バイナンスのフィッシング防止コードは、ユーザーが自分で定義した短い文字列で、バイナンス公式からのすべてのメール、サイト内メッセージ、プッシュ通知にこの文字列が含まれるようになり、情報の真正性を証明します。設定画面は バイナンス公式サイト のアカウントセキュリティセンターにあります。モバイルユーザーは バイナンス公式アプリ の「セキュリティ」モジュール内でスイッチを見つけることができます。初めて有効にする前に、iOSインストールチュートリアル を参照してデバイスの検証を完了しておくことをお勧めします。結論から言うと、フィッシング防止コードの役割は、ユーザーがメールを受け取った際に 一目 で本物か偽物かを判断できるようにすることです。メールの冒頭に自分で設定した独自の文字列があれば、偽ドメインやなりすまし送信者による認証コードの詐取を大幅に防ぐことができます。
一、フィッシング防止コードの定義と仕組み
ステップ 1：文字列の役割を理解する
フィッシング防止コード（Anti-Phishing Code）は、ユーザーが管理し、プラットフォームがメッセージ送信時に自動的に挿入する「自己証明識別子」です。ユーザーがこの文字列を設定すると、バイナンスのすべてのメールシステム、サイト内メッセージモジュール、ブラウザのポップアップに、本文の上部または下部にこの文字列が注入されます。この文字列はユーザー本人とバイナンスのサーバーしか知らないため、攻撃者がどれほど公式に似せた偽メールを作成しても、このランダムなテキストを当てることはできません。
ステップ 2：本物と偽物のメールを見分ける
バイナンスから送られてきたと思われるメールを受け取った際、ユーザーはメールの最上部または最下部を確認するだけで済みます。あらかじめ設定した文字列が見つかれば、そのメールは公式からのものであると判断できます。逆に、「セキュリティ警告」や「アカウントの異常」といった緊急性を煽る言葉がありながら、フィッシング防止コードが全くない場合は、直ちにメールを閉じて通報し、リンクをクリックしたり添付ファイルをダウンロードしたりしないでください。
ステップ 3：万能ではないことを知る
強調しておくべき点は、フィッシング防止コードは「メール送信元の真正性」という一つの問題を解決するためのものであり、二段階認証（2FA）の代わりにはならず、出金パスワードを保護するものでもありません。これはアカウントセキュリティ体系における「第一の関門」であり、2FA、ホワイトリスト、デバイス管理と組み合わせることで初めて完全な防御が構築されます。
二、設定手順と文字列の選び方のアドバイス
ウェブ版でバイナンスアカウントにログイン後、右上のアイコンをクリックして「セキュリティ」または「セキュリティセンター」メニューに入り、「フィッシング防止コード」の項目を見つけて「有効化」ボタンをクリックします。現在のログインパスワードと2FA認証コードの入力が求められ、その後にカスタム文字列を入力するボックスが表示されます。設計の際は以下の原則に従うことを推奨します：
- 長さは 8〜20文字 の間に設定してください。8文字未満は短すぎ、長すぎると覚えにくくなります。
- 大文字、小文字、数字、記号 のうち3種類以上の文字を組み合わせてください。
- 誕生日、電話番号の下4桁、名前のローマ字など、推測されやすい情報は避けてください。
- メールアドレスのパスワードやログインパスワードと同じ文字列は使用しないでください。
- 長期間の露出リスクを減らすため、90日ごとに変更することをお勧めします。
入力を完了すると、メール認証コードと2FA認証コードによる二次確認が求められます。送信に成功すると、バイナンスからテストメールがすぐに届きます。その内容に設定したばかりの文字列が含まれているか、入力内容と完全に一致しているかを入念に確認してください。これで有効化は完了です。
三、文字列の長さと強度の比較
以下の表は、フィッシング防止コードの長さによる、総当たり攻撃（ブルートフォース）や偶然の一致に対する耐性の違いを示しています。なぜ8文字未満が推奨されないのかを理解するのに役立ちます。
| 文字列の長さ | 組み合わせの数（大小文字＋数字） | 総当たり難易度 | 推奨度 |
|---|---|---|---|
| 4文字 | 約 1,480万 | 非常に低い | 非推奨 |
