Ledger Nano安全性は幻想？リカバリーフレーズ24個を盗む詐欺に警戒してください。

Ledger Nanoハードウェアウォレットをハッキングして資産を盗まれる危険性あり!?リカバリーフレーズ英単語24個を盗む偽サイトのフィッシング詐欺、迷惑メールの手口を紹介しよう。


安全性が高いとされるハードウェアウォレット 「Ledger Nano」 でも、デバイス所有者からリカバリーフレーズを聞き出して資産を奪うことができます。 

Ledger のフィッシング詐欺が危険！ Ledger 偽サイト

Ledger 社 （読み方 レジャー） は、ビットコインやイーサリアムといった暗号資産を安全に保管するハードウェアウォレット 「Ledger シリーズ」 を販売するフランス企業です。

Ledger Nano という製品は、USB フラッシュメモリっぽい外観デザインで手のひらサイズの小型デバイスになります。

～ Ledger Nano シリーズ ～
「Ledger Nano X」 （価格 2万円台）
「Ledger Nano S Plus」 （価格 1万円台）



■ 危険！ Ledger 偽サイトの表示例

次のスクショ画像は Ledger 社の公式サイトっぽい外観デザインを持つ危険な Ledger 偽サイト です。

セキュリティチェックを促すLedger偽サイト
本物のロゴや映像を悪用した Ledger のフィッシングサイト

ウォレットのシードフレーズ英単語24個の入力を指示するLedgerフィッシング詐欺サイト
次の場面でシードフレーズの英単語 24 個を入力させて盗む

違和感ない日本語で書かれた Ledger 偽サイト も確認しました。

Ledgerセキュリティチェックを日本語で案内する偽サイト
セキュリティチェックと称した日本語の Ledger フィッシングサイト

ウォレットのリカバリーフレーズ英単語24個の入力を指示するLedgerフィッシング詐欺サイト
Ledger の英単語 24 個でリカバリーフレーズを盗む

その他、フィッシング攻撃を仕掛ける Ledger 偽サイト の表示例です。

Ledgerのアップデート更新と偽りリカバリフレーズの入力を要求するフィッシング詐欺サイト
リカバリーフレーズの入力欄が配置された Ledger フィッシングサイト

Ledgerフィッシング危険24個の英単語シードフレーズ入力させて盗む偽サイト
Ledger シードフレーズ英単語24個の入力を誘う偽サイト

リカバリーフレーズ英単語24個を盗むフィッシング詐欺Ledger偽サイト
Ledger 画面でシードフレーズの入力を誘うフィッシングサイト

シードフレーズ入力を誘うLedger Live偽サイトでフィッシング詐欺
ウォレット用アプリ Ledger Live 画面を装うフィッシングサイト


■ Ledger 偽サイトの見分け方

  • 見た目や雰囲気での判断は危ない
    Ledger 偽サイトは本物のロゴマークを悪用してユーザーに見抜かれないよう先手を打っている

  • 見分け方はブラウザの URL 確認
    本物の Ledger の正規ドメイン <ledger.com> ではないことからフィッシングサイトは一目瞭然

Ledger ハッキングの鍵はリカバリーフレーズの英単語 24 個

資産を盗みたい詐欺師は Ledger の何を狙うのか？

複数の Ledger 偽サイトを見て明らかなのは…

  • なりすまし
    Ledger 社の公式サイトを装う、あるいは Ledger 社の関係者を名乗る

  • 盗む対象
    リカバリーフレーズを尋ねて聞き出したり、入力させて盗む
    → ハードウェアウォレットの資産を奪うハッキングが実現できる

～ Ledger のリカバリーフレーズとは？ ～
英単語 24 個で構成される機密情報
シークレットフレーズ、シードフレーズ、ニーモニックフレーズとも呼ばれる

Ledger の公式サイトを確認すると、英単語 24 個の扱いについて強く注意喚起しています。

報告されているフィッシング詐欺
https://www.ledger.com/ja/phishing-campaigns-status

リカバリーフレーズの 24 単語は、絶対に他者と共有してはいけません。
Ledger 社が 24 単語を尋ねることは一切ありません。Ledger 社を装った詐欺に警戒してください。ご自身のデバイス以外には、絶対に 24 単語を入力しないでください。

