郵送フィッシングで暗号資産を狙う手口と、メール分離で被害を止める方法
2026年2月15日公開 · 読了時間12分
フィッシングと聞くと、偽メールや偽SMSを想像する人が多いはずです。しかし最近は、紙の手紙（郵送）でターゲットをだまし、暗号資産ウォレットの復元フレーズやログイン情報を奪う「郵送フィッシング」が目立ち始めています。オンラインに慣れた人ほど、紙の通知に対して警戒心が薄くなりがちです。本記事では、郵送フィッシングの典型パターンを整理し、使い捨てメール（捨てメール）と認証コード隔離を軸に、被害を止めるための実践的な防御策をまとめます。
なぜ「手紙」がフィッシングに有効なのか
郵送フィッシングは、デジタルのフィッシングに比べてコストがかかるように見えます。それでも攻撃者がこの手口を使うのは、成功率が上がる条件がそろっているからです。第一に、紙の通知は「公式っぽさ」を演出しやすい。ロゴ、封筒、差出人、署名、注意書きなど、見た目だけで信頼を勝ち取りやすいのです。
第二に、手紙はメールフィルターやSMSスパム検知の対象になりません。セキュリティ製品が守ってくれない領域に届くので、最終的に人間の判断だけが防波堤になります。そして第三に、郵送は「緊急性」と相性が良い。「このままでは資産が凍結される」「本人確認が未完了」「セキュリティ更新が必要」など、恐怖と急かしを組み合わせることで、冷静さを奪えます。
郵送フィッシングの典型パターン（暗号資産ユーザー向け）
郵送フィッシングは形を変えながらも、核となる構造はシンプルです。「本人しか知らないはずの情報」を入力させるか、「正規の操作に見せかけて送金させる」こと。特に暗号資産ウォレットや取引所を狙う場合、次のようなパターンが多くなります。
A 「セキュリティ確認のため復元フレーズを入力」
もっとも危険で、もっとも単純なのがこの型です。手紙には、もっともらしい理由（不正アクセス検知、機器の交換、規制対応、本人確認）を並べて、QRコードや短縮URLでサイトへ誘導します。そこで復元フレーズ（シードフレーズ）を入力させ、入力した瞬間に資産が抜かれます。復元フレーズは「パスワード」ではなく「金庫の鍵」なので、一度渡したら終わりです。
即効の防御：
- 復元フレーズは、どんな理由でも「入力」しない（公式を名乗っても同じ）
- QRコードは基本的に踏まない。必ず公式アプリ・公式サイトを自分で開く
- 冷静さを奪う文言（緊急・凍結・期限）ほど疑う
B 「カスタマーサポート誘導 → メールで追加情報」
手紙だけで完結させず、「サポートに連絡してください」と誘導する型です。ここで攻撃者は、あなたのメールアドレスや電話番号など、次の攻撃のための情報を集めます。さらに、メールで「本人確認」「追加手続き」「セキュリティ更新」などを名目に、ID・パスワード・二要素認証コード（OTP）をだまし取ります。
この型が厄介なのは、最初が紙だから「本物っぽい」という先入観が生まれ、メールのやり取りまで疑いにくくなる点です。結果として、メールが侵害され、取引所のパスワードリセットやSIMスワップの足がかりになります。
即効の防御：
- 連絡先は手紙に書かれたものを使わず、公式サイトから自分で探す
- サポートを名乗る相手に、OTPや復元フレーズを渡さない
- 取引所・ウォレット用のメールを「専用化」して、普段の受信箱と分ける
被害が大きくなる本当の理由：メールが「回復ルート」だから
暗号資産の盗難は、ブロックチェーンの仕組みだけで起きるわけではありません。多くの被害は、もっと人間寄りの場所、つまり「アカウント回復（パスワードリセット）」から始まります。取引所、ウォレット連携サービス、KYC関連、各種クラウド、SNS――これらの回復ルートの中心にあるのがメールです。
