ポイントは、あなたが「自分でコードを入力してしまう」こと。コードは、“今だけの番号”でも、本人が渡してしまえば意味が薄れます。
注意すべきは「コードが届いたこと」ではなく、「どの画面に入力しているか」です。

公式そっくりの見た目で、違和感がほぼない。こういう条件が重なると、判断は簡単に鈍ります。

「自分は大丈夫」より、「やらかす瞬間は必ず来る」前提で手順を作る方が強いです。
だから守り方の基本は「見抜く力」だけに寄せないこと。ミスしても致命傷になりにくい“導線設計”に寄せるのが、資産防衛としては現実的です。

（1）入口を固定：検索しない（ブックマーク／公式アプリ）

まずは、偽サイトに出会う確率を下げること。

• 公式サイトはブックマークから入る（検索しない）
• スマホは公式アプリを“入口”にする

これだけで、事故はかなり減ります。

（2）「コードを入力する場面」を減らす

AiTMは「入力させて中継する」手口です。なので、入力が前提の運用ほど狙われやすい。可能なら、次のような方式へ寄せましょう。

• 認証アプリ（一定時間で変わる番号）※SMSよりは強い傾向
• プッシュ通知で承認（通知を“承認/拒否”で選ぶ）

※どちらも万能ではありません。通知に出る「サービス名／端末／場所」が不自然なら拒否、が原則です。
身に覚えのない通知は承認しない ⇒ 公式アプリで設定確認、までをセットにしておくと安心です。

（3）“二重チェック”をルール化する

コードを入力する時は、毎回これだけ。

• 入力前に、アドレスバーをタップしてURLを全部表示
• 「公式のドメイン」と一致するか確認
• 1文字でも違えば、入力しない（ブックマーク／アプリに戻る）

迷ったら、一度ブラウザを閉じて、ブックマークから入り直してください。それだけ？って思うかも知れませんが、それだけで助かる場面が本当に多いのです。

（4）ログイン通知・端末管理をONにする

• ログイン通知（新しい端末でログインしたら通知）
• ログイン履歴（いつ/どこからログインしたか）
• 登録端末の一覧（知らない端末がないか）

この3つは“やられた後に気づく”速度を上げます。被害の大小は、初動で決まることが多いです。

（5）「パスワードの使い回し」をやめる（地味に効く）

AiTMの入口は偽サイトですが、そもそもパスワードが漏れていると被害が広がります。

• 同じパスワードを複数サービスで使わない
• 長くて複雑なものを自分で覚えない（管理ツールに任せる）

ここは派手ではないですが、被害の連鎖を止めます。

重要なのは、パスキーが「サイト（ドメイン）と紐づいた鍵」で動く点です。典型的な偽サイトでは、この紐づきが合わないため、認証が成立しにくくなります（＝フィッシングに強い設計）。

パスキーは、入力して盗まれるリスクを、構造ごと減らせるのが一番のメリットです。

便利さが上がるほど、端末の管理が資産防衛の要になってきます。

• 公式アプリ／ブックマークから“本物”に入り直す
• パスワード変更（可能ならログアウト（全端末）も）
• 登録端末・連絡先・出金先などの設定が変わっていないか確認
• 不安が残るなら、金融機関サポートへ連絡して利用停止（凍結）を相談

「なにも起きてないから大丈夫」ではなく、“起きる前に止める”が正解です。