| 6文字 | 約 568億 | 低い | やや不十分 |
| 8文字 | 約 218兆 | 高い | 推奨（最低ライン） |
| 12文字 | 約 3.2 × 10²¹ | 非常に高い | 長期利用に最適 |
| 16文字 | 約 4.7 × 10²⁸ | 非常に高い | 企業レベル |
| 20文字 | 約 7.0 × 10³⁵ | 天文学的 | 推奨上限 |
表からわかる通り、8文字がセキュリティの最低ラインであり、12文字以上であれば実質的に推測されることはありません。法人アカウント、OTC業者、多額の資産を長期保有するユーザーは、16文字以上の使用を検討してください。
四、よくあるシナリオと潜在的リスク
第一の典型的なシナリオは、フィッシングメールによるなりすましです。攻撃者は「アカウントに異常なログインがありました。以下のリンクをクリックして確認してください」といったメールを大量送信し、binance.com に似たドメイン（blnance.com や binnance.com など）を使用します。フィッシング防止コードを有効にしていれば、メールの冒頭を見るだけで、偽メールには設定した文字列が 全くない ことがわかり、詐欺を見破ることができます。
第二のシナリオは、ソーシャルエンジニアリングによる電話です。詐欺師がサポート担当者を装って電話をかけ、メールでアカウントの凍結が通知されたので認証コードを教えるよう促すことがあります。この際、「先ほどのメールの冒頭にあるフィッシング防止コードは何でしたか？」と問い返してください。本物のサポート担当者はユーザーのフィッシング防止コードを知ることはできませんし、知る権限もありません。相手は必ず答えに窮します。
第三のシナリオは、アカウント乗っ取り後です。攻撃者が何らかの方法でログイン権限を取得した場合、その後の偽通知を送りやすくするために、フィッシング防止コードを こっそり変更したりオフにしたり する可能性があります。そのため、ログインのたびにフィッシング防止コードが有効なままであるかを確認し、文字列が空になっていたり見覚えのないテキストに変わっていたりした場合は、直ちにパスワードをリセットしサポートに連絡してください。
第四のリスクは、プラットフォーム間での使い回しです。バイナンスのフィッシング防止コードを他の取引所やメールの署名、チャットツールなどで使い回していると、それらのプラットフォームからデータが流出した際に、攻撃者がその文字列を利用してバイナンスの偽メールを作成する可能性があります。最善の方法は、各取引所やサービスごとに 独立した 文字列を使用することです。
五、FAQ よくある質問
Q：フィッシング防止コードを設定してから反映されるまでどのくらいかかりますか？ A：送信後、通常60秒以内にすべて反映されます。これにはメール、サイト内メッセージ、プッシュ通知、一部のAPIレスポンスが含まれます。5分経過してもテストメールで確認できない場合は、ブラウザのキャッシュをクリアして再ログインするか、公式サポートに連絡してください。
Q：自分で設定したフィッシング防止コードを忘れてしまった場合は？ A：アカウントセキュリティのページにログインすれば、現在の文字列をプレーンテキストで確認できます。他人の目を気にする場合は、一度そのコードを削除してから新しいものを設定し直すことができます。
Q：フィッシング防止コードをオフにすることはできますか？ A：技術的には可能ですが、強くお勧めしません。オフにすることは公式メールを識別する「第一の防衛線」を失うことを意味します。少なくとも最低8文字の文字列を常時有効にしておくことをお勧めします。
Q：2FA、ホワイトリスト、フィッシング防止コードの設定順序に優先順位はありますか？ A：登録後24時間以内にまず電話番号を連携し、その後の72時間以内に2FA、フィッシング防止コード、ホワイトリストの3つを完了させることを推奨します。フィッシング防止コードは比較的設定が簡単なので、最初に完了させても良いでしょう。
Q：フィッシング防止コードはSIMスワップ攻撃を防げますか？ A：いいえ。フィッシング防止コードは「メールの真偽」問題を解決するものです。SIMスワップは通信レイヤーの攻撃であり、これに対処するにはアプリベースの2FA（Google Authenticator や YubiKey など）にアップグレードする必要があります。