攻撃者は「最初から資産を抜く」のではなく、まずメールを侵害し、次に取引所アカウントや関連サービスを順番に奪っていくことがあります。郵送フィッシングは、その入口として「信頼」を作り、あなた自身にクリックさせ、入力させるための装置です。だからこそ防御の要は、メールの分離（用途別アドレス）と、認証コードの隔離（OTPが届く受信箱を分ける）になります。
実践：使い捨てメールと「用途別アドレス」で攻撃面を減らす
ここからは、今日からできる具体策です。ポイントは「完璧に防ぐ」ではなく、攻撃コストを上げ、失敗しやすい構造にすること。TempForwardのような転送型の使い捨てメールを使うと、メールアドレスを目的別に切り分け、攻撃の連鎖を断ちやすくなります。
おすすめのメール分離モデル（3ボックス構成）
ボックス1：日常（ニュースレター・買い物・登録用）
漏れても致命傷になりにくい用途。スパムが増えやすい領域なので、使い捨てメールでの登録が向きます。
- サービスごとに別アドレス（追跡と横展開を難しくする）
- 怪しい流入があれば、そのアドレスだけを停止
ボックス2：本人確認・サポート連絡（中重要）
本人確認や重要手続きに関わるが、資産の復元鍵ではない領域。ここは「見せる相手が増える」ので、日常とは分けます。
- 取引所のサポート連絡先に出すメールは専用化
- 返信時に、個人情報を必要以上に送らない
ボックス3：認証コード隔離（最重要）
ログイン通知、OTP、パスワードリセットなど「回復ルート」に直結する受信箱。ここは、他の用途と混ぜないのが基本です。
- 公開しない（名刺、SNS、フォーム等に絶対入れない）
- 取引所・主要アカウントの回復メールだけを受ける
- 可能ならハードウェアキー等と併用し、メール単独にしない
郵送→QR誘導に勝つための「確認手順」テンプレ
郵送フィッシングは、最初の数分が勝負です。ここで迷いが出ると、攻撃者が用意した導線（QR・短縮URL・サポート窓口）に乗ってしまいます。おすすめは、次の手順を「自分ルール」として固定することです。
手順 3分でできる真偽チェック
- 1)手紙にあるURL・QR・電話番号は使わない。まず公式アプリを開く／公式サイトをブックマークから開く。
- 2)通知が本物なら、ログイン後のダッシュボードや「お知らせ」に同じ内容が出ているはず。出ていなければ詐欺の可能性が高い。
- 3)「復元フレーズ」「秘密鍵」「OTP」を求める文言が一つでもあれば即終了（問い合わせもしない）。
- 4)それでも不安なら、公式サイトに掲載されたサポート窓口へ自分で連絡する（手紙の連絡先は不可）。
TempForwardでできること：漏洩前提の設計
多くの人は「メールアドレスは一つで十分」と考えます。しかし、実際にはメールアドレスはネット上で最も収集されやすい識別子です。攻撃者はアドレスを手に入れると、スパム・フィッシング・なりすまし・パスワードリセット攻撃など、何通りもの攻撃に展開できます。だから、漏洩前提で設計するのが現実的です。
サービスごとに分ける
登録先ごとに使い捨てメールを分ければ、どこから漏れたかが分かり、被害の拡散も止めやすくなります。
怪しい流入は遮断
郵送フィッシングの後にスパムが増えたら、その用途のアドレスだけ止める。メインの受信箱を汚さないのが重要です。
プライバシーの最小化
連絡先が分かれていれば、プロフィールの寄せ集め（関連付け）をされにくくなり、標的化の確率を下げられます。
認証コード隔離の土台
OTPが届くルートを分けることで、日常のスパムやフィッシングが「回復ルート」へ到達する確率を下げます。
まとめ：紙の詐欺に勝つのは「分離」と「習慣」
郵送フィッシングは、デジタルに強い人ほど引っかかることがあります。「まさか手紙で？」という油断が入り口になるからです。対策の要点は、復元フレーズは絶対に入力しない、手紙のQRや連絡先を使わない、そしてメールを用途別に分離して回復ルートを守ることです。
攻撃をゼロにするのは難しくても、攻撃が成功しにくい構造は作れます。使い捨てメール（捨てメール）と認証コード隔離を組み合わせて、あなたの受信箱と資産を「切り離して」守りましょう。