画面そのものの見方を整理します。

署名画面で確認したい2つのポイント

ウォレットを接続したあと、署名を求めるポップアップが表示された場合、内容を確認せずに承認ボタンを押してしまうと、その内容がそのまま実行されます。確認したいポイントは、大きく2つに整理できます。

1つ目は、何を承認しようとしているかです。資産の送信そのものを承認しようとしているのか、それとも特定のトークンを今後やり取りするための許可(approve)を与えようとしているのか、表示されている項目を確認します。見慣れない英語の関数名や、内容が読み取れない表示になっている場合は、一度画面を閉じて状況を整理する時間を取る価値があります。

2つ目は、無制限の許可になっていないかです。トークンの利用許可(approve)には、やり取りする数量を指定できる場合と、上限なし(無制限)に設定されている場合があります。無制限の許可を与えてしまうと、承認した相手が想定より多くの数量を引き出せる状態になります(一般論)。数量を指定できる画面であれば、必要な範囲に絞って承認することも選択肢のひとつです。

これらは、フィッシングサイトに限らず、正規のサービスを利用しているときにも表示される画面です。だからこそ、「知らないサイトだから怪しい」という判断だけでなく、署名画面そのものを毎回確認する習慣が助けになります。

公式URLの開き方 ― ブックマークと広告枠

フィッシングサイトの多くは、検索エンジンやSNSを経由してたどり着きます。検索結果の広告枠に偽サイトが表示されることがあるため、公式URLをブックマークから開く方法が推奨されています(一般論)。

• よく使うサービスの公式URLは、あらかじめブックマークに登録しておく
• 検索結果の上位に表示されたリンクでも、広告枠かどうかを確認してから開く
• メールやSNSのメッセージに記載されたリンクは、そのまま開かずURLを確認する

ブックマークからのアクセスを基本にしておくと、似たドメインの偽サイトを踏むリスクそのものを減らせます。詐欺の典型的なパターンをまとめた記事でも、入口の見分け方について触れているので、あわせて確認してみてください。

身に覚えのないトークン・NFTには触れない

ウォレットのアドレスは公開情報であるため、こちらから何もしなくても、身に覚えのないトークンやNFTが送りつけられてくることがあります。これを受け取った側に操作させ、悪意のあるサイトへ誘導する手口が指摘されています(一般論)。

「価値がありそうなNFTが届いたので、内容を確認しようとして外部サイトを開いた」という流れが、接続や署名を求める入口になります。ウォレット内に見慣れないトークンやNFTが増えていても、それ自体に触れたり、交換・売却のための操作をしたりしない、という対応が基本になります。

資産の保管そのものについては、リカバリーフレーズの保管方法をまとめた記事でも整理しています。正規のサポートがリカバリーフレーズを尋ねることはないとされているので、「フレーズを入力して確認してください」といった案内が出た時点で、公式のものではないと判断する材料になります。

承認(approve)を定期的に棚卸しする

過去に利用したサービスの中には、すでに使わなくなったにもかかわらず、トークンの利用許可(approve)が残ったままになっているものがあるかもしれません。多くのウォレットには、過去に与えた承認を確認し、取り消せる仕組みが用意されています。具体的な手順はウォレットやチェーンによって異なるため、公式が案内する方法で確認することになります。

棚卸しのタイミングとしては、新しいサービスに接続する前や、確定申告に向けて取引履歴を整理するときが分かりやすい区切りになります。2段階認証の設定を見直す記事とあわせて、定期的なチェック項目に加えておくと管理がしやすくなります。

署名してしまったときの初動

内容を確認しないまま署名してしまったことに気づいた場合、時間が経つほど選択肢が狭まっていきます。落ち着いて、次の順番で対応を進めます。

• 同じウォレット内に残っている資産があれば、安全な別のウォレットへ移動させる
• ウォレットやチェーンの公式が案内する方法で、与えてしまった承認(approve)を確認し、取り消す
• 気づいた日時、署名した相手のサイトやアドレス、被害の内容をメモや記録として残しておく

資産の移動や承認の取り消しを急ぐあまり、また別の偽サイトに接続してしまっては本末転倒です。操作は、ブックマークしておいた公式サイトや、ウォレットの公式アプリから行います。

被害にあった、あるいはその疑いがある場合は、警察相談専用電話(#9110)などの公的な窓口に相談することも選択肢に入ります。窓口に相談する際も、次の章で触れる記録が状況説明の助けになります。

記録は損益計算にも必要になる

フィッシングによって資産を失った場合の記録は、被害の状況を説明するためだけのものではありません。暗号資産の取引履歴として、確定申告の損益計算にも関わってくる情報です。

いつ、どのウォレットから、何がどれだけ動いたのかという記録は、通常の売買履歴と同じように、後から取引所やウォレットの画面を見返しても残っていないことがあります。気づいた時点でのスクリーンショットや取引ID(トランザクションハッシュ)の控えは、被害の相談だけでなく、その後の記帳を整理するうえでも役立ちます。MetaMaskの取引記録の残し方もあわせて確認しておくと、日頃の記録の取り方をイメージしやすくなります。

よくある質問

署名を求められたら、内容が理解できなくても拒否してよいですか

署名の内容が読み取れない、何を承認しているのか分からないという場合は、その場で承認せず、画面を閉じて状況を整理する時間を取ることも選択肢のひとつです。急いで判断しなければならない場面は少なく、時間を置いて公式サイトや公式アプリから改めて状況を確認する方法もあります。

無制限の承認(approve)を与えてしまったら、資産は引き出されますか

無制限の承認を与えた状態は、相手が想定より多くの数量を引き出せる状態を作ってしまうことを意味しますが、それが実行されるかどうかは相手側の対応によります(一般論)。承認を放置せず、気づいた時点でウォレットやチェーンの公式が案内する方法で取り消すことが、リスクを減らす対応になります。

公式サポートからリカバリーフレーズを聞かれることはありますか

正規のサポートがリカバリーフレーズを尋ねることはないとされています。サポートを名乗る相手からフレーズや秘密鍵の入力を求められた場合は、公式の窓口かどうかをあらためて確認する材料にできます。

検索結果の一番上に出てきたサイトなら安心できますか

検索結果の上位、特に広告枠に偽サイトが表示されることがあるため、表示順だけで公式かどうかを判断するのは難しい場面があります(一般論)。あらかじめブックマークしておいた公式URLから開く方法のほうが、確認の手間を減らせます。

まとめ

• 暗号資産のフィッシングは、パスワードを盗むタイプに加えて、ウォレットの署名を求めるタイプが広がっている
• 署名画面では、何を承認しようとしているか、無制限の許可になっていないかを確認する
• 公式URLはブックマークから開き、検索結果の広告枠を踏まないようにする
• 身に覚えのないトークンやNFTには触れず、操作しない
• 過去に与えた承認(approve)は、定期的に棚卸しして必要のないものは取り消す
• 署名してしまった場合は、資産の移動・承認の取り消し・記録を残すという順番で対応する

本記事は一般的な情報提供です。設定手順や仕様は各サービスの公式案内をご確認ください。被害にあった場合は警察相談専用電話（#9110）などの公的窓口にご相談ください。暗号資産は価格変動が大きく、投資判断はご自身の責任でお願いします。