● 詐欺師が電話で Ledger ユーザーに連絡
ここで重要なのは、Ledger はいかなる理由であっても、ユーザーに電話で連絡することは決してないということです。相手がどれほど説得力があるように見えても、24 単語のリカバリーフレーズを提供する必要がある状況は、一切起こり得ないことを常に覚えておいてください。
その機密情報を入手しようとすることは、お客様の資金を盗もうとしていることを意味します。

● 偽の Ledger Live アプリやウェブサイト
これは依然として、最も一般的な詐欺の手口の 1 つです。Ledger Live の偽バージョンは、一見すると、本物のように見えます。 ただし、ユーザーが使用を開始すると、「エラーメッセージ」 が表示され、24 単語のリカバリーフレーズの入力が求められます。

● Ledger を装った偽のソーシャルメディアアカウント
詐欺師は、当社の公式サポート アカウントになりすますだけでなく、Ledger の従業員、または過去に Ledger で働いていた人たちになりすますことがあります。
これらのメッセージは、お客様の投稿への応答として受信する場合もあり、通常詐欺師は、ダイレクトメッセージの送信を要求します。 また、詐欺師は、連絡先として Instagram や Telegram アカウントをリンクするなど、別のソーシャルメディアプラットフォームで誰かをフォローすることを推奨する場合もあります。

安全のため、ソーシャルメディア上で他の人に連絡するよう誘導するメッセージや、ダイレクトメッセージを介する試みは、すべて詐欺であるとお考えください。
何よりも、どんなことがあっても、24 単語のリカバリーフレーズを、決して他人に提供してはいけないことを、常に覚えておいてください。
24単語のリカバリーフレーズとPINコードを安全に保管するには？
https://support.ledger.com/ja/article/360005514233-zd

リカバリーフレーズを保護するには？
24 単語のリカバリーフレーズ （別名、ニーモニックフレーズ / シークレットリカバリーフレーズ / シード フレーズ） はすべての仮想通貨 （暗号資産） アカウントのマスターキーとして機能します。
リカバリーフレーズにアクセスできる人なら誰でも、自分のデバイスやソフトウェアウォレットに非常に簡単にアカウントをクローニングし、資金を使用することができます。
フレーズは、常に安全かつプライベートに保管することが非常に重要となります。

技術的な問題が発生した場合、Ledger サポートにリカバリーフレーズの提出が必要となることがありますか？
・ いいえ。Ledger サポートチームは、サポートを提供する際に 24 単語のリカバリーフレーズをお尋ねすることはありません。
・ リカバリーフレーズを尋ねる人物がいた場合、詐欺師であることを疑ってください。
・ リカバリーフレーズは、Ledger を含む誰とも決して共有してはなりません。

リカバリーフレーズを入力する本物の正当な場面は、手元にある物理的な 「Ledger Nano」 デバイスだけ。

たとえば、次のシチュエーションはすべて Ledger に絡んだフィッシング詐欺です。

  • ブラウザに表示されたページで Ledger のリカバリーフレーズを入力させる

  • PC、スマホ、タブレット端末で Ledger のリカバリーフレーズを入力させる

  • Twitter、Instagram、Telegram、Discord 上で Ledger のリカバリーフレーズを尋ねてくる

  • 送信者 Legder のEメールで Ledger のリカバリーフレーズを尋ねてくる

  • 送信者 Legder のEメールで本文の URL リンクから Ledger 社のウェブサイトと称するページに誘導する

  • Ledger 社のサポートスタッフを名乗る人物から電話を受ける


■ ハードウェアウォレットはオフラインだから安全？

詐欺師は地球の裏側から Ledger デバイスを所有するユーザー目掛けてハッキング攻撃を仕掛けます。

  • リカバリーフレーズを聞き出す
    Ledger デバイスのハッキング手口はリカバリフレーズを開示させて盗む
    説得力を持たせるようと詐欺師は Ledger 社の関係者を名乗ってなりすます

  • ハードウェアウォレットは安全？
    ハードウェアウォレットはネットから隔離されたオフライン環境なので安全というのは 幻想 か
    Ledger Nano デバイスが自分の手の上にあっても資産がガッツリ盗まれうる
    詐欺師は Ledger Nano が保管されてある建物に忍び込み必要なし

