Ledgerを装い「必須のアップデート」を促すフィジカルな手紙が届いたら、それは間違いなく詐欺だ。本文に書かれたリンクを開いたり、QRコードを読み取ったり、指示に従ってシードフレーズ（リカバリーフレーズ）を入力してはいけない。
なぜ「Ledgerからの手紙」が突然届くのか
物理的な郵便物で警告が来ると、普段デジタルで完結する暗号資産の世界では一層「本物らしく」感じられる。しかし、これは過去に発生したLedgerの顧客データ漏洩を悪用した典型的なフィッシング詐欺である。漏洩した情報には氏名・住所・電話番号・購入デバイスの種類が含まれており、詐欺師はそれを使って個人を特定した手紙を作成している。
要は、あなたの個人情報が流出したために、ターゲットとして狙われているにすぎない。手紙に書かれた「緊急のセキュリティアップデート」「デバイスのファームウェア更新」といった文言は、すべて恐怖をあおって行動させるための嘘だ。
本物のLedgerとの連絡手段は手紙ではない
Ledgerが公式に使う連絡は、メール（[email protected]などの特定ドメイン）と、公式サイトのバナー・通知のみだ。物理的な郵便物で「アップデートを強制する」「デバイスの交換を求める」といった連絡をすることは一切ない。これは、Ledgerの公式サポートページでも繰り返し警告されている。
また、Ledgerの正規アプリ（Ledger Live）は、ファームウェア更新やセキュリティ通知をアプリ内で直接表示する。手紙やSMS、電話で「デバイスをPCに接続し、記載のURLを開け」と指示してくることは絶対にない。
手紙に書かれたリンクやQRコードを開くとどうなるのか
詐欺師が用意するサイトは、本物のLedgerのウェブサイトを完璧に模倣している。そこでは偽の「Ledger Live」アプリのダウンロードや、シードフレーズ（リカバリーフレーズ）の入力を求められる。
シードフレーズ（ウォレットのすべての資産を復元できる12語または24語の単語）を一度入力してしまうと、すべての暗号資産が即座に盗まれる。ブロックチェーンの取引は不可逆であり、盗まれた資産を取り戻すことはほぼ不可能だ。詐欺師は「新しいデバイスへの移行」「アカウントの認証」などもっともらしい理由をつけて、このシードフレーズを盗もうとする。
QRコードも同様に偽サイトへ誘導するためのものだ。読み取るだけで情報が盗まれるわけではないが、表示されたURLを安易に開くことで、マルウェア感染や、偽サイトでの入力を促されるリスクがある。
怪しい手紙を受け取ったときの具体的な対処法
まず、その手紙に記載されたいかなる指示にも従わないこと。そして、以下の手順で安全を確保する。
- 手紙は破棄する。個人情報が書かれているため、シュレッダーにかけるのが良い。
- 手紙の内容を誰かと共有したり、SNSに投稿したりしない。詐欺の拡散を防ぐためである。
- Ledger Liveアプリを公式サイト（ledger.com）からのみ起動し、デバイスのファームウェアが最新であることを確認する。アプリの通知以外の方法で更新を促された場合はすべて無視する。
- 万が一、シードフレーズを偽サイトに入力してしまった場合は、直ちに新しいウォレットを作成し、資産を緊急避難させる。シードフレーズを入力した時点で、そのウォレットは詐欺師に完全に支配されている。
- 被害に遭った場合は、日本のサイバー犯罪相談窓口や、Ledgerの公式サポートに状況を報告する。
個人情報の漏洩リスクを減らすためにできること
今回の手紙のように、すでに流出した情報を元に戻すことはできない。しかし、今後の被害を抑えるための対策は可能だ。
- ハードウェアウォレットの配送先には、私書箱や勤務先など自宅以外の住所を使う。物理的な脅威を減らすことができる。
- 暗号資産関連のサービスには、専用のメールアドレスを使う。普段使っているメインのメールアドレスと分けることで、フィッシングメールも見分けやすくなる。
- 電話番号も可能であれば専用のものを使う。SMSを使ったフィッシング（スミッシング）対策にもなる。
よくある質問
手紙に「デバイスが危険にさらされている」と書かれていた。本当ではないのか？
本当ではない。Ledgerデバイスは、シードフレーズが外部に漏れない限り安全だ。手紙は恐怖をあおって行動させようとする古典的な手口である。アプリの正規通知だけを信頼してほしい。
手紙に私の住所や購入したデバイス名が正確に書かれていた。なぜ知られているのか？
Ledgerが過去に受けたデータ漏洩で、顧客の氏名・住所・購入デバイス情報が流出したためだ。詐欺師はそのリストを購入し、個人を特定した手紙を送っている。あなただけが特別に狙われているわけではない。
まぎらわしい手紙か本物かの見分け方は？
Ledgerが物理的な手紙でアップデートを促すことは絶対にない、という点が最大の判断基準だ。さらに、URLが「ledger.com」以外のドメインだったり、「至急」「緊急」といった言葉で急がせる文面は、まず詐欺だと考えて間違いない。
うっかり手紙のQRコードを読み込んでしまったら？
読み込んだだけでは、すぐに資産が盗まれることはない。ただし、表示されたサイトで何か情報（シードフレーズやパスワード）を入力してしまった場合は、即座に資産を新しいウォレットへ移動させる必要がある。
この記事のポイント
- Ledgerを装った物理的な手紙はすべて詐欺である
- 本物のLedgerは手紙でアップデートを要求しない
- 手紙のリンクやQRコードからシードフレーズを入力すると資産が盗まれる
- 漏洩した古い顧客データが悪用されていると理解する
- 不安ならLedger Liveアプリの正規通知だけを確認する
「エミリーズ・クリプト・インサイダー」のリサーチ担当として、暗号資産の現場で日々生まれる疑問や悩みを丹念に追いかける。
Reddit や海外フォーラムに寄せられる声を読み解き、「初心者がつまずきやすいポイント」「経験者でも見落としがちな落とし穴
」を一つずつ記事として整理している。
専門的な話を誰もが理解できる言葉に置き換えることに全力を注ぐ。情報の正確さと読みやすさの両立を信条としている。