1)すべてのウェブサイトやアプリで同じパスワードを設定しないこと。
いずれかのアカウントが乗っ取られると、他のすべてのアカウントも連鎖して被害を受け、大きな損害になる可能性があります。資産関連のアプリには強力なパスワードを使い、無関係なものには統一した弱いパスワードを使う人が多いですが、これは非常に危険です。毎日のように企業の情報が流出しており、それがたまにしか使わないアカウントの情報を含んでいることがあり、そこからフィッシングやソーシャルエンジニアリングに繋がり、際限のないリスクにさらされます。
1PasswordやLastPassのような有料ツールで毎回ランダムなパスワードを生成してアカウント情報を管理するか、KeePassのような無料のオープンソースツールを使うこともできます。どちらもほぼ同様に機能します。目的は明確で、個別アカウントのハッキングによる被害を最小限に抑えることです。
2)携帯電話を丸裸にしないこと。
画面オンのパスワード、指紋認証、顔認証を設定し、定期的に端末全体をバックアップしてください。連続して誤ったパスワードを入力したときに自動でデータを消去する設定も有効にしてください。iPhoneでもAndroidでもRoot化や脱獄は行わず、機会があればすぐに最新のシステムに更新し、古いシステムのセキュリティ脆弱性を攻撃されるままにしないでください。
3)敏感な写真を端末のアルバムに保存しないこと。
パスポートの情報ページ、身分証の表裏などが該当します。クレジットカードはカード番号、有効期限、名義、CVVコードがあれば決済が可能なので、写真で端末に保管しないでください。サードパーティの「クラウドアルバム」も注意が必要で、いわゆるプライバシー保護規約を信頼しないでください。撮影した写真は100%解析される可能性があります。
4)海外旅行中にクレジットカードを刷らないこと。
多くのクレジットカードは磁気ストライプのみでセキュリティチップがないため、支払い時に加盟店の端末で磁気ストライプ情報や暗証番号が記録される可能性があります。理論上、AlipayやWeChatの支払いはクレジットカードよりも安全です。
5)無料の「インターネットツール」を使わないこと。
無料を謳っていますが、実際には通信を傍受してデータを盗む可能性が高いです。余力があるなら自分のVPSを購入して構築し、時間がないなら信頼できるベンダーからレンタルしてください。
6)共有ネットワークアプリを使わないこと
一度使うとルーターのSSIDやパスワードがサーバーにアップロードされ、他の利用者が一致する信号を検索すれば使えてしまいます。自分のWiFiネットワークを誰でも使える状態にしたくないでしょう。
7)公共の場で彼らのWiFiを使わないこと（空港、駅、カフェ、ホテルなどを含むがこれらに限定されない）。
公式SSIDに似た名前の悪意あるノードを使って接続させようとすることがよくあります。こうしたWiFiは「Airport_Free_WiFi_5G」や「Coffee_Free」など誘惑的な名前になっていることが多く、施設が提供する実際のWiFiかどうか判断が難しいことがあります。
インターネット越しの通信中にアカウントやプライバシーを盗まれないように、安全を期して自分のスマホをホットスポットとして使ってください。重要な用事は通常それほど長くかかりませんし、今は通信量も高価ではありません。
8)出所不明のソースからアプリをダウンロードしないこと。
iOSはApp Storeからのみ、Androidは公式のアプリストアか信頼できるサードパーティストアからダウンロードしてください。特に「クラック済み」ソフトには注意し、バックドアが仕込まれているかどうか、どれだけ再パッケージされているかは分かりません。
ケチらず、本当に有用なソフトなら正規版にお金を払ってトラブルを避けてください。どうしても買えない場合は公式サイトから正規のインストーラをダウンロードし、正規のチャネルでライセンスコードを購入する方が、クラック版をダウンロードするより遥かに安全です。
9)サードパーティの入力方法は使わないこと。
某社や別の有名ベンダーの入力メソッドは、入力内容やシステムのクリップボード情報を明示的にアップロードして解析するものがあります。一部の人はサードパーティ入力メソッドを開いたまま秘密鍵をコピー＆ペーストしてしまいます。あなたの情報がどのようにブラックマーケットに流れるか分からないため、システム標準の入力方法を使ってください。
10)第三者アプリに画面録画の権限をむやみに与えないこと、内部まで十分に理解している場合を除く。
11)周囲にカメラがある場所でパスワードを入力しないこと。
代わりに指紋や顔認証を使い、どうしてもできない場合はカメラの死角に入ってから入力し、終わったら元の場所に戻るようにしてください。有名な界隈の大物がこの手順を守らずコインを盗まれた事例があります。
12)QQやWeChatでプライベートやセンシティブな話題をしないこと。
TelegramやSignalのようなエンドツーエンド暗号化された通信ソフトを選んでください。
13)二段階認証(2FA)を設定できるすべてのアカウントに設定すること。SMS認証よりGoogle Authenticatorを優先する。
