Binance公式サイトの証明書フィンガープリント確認方法：フィッシング対策

ドメイン名やページのデザインがいくら似ていても、証明書だけは偽造できません。これはBinance（バイナンス）公式サイトの真偽を判断するための最後の防衛線となります。本記事では、ブラウザ上で binance.com の SSL 証明書を確認し、フィンガープリントを照合し、さらに Certificate Transparency（CT）ログを利用して二次検証を行う方法について解説します。公式の入口にアクセスする場合は直接 Binance公式サイト を開いてください。アプリをダウンロードする場合は Binance公式アプリ をご利用ください。iPhoneユーザーの方は iOSインストールガイド を参考にしてください。

証明書とは何か、なぜフィッシング対策になるのか

SSL 証明書は、第三者機関（認証局、CA）の公印が押された「身分証明書」のようなものであり、「この証明書を保持しているサーバーは、確かに名乗っているドメインのサーバーである」ことを証明します。認証局は証明書を発行する前に、申請者がそのドメインの制御権を持っているかを検証します。悪意のある攻撃者は binance.com の正規の証明書を取得できないため、フィッシングサイトは以下のいずれかの方法をとらざるを得ません。

• 自己署名証明書を使用する（ブラウザには赤い警告が表示されます）
• 類似ドメイン（例：binance-cn.com）に対して Let's Encrypt などで証明書を取得し、「この類似ドメインも正当な HTTPS である」と偽装する
• HTTPS を一切使用せず、HTTP 接続のまま文字や画像で安全であるかのように取り繕う

どの手法であっても、ユーザーが主体的に証明書を確認すればすぐに見破ることができます。

Chrome / Edge で証明書を確認する

1. binance.com を開き、ページの読み込みが完了するのを待ちます。
2. アドレスバーの左側にある鍵アイコン（または「サイト情報を表示」アイコン）をクリックします。
3. 「この接続は保護されています」→「証明書は有効です」の順に選択します。
4. ポップアップ表示される証明書ビューアで「発行先」と「フィンガープリント（拇印）」を確認します。

正しい証明書には、以下の情報が含まれているはずです。

組織（O）フィールドが「Binance Holdings Limited」であれば、基本的には公式であると確認できます。

Safari で証明書を確認する

macOS の Safari では操作が少し異なります。

1. アドレスバーの鍵アイコンをクリックし、「証明書を表示」を選択します。
2. ポップアップした証明書パネルで、「詳細」を展開します。
3. 一番下までスクロールして、SHA-256 フィンガープリントを確認します。
4. その値を公開されている記録と照合します。

iOS の Safari では証明書のフィンガープリントを直接表示できないため、サードパーティ製のアプリ（SSL Checkerなど）を使用するか、.pem ファイルをエクスポートして解析する必要があります。

SHA-256 フィンガープリントの照合

証明書のフィンガープリントは、身分証明書番号のような64桁の16進数文字列です。Binance のメインドメインの証明書は少なくとも年に1回更新されるため、特定のフィンガープリントを長期的な照合基準とするべきではありません。代わりに「同期比較」を行います。つまり、2つの異なるデバイス、2つの異なるネットワークから binance.com にアクセスし、表示されるフィンガープリントが一致するかを確認します。もし両者が一致しない場合、少なくとも片方は中間者攻撃（Man-in-the-Middle Attack）を受けている可能性があります。

より確実な方法は、CT（Certificate Transparency）ログを使用して照合することです。

1. crt.sh にアクセスします。
2. 検索ボックスに binance.com と入力します。
3. 直近に発行された証明書の記録を確認し、フィンガープリントをメモします。
4. ブラウザで表示されたフィンガープリントが、この記録の中に存在するかを照合します。

CTログは公開されており改ざん不可能な記録です。世界中のすべての認証局が発行する証明書はここに登録されなければなりません。もしブラウザに表示されている証明書のフィンガープリントがCTログに存在しない場合、新しく発行されたばかりでまだ収録されていない（非常に稀です）か、あるいは偽造された証明書であるかのどちらかです。

ターミナル（コマンドライン）での検証

macOS や Linux のターミナルでは、openssl ツールを使用して証明書のフィンガープリントを直接取得し、照合することができます。具体的な方法はコマンドライン操作を伴うため、慣れているユーザーは関連資料を参照してください。Windows ユーザーは、PowerShell の Get-PfxCertificate 系のコマンドレットを使用できます。本記事ではコマンドラインの詳細については割愛します。

モバイル端末での確認方法

スマートフォンのブラウザではデスクトップほど簡単に証明書を確認できません。以下の2つの方法をお勧めします。

• Android：Firefox（アドレスバーの鍵アイコンから完全な証明書チェーンを確認可能）または Kiwi Browser を使用する。
• iOS：Safari と、共有メニューに組み込まれる「証明書確認」拡張機能（SSL Traceなど）を組み合わせて使用する。

Chrome モバイル版で完全なフィンガープリントが見られない場合でも、少なくともアドレスバーが binance.com であり、鍵アイコンが表示されていること、そして「保護されていません」や「証明書が期限切れです」といった警告が一切ないことを確認してください。

証明書に関する3つのよくある異常

異常その1：証明書が期限切れになっている 非常に稀なケースです。Binance は証明書の有効期限が切れる数日前に自動的に更新を行います。もしこの警告が表示された場合は、手元のシステム時刻がずれている可能性が高いです。PCの時計の日付を確認してください。

異常その2：発行者が信頼されていない ブラウザに「この接続ではプライバシーが保護されません」と表示されるケースです。よくある原因は、企業や学校のネットワークが SSL の傍受（インターセプト）を行っており、独自のルート証明書をインストールして、すべての HTTPS 通信を復号・再署名している場合です。このような環境では絶対に Binance アカウントにログインしないでください。通信内容が中間者に完全に見られている状態です。

異常その3：共通名（CN）が一致しない 証明書は a.com 向けに発行されているのに、アクセスしているサイトが b.com であるケースです。これは、DNS がハイジャックされ、別のサーバーに誘導されていることを示しています。直ちにページを閉じてください。

パスワードマネージャーを利用した補助的な検証

1Password や Bitwarden のようなパスワードマネージャーは、自動入力を行う際に、現在のドメインがアカウントに紐付けられたドメインと一致するかを検証します。ログインしようとしているページでパスワードが自動入力されない場合、まずはフィッシングサイトではないかと疑ってください。このメカニズムは人間の目による識別よりもはるかに確実です。

よくある質問（FAQ）

Q：証明書のフィンガープリントが変わった場合、ハイジャックされているということですか？ A：そうとは限りません。Binance は毎年証明書を更新するため、フィンガープリントも変わります。確認すべき重要なポイントは、発行先組織（O）が「Binance Holdings Limited」であるかどうかです。

Q：DV 証明書と OV 証明書の違いは何ですか？ A：DV（Domain Validation）はドメインの所有権のみを検証しますが、OV（Organization Validation）は組織の身元まで検証します。Binance が使用しているのは OV レベルの証明書です。

Q：SSH のようにフィンガープリントを1つに固定することはできませんか？ A：過去にはブラウザに HPKP（HTTP Public Key Pinning）という仕組みがありましたが、現在は非推奨となり廃止されています。現在では主に CT ログによる監視に依存しています。

Q：スマホでフィンガープリントを確認できない場合はどうすればいいですか？ A：少なくとも binance.com に鍵アイコンが表示されているかを確認し、公式アプリとブラウザの2つの経路を組み合わせるのが最も安全です。

関連記事

• フィッシング（偽）ドメインの識別リスト
• accounts ログインサブドメインの役割
• 新しいドメインサフィックスの確認方法