信頼していた金融サービスから届いた詐欺通知――オンラインでは何も100%安全ではない理由

Benは2014年にMUOに参加し、コンピュータ情報システムの学位を取得後、2016年にIT業界の仕事を離れて同サイトに専念。2017年から編集チームに加わり、現在はシニアエディターとして「Devices」「Home」セクションを統括しています。Windows、Android、ゲーム、iPhoneに関する解説やハウツー記事を専門とし、執筆記事の累計閲覧数は1億回を超えています。

詐欺は、銀行を装ったメールや突然のポップアップなど、思いがけないところからやってきます。私たちは日頃から使っているアプリやウェブサイトが詐欺を仕掛けてくることはないと信じていますが、油断すると騙されてしまうこともあります。

最近、私は普段利用している金融サービスから詐欺通知を受け取りました。同社のシステムが侵害され、第三者が本物そっくりのにせ情報を配信できてしまったのです。幸い私は開くことすら考えませんでしたが、実際に騙された人は少なくなかったはずです。「常に疑う姿勢こそが自分を守る」という良い教訓となりました。

一見、怪しく見えなかった

そもそも興味がなかった

私は長年、資産運用サービス「Betterment」で投資や貯蓄を行っています。スマートフォンの通知は気が散らないよう絞り込んでいますが、金融サービス系のアプリだけは入金の完了などを把握したいので有効にし、通知センターで自分のタイミングで確認するようにしています。

数週間前、Bettermentから暗号資産(仮想通貨)関連のオファーを告知する通知が届きました。最初の一文を見た瞬間にスワイプして削除しました。暗号資産に興味がなく、使ったこともないからです。(通知は素早くスワイプして整理する習慣があります。内容は確認しますが、大半は対応不要だからです)

実はBetterment自体、暗号資産への投資手段を提供しており、私も試したことはありません。また、友人を紹介すると高金利普通預金(HYSA)の年利回り(APY)がアップするといった正当なオファーの通知が届くこともあります。そのため、あの通知を特に怪しいとは思わなかったのです。

ところが数日後、Bettermentがユーザーに詐欺通知を送ってしまったという報道を目にしました。すぐに状況を理解し、無視していてよかったと安堵しました。

古典的な「お金が倍になる」詐欺

タダでお金をくれる人は存在しない

通知を最後まで読む前に削除してしまったため、詐欺の文面を初めて目にしたのはネット上でした。

件名は「We'll triple your crypto!(Limited Time)」(あなたの暗号資産を3倍にします!期間限定)で、「Bettermentからの感謝を込めて」として、数時間以内の入金に対して3倍の額を還元するという内容でした。指定のアドレスに送金すれば、3倍の金額が送り返されるという仕組みです。

これは即座に見抜けるべき古典的な詐欺です。「100ドル渡せば200ドル返す」という話を対面で聞いて騙される人はいないでしょう。これはそのデジタル版にすぎません。「お金を2倍・3倍にします」というオファーを見かけたら、無視してください。指定先に送金したお金は二度と戻ってきません。

Bettermentの場合、「オファー」を分析すると別の偽物の兆候も浮かび上がります。金融サービスが入金ボーナスを提供するなら、いくら入金すれば、いつボーナスが受け取れるのかという明確な条件を提示するはずです。

ランダムなウォレットアドレスを指定することはなく、ましてや「送り返す」などとは言いません。通常は、一定期間の経過後に会社側が直接アカウントへ入金します。口座開設時のウェルカムボーナスを提供する銀行でも同じ仕組みです。

詐欺のもう一つの古典的なサイン(現代の詐欺メールにも共通する特徴)は、冷静に考えられないよう急かす点です。正当な期間限定オファーがわずか数時間で終わることはありませんし、企業が「すぐに送り返す」なんてこともあり得ません。

以前にも見たことのある手口

残念ながら、これが初めてではない

この一件を受けて、Bettermentは公式に説明ページを公開しました。それによると、犯人はマーケティング業務で利用している第三者プラットフォームへのアクセス権を不正に取得。手法はソーシャルエンジニアリングで、従業員が騙された可能性があるとのことです。

幸い、通知を開いただけなら危険はなく、会社の調査でも不正なアカウントアクセスは確認されなかったといいます。ただし、メールアドレス、電話番号、生年月日などの個人情報が漏えいしました。

これは聞き覚えのあるパターンです。信頼できる企業の関係者が侵害され、攻撃者が正規のアクセス権を悪用して自らの企みを本物らしく見せる。2025年12月にはフードデリバリー大手Grubhubでも同様の詐欺が発生し、ユーザーは正規の企業アドレスから「10倍キャンペーン」を謳う偽メールを受け取りました。

さらに2020年7月には、Twitter(現X)で大規模な同種の詐欺が発生。内部管理ツールが侵害され、侵入者が「全員のお金を倍増させる」という詐欺投稿を、Apple、バラク・オバマ元米大統領、ビル・ゲイツ氏など多数の認証済み大手アカウントから行いました。

オンラインのものを100%信用しない

こうした詐欺にネット広告では引っかからない人でも、信頼できる相手からの通知だと騙されてしまうかもしれません。今回の手口では、同じ「オファー」を記載したメールも、正規のBettermentアドレスから送られていました。

どれだけ使い慣れたサービスでも、オンラインのものを無条件に信用してはいけないという重要な教訓です。システムは侵害される可能性があり、偽メッセージがどこから届くのか予測できないからです。

今回は、正規のBettermentの連絡チャネルが詐欺の拡散に利用されました。冷静に考えれば有名な手口だと気づけたはずですが、送信者を信頼していると、つい警戒心が緩んでしまうものです。

通知を受けて何か行動する前――特にお金が絡む場合は――必ず立ち止まって考えてください。ネットで他の人の反応を検索したり、乗っ取られるリスクの低い別の方法で会社に問い合わせたりしましょう。行動を少し待って後悔することはまずありません。数時間以内の対応を求める正当な金銭トラブルは、ほとんど存在しないのです。