公式のGoogle Authenticatorの代わりにAuthyを使うこともできます。Authyはデスクトップとモバイルの両方があり、リアルタイムでバックアップできます。
14)ノートパソコンのカメラに不透明なテープを貼ること。
悪意あるソフトが起動するとあなたについて多くの情報を取得できますし、ハッカーは継続的な検出で住所やオフライン秘密鍵の保管場所の痕跡を見つけ出すことさえあります。
15)ブラウザにAdGuardプラグインをインストールする。
Webサイトの広告やクッキーによるトラッキングをフィルタリングします。
16)やむを得ずリモートでアカウントのパスワードを他人に渡す必要がある場合の方法を紹介します: パスワードをAとBの二つに分け、それぞれ別の通信アプリで送る。
例えば、パスワードの前半をWeChatで送り、後半をTelegramで送るとします。こうすれば、たとえWeChatの会話が傍受されても、傍受者は全体の内容を知ることができません。
17)Chromeを使用する場合は「設定 - プライバシーとセキュリティ - 詳細」内の「閲覧トラフィックで「追跡しない」リクエストを送信する」をオフにする。
アカウントにログインする必要がない限り、頻繁にシークレットモードを使ってWebを閲覧することをおすすめします。
18)macOSユーザーは「システム環境設定 - セキュリティとプライバシー」で「FileVault」をオンにすること。
こうすることで、仮にコンピュータが盗まれても相手はハードドライブのデータを読み取れません。盗難が確実で回収不能と判断した場合は、iCloudにログインしてデバイスのデータを消去してください。
19)ホテルには通常セーフがあるので、持ち歩けない貴重品は必ずセーフに入れて鍵をかけること。
ハウスキーピングスタッフの「共通カード」は簡単に盗まれる可能性があるため、彼らを無条件に信用せず、夜は客室の補助ロックをかけて寝る習慣をつけてください。
20)メールの送信者は詐称できる。
いかなる場合でも、情報を確認するには対応するウェブサイトにログインして確かめることを優先し、メール内のリンクを直接クリックしてはいけません。例えば「出金依頼」のような確認メールが来た場合、可能ならサイトの画面でメールの認証コードを入力して操作を完了する方が安全です。
21)プライバシーを保護する検索エンジンを使うこと
Google検索の代わりにDuckDuckGoやStartpageを使う利点は明白です。主な利点は以下の通りです。
通信からあなたのIPアドレスを除去する
Webコンテンツを閲覧する際に匿名性を保つ
サードパーティの広告システムによる個人情報の追跡を止める
個人のウェブ活動に基づくユーザープロファイルの構築を止める
必要なコンテンツが見つからない時だけGoogleを使うようにしています。
22)データを暗号化すること
iCloud、Google Drive、Dropboxのようなオンラインドライブが手放せない場合は、いずれデータが流出する可能性があることを前提にしてください。大企業は暗号化やデータセキュリティに多額の予算を投じますが、それでも完全ではありません。
データが他者のサーバー上にある限り、実質的にあなたの管理下にはありません。
多くのオンラインストレージプロバイダは転送中のみデータを暗号化するか、復号用の鍵を自社で保持しています。これらの鍵は盗まれたりコピーされたり悪用される可能性があります。したがって、自衛としてCryptomatorのようなオープンソースで無料のツールを使ってデータを暗号化してください。
こうすれば、インターネットサービスプロバイダやストレージがハッキングされても、あなたのデータは安全な可能性が高くなります。
23)入力方法
サードパーティの入力メソッドは使わず、システムに付属のものだけを使うのが望ましいです。
ここでひとつ選択肢を追加します。それはRimeです。多くの利点があります。
優れた性能と低いリソース消費
最初の文字を打ったときにページが固まることがほとんどない
完全にオープンソースでバックドアや内容のアップロードがない
強力な繁体字サポート
非常に高度なカスタマイズ性
私はplacelessのデュプレックス構成を使っており、かなり良いと感じています。もしデュプレックスを使っているなら彼の設定を試してみてください。
24)HTTPSサイトのみアクセスすること
プラグインHTTPS-EVERYWHEREをインストールする。
訪問するサイトの既知の対応部分に自動でHTTPS暗号化保護を有効にし、サイトとのやり取りに関する情報が盗聴や改ざんされるのを防ぎます。
サイトにアクセスしたときに、平文で送信されている場合は明確な警告が表示されます。
25)怪しい添付ファイルはGoogle Driveで開く
添付ファイル付きのメールをよく受け取りますが、メールサービスプロバイダは疑わしいコンテンツを事前にスキャンしてブロックするものの、多くの添付ファイルは巧妙に偽装されておりローカルにダウンロードすると危険です。
この場合はウェブ上で直接プレビューするか、一時的にGoogle Driveフォルダに保存して隔離してから確認することを推奨します。これによりウイルスを効果的に隔離できます。
26)マイナーなプラットフォームはウイルスやトロイの確率を大幅に下げる
