多くのユーザーは、Binance公式サイトをブラウザのブックマークバーに登録し、ワンクリックでアクセスできるようにしています。この習慣自体は合理的ですが、前提として「ブックマークの内容が書き換えられていないこと」が極めて重要です。ここ数年、「ブックマーク乗っ取り（Bookmark Hijacking）」によって、保存していたURLが密かにフィッシングサイトに差し替えられ、ログイン情報を盗まれる被害が報告されています。まだアカウントをお持ちでない方は、まずBinance公式サイトで登録を行い、モバイルユーザーの方はBinance公式アプリを利用してブラウザ経由のリスクを回避することをお勧めします。以下に、ブックマークの安全について詳しく解説します。
1. ブックマークはどうやって乗っ取られるのか
ブラウザのブックマークは、実体としてはPC内のローカルファイルに過ぎません。Chromeなら User Data\Default\Bookmarks というJSONファイル、Firefoxなら places.sqlite というデータベースに保存されています。これらのファイルは暗号化されていないため、PC内のファイル読み書き権限を持つプログラムであれば、容易に書き換えることが可能です。
主な乗っ取り経路は以下の3つです。
① 悪質なブラウザ拡張機能： 「無料のプラグイン」や「非公式のツールバー」などが、インストール時に「アクセスするすべてのウェブサイトのデータの読み取りと変更」や「ブックマークの変更」といった権限を要求することがあります。これによって、ブックマーク内の金融サイトのURLを一括で書き換えることが可能になります。Binanceのドメインを一文字だけ変える（例：binance.com を binarce.com にする）など、目視では気づきにくい巧妙な変更が行われます。
② フリーソフトに同梱されたアドウェア： 海賊版ソフトやフリーゲームのインストーラーに「ブラウザアシスタント」のようなツールが紛れ込んでいることがあります。これらはホームページやデフォルトの検索エンジンを勝手に変えるだけでなく、ブックマークを書き換えることもあります。
③ ソーシャルエンジニアリング： 他人にPCを貸した数分の隙に、ブックマークを手動で書き換えられるリスクです。これは最も原始的ですが、発覚しにくい手法です。
2. 乗っ取られた後に何が起きるのか
最新のフィッシングサイトは、デザインやログインフロー、2FA（二段階認証）の入力画面に至るまで、本物と寸分違わず作られています。偽サイトにパスワードを入力すると、裏側で攻撃者がリアルタイムに本物のBinanceへログインを試みます。あなたがSMS認証コードを入力すると、それも攻撃者に中継されます。これは「中間者フィッシング」と呼ばれ、非常に危険な攻撃です。
さらに巧妙なケースでは、ログイン後に偽の資産残高を表示させ（数字上は正常に見える）、裏側ではセッションを利用して出金ホワイトリストの設定やAPIキーのバインドを完了させます。次に本物のBinanceを開いたときには、すでに資産が盗まれているという事態になりかねません。
**ブックマークの安全はアカウント保護の「第一の門」**であり、決して軽視してはいけません。
3. 対策1：ブックマークを「読み取り専用資産」として扱う
最もシンプルで効果的なのは、定期的なチェックです。ブラウザのブックマークマネージャー（Chromeなら Ctrl+Shift+O）を開き、BinanceのURLが厳密に https://www.binance.com であることを確認してください。
また、ブックマークを固定の位置に置くことも有効です。例えばブックマークバーの左端に置き、ファビコン（アイコン）のデザインを覚えておきましょう。Binance公式のファビコンは特徴的な黄色の菱形ロゴです。もしある日、このアイコンがデフォルトの地球マークなどに変わっていたら、即座に警戒すべきです。
アクセスする際も、「クリックした直後にアドレスバーを一瞬確認する」癖をつけましょう。ドメインが binance.com から始まっているか確認するのにかかる時間はわずか1秒です。
4. 対策2：専用のブラウザプロファイルを使用する
ChromeやEdgeには「プロファイル（ユーザー）」を複数作成する機能があります。プロファイルごとにブックマーク、拡張機能、クッキーが完全に独立しています。
Binanceや銀行などの金融取引用に専用のプロファイルを作成することを強く推奨します。この専用プロファイルには、必要最低限の拡張機能（パスワードマネージャーなど）以外は一切入れないようにします。普段のネットサーフィン用プロファイルとは完全に切り離すことで、日常用プロファイルに悪質な拡張機能が紛れ込んでも、金融用プロファイルのブックマークに干渉されることはありません。
5. 対策3：パスワードマネージャーによるドメインロック
1PasswordやBitwardenなどの主要なパスワードマネージャーには、**「パスワードとドメインを厳密に紐付ける」**という強力な機能があります。
Binanceのパスワードを保存する際、ドメインは binance.com として記憶されます。もしブックマークが乗っ取られて binarce.com（偽サイト）に飛んだ場合、パスワードマネージャーは自動入力を行いません。ドメインが一致しないからです。
これはフィッシング対策における最強の防衛線の一つです。「自動入力が機能しない＝偽サイトの可能性がある」という最終警告として機能します。
6. 対策4：DNSレベルでの防御
より徹底した対策として、DNSレベルでのフィルタリングがあります。NextDNSやAdGuard DNSのようなカスタムルールを設定できるサービスを利用し、フィッシングサイトに多用される「似たドメイン」をあらかじめブロックしておきます。これにより、たとえブックマークが書き換えられても、ドメイン解決の段階でアクセスを遮断できます。
7. 対策5：拡張機能の定期的な監査
月に一度、chrome://extensions などを開き、インストール済みの拡張機能を点検しましょう。以下の点に注目してください。
- 心当たりのない拡張機能が追加されていないか。
- 権限が過剰ではないか（単なる画像保存ツールが「すべてのウェブサイトのデータ変更」権限を持っているなど）。
- 拡張機能のデベロッパーが信頼できるか。
不要なものや権限が怪しいものは、即座に削除しましょう。
8. モバイル端末のブックマークも同様に注意
ブラウザの同期機能を使っている場合、PCで乗っ取られたブックマークはスマホにも同期されます。スマホは画面が小さくアドレスバーが省略されやすいため、URLの異常に気づくのがさらに難しくなります。
モバイル端末では、ブラウザのブックマークではなく、Binance公式アプリを使用するのが最も安全です。公式アプリはブックマークに依存せず、独自のセキュリティチェック機能を備えています。
9. もし偽サイトに入力してしまったら
フィッシングサイトに情報を入力してしまった疑いがある場合は、以下の順序で緊急対応を行ってください。
- 即座にオフラインにする（Wi-Fiを切る、機内モードにする）。
- 別の「感染していない」端末から本物のBinanceにログインする。
- パスワードの変更、2FAの再設定、APIキーの削除を行う。
- 出金ホワイトリストに見知らぬアドレスが追加されていないか確認する。
- 資産に動きがある場合は、即座にBinanceカスタマーサポートへ連絡し、アカウントを凍結してください。
これらの対応は数分以内に行う必要があります。攻撃者は情報を入手してから数分以内に資産の移動を開始するため、スピードが勝負です。
10. ブックマーク管理を「セキュリティの全体像」として捉える
ブックマーク乗っ取りへの対策は、単独で行うものではなく、アカウント全体のセキュリティの一部です。専用プロファイル、パスワードマネージャー、定期監査などの手段を組み合わせることで、「多層防御（Defense in Depth）」を構築しましょう。
防御を厚くすることは、攻撃者のコストを上げることにつながります。攻撃の「投資対効果」を下げ、標的から外れるようにすることが、セキュリティエンジニアリングの核心的な考え方です。