  • 肝心の人間はネットに入り浸っている
    SNS では Ledger Nano を所有している事実を世界に発信する無警戒なユーザーがいる
    人間がオンライン環境で活動 してる以上、詐欺師に付け入られる隙が常にある
    （ネットサーフィンする、Eメールを受信する、SNS で誰かとやり取りする）

「資産を確実に守りたいならハードウェアウォレット一択！」 という記事を目にして、「ハードウェアウォレットなら資産を盗まれることはない」 と誤解されかねず、危なっかしいと感じます。


■ Ledger デバイスではなく所有者の人間を ”ハッキング” すればよい

ハードウェアウォレットの安全性がどれだけ高く、強固なセキュリティを標榜していても、そのハードウェアウォレットを扱う 人間のセキュリティ意識や知識が常に優れているとは限りません。

むしろ、人間は 100％ 完璧ではなく、必ずミスを犯す生き物です。

  • Ledger デバイスのハッキング手口 1
    ユーザーに Ledger のリカバリーフレーズの英単語 24 個を尋ねて聞き出す

  • Ledger デバイスのハッキング手口 2
    ユーザーを Ledger の偽サイトに誘導してリカバリーフレーズの英単語 24 個を入力してもらう

Ledger 社を装う迷惑メール！ 通知や警告で引き寄せる

どうやって Ledger 偽サイトにユーザーを連れてくるのか？

  • SNS を介して Legder の関係者になりすました詐欺師が接近して偽サイトに誘導する

  • もっともらしい通知、案内、警告をする偽Eメールを送信して本文中の URL リンクに誘導する

  • 検索エンジンの検索結果でスポンサー広告として Ledger 偽サイトを上位表示させる

古典的なフィッシング手口として、Ledger から送信されてきたかのような巧妙な 迷惑メール （スパムメール） が手元にやって来ます。 

Ledger偽セキュリティアップデート迷惑メール詐欺
Ledger を装うフィッシング詐欺の迷惑メール

偽メール件名 Security Alert: Data Breach May Expose Your Recovery Phrase
送信者 Ledger <support ＠ ledger>
Important: Verify Your Recovery Phrase
Dear Customer,
We regret to inform you that a recent data breach has affected our service. While your Ledger wallet remains secure, there is a possibility that recovery phrases (also known as "seed phrases") linked to certain accounts have been exposed. Firefly
To safeguard your assets, we strongly encourage you to verify the security of your recovery phrase through our secure verification tool. Firefly
Steps to Protect Your Assets:
1. Visit our official verification page.
2. Follow the on-screen instructions to check your recovery phrase.
3. If necessary, follow the steps provided to secure your wallet.
If you have any questions or concerns, our support team is here to assist you. Click the button below to start the verification process: Firefly
[Verify My Recovery Phrase]

Ledger Liveを装う不審な迷惑メールでフィッシング詐欺
Ledger を装うフィッシング詐欺の迷惑メール

偽メール件名 Action required: Update your Ledger device
送信者 Ledger Live <support ＠ ledger-live>
This is an automated message to notify you about the update.
Our support team has noticed that your Ledger device has not been updated. You can easily update it using the personal button below. Firefly
Please note that the update must be completed before January 1, 2025. We apologize for any inconvenience this may cause. Rest assured, our goal is to keep our customers safe and satisfied.
Thank you in advance for your understanding. Firefly
[UPDATE NOW]
Copyright Â(C) Ledger SAS. All rights reserved. Ledger, Ledger Stax, Ledger Nano S, Ledger Vault, Bolos are registered trademarks of Ledger SAS 1 rue du Mail, 75002 Paris, France Payment methods

