アカウントを守る：パスワード、二要素認証、SIMスワップ

取引所のアカウントと、その裏にあるメールアカウントは、ログインで守られています。アカウントの乗っ取りのほとんどは、パスワードの使い回し、弱い二要素認証、乗っ取られた電話番号から起こります。このレッスンでは、こうした穴をふさぎます。

パスワード

アカウントごとに別のパスワードを。 どこかのサイトから情報が漏れると、攻撃者は漏れたパスワードをほかのあらゆる場所で試します。使い回したパスワードの安全性は、それを使った中で一番弱いサイトと同じです。

パスワードマネージャーを使う。 長くてランダムなパスワードを作り、覚えておいてくれます。あなたが覚えるのは、強いマスターパスワード1つだけです。ethereum.orgのセキュリティガイドは「使うことを強くおすすめします」と書いています。

マスターパスワードは長くする。 ランダムな単語をいくつか並べたほうが、短くて複雑なパスワードより破られにくくなります。

レッスン30で触れた例外が1つあります。シードフレーズはパスワードマネージャーに入れてはいけません。

二要素認証（2FA）は、パスワードに加えて、あなたが持っているものを求めます。方法によって強さは違います。米国のサイバーセキュリティ機関CISAは、次のように順位付けしています。

セキュリティキーは、応答する前にサイトの本当のアドレスを確かめるので、偽サイトにログインさせることはありません。だからCISAは、この種類を「ゴールドスタンダード」と呼んでいます。

各サービスが提供する中で最も強い方法を使いましょう。どんな2FAでも、ないよりはましです。

SIMスワップでは、犯罪者があなたの携帯電話会社を説得し、あなたの番号を自分のSIMカードに移させます。あなたになりすましたり、社員を買収したり、スタッフをだましたりします。あなたのスマホは圏外になり、犯人があなたの電話やSMSを受け取るようになります。

それから犯人は、あなたのメールや取引所にパスワードのリセットを申請します。コードは犯人のスマホに届きます。

FBIには2021年に1,611件のSIMスワップの被害届が寄せられ、損失は6,800万ドルを超えました。

対策

メールを支配した人は、ほかのほとんどすべてをリセットできます。メールには最高の守りを固めましょう。使い回さないパスワード、セキュリティキーか認証アプリ、そしてSMSによる予備の手段はなしです。