次のことを考えてみてください。利益目的でウイルス（トロイ）を作るハッカーがいたとして、どのプラットフォームを標的にするでしょうか？
もちろん、ユーザー数が多いプラットフォームです。
Windowsと比べてユーザー数が少ないプラットフォームは以下の通りです。
これらがWindowsより大幅に安全というわけではありませんが、リスクはかなり低くなります。
macOS
ChromeOS
Ubuntu
Fedora
Debian
その他のLinuxディストリビューション
27)セキュリティに関して書く内容に注意する
「あなたの大学の名前は何ですか？」
「彼女の名前は誰ですか？」
「好きなバンドは何ですか？」
…
本当の情報を正直に書くのはやめてください。あなたの情報は多数のソーシャルプラットフォームにアーカイブされ、ソーシャルエンジニアリングに利用されやすく、ハッカーにとって格好の足がかりになります。
代わりに、パスワード管理ソフトが生成するランダムな文字列をこれらの秘密質問の答えに使う方がはるかに安全です。
28)一時的な端末で重要なコアアカウントにログインしないこと
コアアカウントとは、Google、Appleなど、多数のデバイスやクレジットカード、パスワードに紐付いた主要なアカウントを指します。
インターネット企業は利便性のためにセッションクッキーをブラウザに保存することが多く、このクッキーが盗まれるとハッカーはプラットフォームの2FAなどのチェックを迂回できる場合があり、その場合は2FAも役に立たなくなります。
29)常に二重確認を行うこと
記憶はあてにならない。
ウォレットアドレスは最初や最後の数桁だけでなく、全部が正しいか確認すること
昨年、あまり使っていない取引所にログインして、壊れたコインを整理しようとしました。
送金先のアドレス帳に見覚えのあるものがいくつかありましたが、それがいつ作られたかしばらく思い出せませんでした。
ビットコインのごく一部だったのでそのまま送金してしまい、後でそのアドレスに対応する秘密鍵を見つけることができませんでした。
あともう一度確認していればこんな安いミスはしなかったと少し後悔しています。
30)中古機器を売る前にすべてのディスクデータを消去する
おすすめのツールが二つあります。
前者はハードドライブを完全に消去できます。
後者は「ゴミ箱の安全な空にする」操作の代替になり、ファイル保存領域を1操作あたり35回上書きするため、基本的に復元は困難です。
31)ウォレットは公式サイトからのみダウンロードする
最近、二次的にパッケージングされたウォレットをダウンロードしてしまうユーザーが非常に多く見られます。Androidが特に被害を受けやすく、多くのウォレットがAPKで配布されているため本物か偽物か判別しにくいです。
ウォレットをダウンロードする前に製品の公式サイトを確認することをおすすめします。もし公式サイトが不明な場合は、Twitterなどの信頼できるチェーンで公式サイトの正当性を確認できます。
不明なソースのリンクをクリックしてインストーラを直接ダウンロードしてはいけません。オープンソースプロジェクトについては、公式のGithubリポジトリのReleaseからダウンロードし、Commitを確認し、署名を検証する方法が、ダウンロードしたインストーラがリポジトリ内の現在のコードに対応していることをより安全に保証します。
32)偽のコントラクトを見分ける
Twitterのフォロワー数は信用できない。フォロワーや信頼のチェーンを確認する方が実用的で、偽のツイート主には注意すること。CoinGeckoやCoinMarketCapで見つかるコントラクトアドレスの方が通常は信頼できます
33)よりセキュアなOSやデバイスの活用
Purismは2014年にTodd Weaverによって創設されました。Purismを作る最大の動機はノートパソコンからIntelのManagement Engineを取り除くことであり、これについてElectronic Frontier Foundation(EFF)やLibrebootの開発者でセキュリティ専門家のDamien Zammitは、MEがバックドアやプライバシーの問題を抱えていると批判しています。
MEはメモリにアクセスしTCP/IPスタック全体にフルアクセスできるため、ファイアウォールを迂回して独立にネットワークパケットの送受信が可能です。
Purismの利点は明白です。
カメラ、WiFi、Bluetooth、携帯通信はすべて個別のハードウェアスイッチを持ち、必要時に完全にオフにできる
PureOSはシンプルで使いやすい（Debianベースの無料Linuxディストリビューション）
Intel MEが無効化されている
とにかく、Linuxを試してみたい、かつすぐに使えるコンピュータが欲しいならPurismを試してください。
もっと費用を抑えたいなら、現在のPCでVirtualBox上にWhonixを動かす方法があります。
Whonixはプライバシーとセキュリティに重点を置いたLinuxで、完全に無料かつオープンソースでいくつかの利点があります。
10年以上の安定稼働実績がある
IPアドレスを隠す
ユーザーの身元を隠す
情報の記録を残さない
ウイルス対策
興味があれば試してみてください。