Ledger フィッシング詐欺メール 迅速なセキュリティ確認を推奨 重要な安全通知
日本語で Ledger フィッシング詐欺メール

迷惑メール件名 Ledger – 迅速なセキュリティ確認を推奨
送信者 <noreply＠ledger com>
Ledger
重要な安全通知
ご利用のサービスに影響を及ぼした最近のデータ漏洩事件について、残念ながらお知らせいたします。あなたのLedgerウォレットは依然として安全ですが、特定のアカウントに関連付けられた回復フレーズ（別名「シードフレーズ」）が盗まれている可能性があります。無題なログ
資産の安全を確保するために、当社のセキュリティ検証ツールを使用して、回復フレーズを直ちに確認することを強くお勧めします。この検証プロセスにより、回復フレーズの整合性を確認し、未承認のアクセスから資産を守ることができます。無題なログ
以下の手順に従って、アカウントの安全を確保してください：
下記の「今すぐ検証」ボタンをクリックしてください。
検証ポータルに安全に回復フレーズを入力してください。
提示された手順に従って、アカウントのセキュリティを強化してください。 
今すぐ検証
もし上のボタンが機能しない場合、以下のページをお試しください：https //www ledger com/ja/ledger-wallets-and-services

Ledger Nano 所有者を "ハッキング"！ 資産を盗まれた被害例

ハードウェアウォレットの安全性に致命的な問題あり、というニュース記事です。

[幻想] ハードウェアウォレットはオフライン環境なので安全です!?
[現実] ハードウェアウォレットを所有するユーザーはオンライン環境にいるから危険です

2023年10月、在スペインのメキシコ人ジャーナリスト Olivier Acuña （オリヴィエ・アクーニャ） さんが 400,000 ドル相当の価値、日本円に換算すると 6000万円 ぐらいの仮想通貨を盗まれた被害を紹介します。 

How a Journalist Went From Exposing Mexican Cartels to Losing His Crypto Life Savings （CoinDesk）
https://www.coindesk.com/business/2024/12/20/how-a-journalist-went-from-exposing-mexican-cartels-to-losing-his-crypto-life-savings

2023年、スペイン東海岸の穏やかな夜、これまで何百回もやってきたように Olivier Acuña は貯蓄を別の暗号通貨ウォレットに移そうと PC の前に座っていた。

「暗号資産の送信は常に不安を引き起こします」 と Acuña は CoinDesk に語った。その夜、この言葉が痛々しいほど現実として鳴り響くことになる。

Acuña が送信ボタンを押した瞬間、それは終わった。400,000 ドル相当の暗号資産 （彼の全財産） が未知のフィッシング詐欺師に盗まれて消失した。

Acuña の損失は、誰もが暗号資産のハッキングに無縁でないことを示している。彼は暗号資産の業界歴 7 年のベテランで、ブロックチェーンに潜む危険から警戒する必要性を理解している人物だ。それ以前は数十年にわたってジャーナリストとして活動し、メキシコの凶暴な麻薬カルテルや刑務所での拷問に直面し、常に警戒を怠らなかった。

そのお金を取り戻すのは困難かもしれない。通常の銀行口座が侵害された場合、ほぼ確実に損失は保険でカバーされる。しかし、暗号通貨には そのような高度に規制されたシステムがなく、意図的に分散化されている。非中央集権化は、暗号資産のユーザーが切望する制度からの自由を与える一方、諸刃の剣でもある。管理者不在は、クリック 1 つで人々を破滅に追いやる可能性がある。

ハッキング自体は特別なことではなかった。Acuña は Ledger のハードウェア端末の資金にアクセスできなかったので、SNS を通じてカスタマーサポートに連絡した。なりすましが急襲し、30 分後に Acuña は詐欺師の網に掛かってしまった。
I lost £325k in a crypto scam – I was fooled by the fraudster’s blue tick on X （The i Paper）
https://inews.co.uk/news/lost-325k-crypto-scam-fooled-fraudsters-blue-tick-x-3012705

資産を盗まれるキッカケになったのが、X.com （Twitter） に投稿した 「Leder Nano S Plus」 にアクセスできないトラブルを報告するために投稿したツイートです。

Ledger will NEVER ask you for your 24-word recovery phrase
詐欺師に付け入られるキッカケになった投稿

このツイートを受けて、Ledger 社のサポートスタッフになりすました詐欺師が X.com （旧 Twitter） のダイレクトメッセージ経由で急襲！

被害者の男性は、青い認証バッジ付きのアカウントを本物の Ledger 社と思い込んでしまい、サポートスタッフになりすました詐欺師に Ledger のリカバリーフレーズを開示してしまったと…。