SIMスワップ攻撃：犯人があなたの電話番号を奪う手口と防ぐ方法

SIMスワップ攻撃とは？

電話番号は自分だけが管理できるもののように感じられます。SIMスワップ攻撃はその前提を崩します。

SIMスワップでは、詐欺師が携帯キャリアに連絡し、あなたになりすまして（電話の紛失やSIMの破損を装い）、あなたの番号を自分の手元にあるSIMカードへ移すようキャリアを説得します。その瞬間から、あなた宛ての通話やSMSは詐欺師のもとへ届きます。

攻撃者は通常、ソーシャルエンジニアリングでこれを実行します。データ漏洩やSNSからあなたの個人情報を組み合わせ、キャリアの本人確認を通過するのです。場合によっては、キャリア内部の不正な従業員の助けを借りることもあります。

狙いは、マスターキーとしてのあなたの番号です。これを使い、攻撃者はSMSベースの2FAコードを横取りし、テキストで届くパスワードリセットを要求し、銀行の通知を読み取ることができます——パスワードだけでは守られるはずだったアカウントの解錠です。

なぜ攻撃者はあなたの電話番号を狙うのか

電話番号は、友達に電話するためだけのものではありません。多くのサービスでは今もセキュリティ手段として使われています。銀行、メールプロバイダー、SNS、暗号資産取引所は、第二要素としてSMSコードを送信したり、アカウント復旧リクエストの確認にあなたの番号を使用したりします。

そのため、あなたの番号はマスターキーのようなものです。攻撃者がこれを掌握すれば、コードを横取りしてあなたになりすましてログインできます。乗っ取られた番号は、メール受信箱への侵入、暗号資産取引所アカウントの空引き、SNSプロフィールの乗っ取りに悪用されてきました。多くの場合、一夜にしてです。

危険性はさらに重なります。メールは他のほぼすべてのアカウントの復旧経路だからです。受信箱を失えば、他の数十のアカウントのパスワードリセットも次々と奪われます。

要するに、あなたの番号はデジタルライフ全体の復旧キーとして機能しており、まさにそれゆえに泥棒たちの標的になるのです。

SIMスワップの典型的な手順

SIMスワップは、泥棒があなたの携帯キャリアに電話をかけるずっと前から始まっています。攻撃者はまず、情報漏洩、フィッシングメッセージ、あるいはあなたがソーシャルメディアで公開している情報から、あなたについての個人情報を収集します。生年月日、住所、利用しているアカウントの下位数桁などです。

これらの情報を手にした攻撃者は、あなたになりすまして携帯キャリアに連絡します。多くの場合、電話または店頭で行われます。よく使われる口実は、「紛失・盗難・破損した電話のため、至急新しいSIMカードが必要だ」というものです。

キャリアの本人確認が甘ければ、店員は攻撃者のデバイスで新しいSIMを有効化し、あなたの電話番号をそちらに移行します。すると、あなたの電話は突然圏外になります。通話もできなければ、SMSも届きません。あなたの番号は今や攻撃者のSIM上にあるため、あなた宛てのSMS認証コードはすべて、代わりに攻撃者の電話に届きます。

番号が不正に移転された警告サイン

SIMスワップは、たいていスマホの異変という形で前兆を示します。

• 他ではアンテナ全快なのに、突然電波が失われる。 あなたの電話は「サービスなし（No Service）」と表示されるのに、周囲の同じキャリアの利用者は電波を掴んでおり、キャリアに確認してもエリア内の障害はないと言われる。
• 通話もSMSも使えない。 発信するとすぐ切れ、SMSは送信できず、再起動すると「SIMなし」や「SIMがプロビジョニングされていません」といったエラーが出る。
• 身に覚えのないアカウント通知。 触ってもいないアカウントにパスワード再設定メールや「新しいログイン」通知が届く——誰かがすでにあなたの番号を使って認証コードを受け取っている可能性がある。

どれか一つでも見えたら要注意。電波喪失にアカウント通知が重なったら、すぐ行動してください。あなたの番号はすでに盗難者のSIMに移されている可能性があり、SMSで届く認証コードはすべて盗み見される状態になっています。

キャリアPINとポートアウト防止の設定

モバイルアカウントは電話番号への玄関口です。しっかり施錠しましょう。

• キャリアPINまたはパスコードを設定する。 多くのキャリアでは、アカウント変更、新規SIMの発注、サポートへの連絡の前に必要となる、数字のPINまたは口頭のパスコードを設定できます。これがないと、犯罪者は氏名、住所、生年月日といった公開されている情報だけであなたになりすませます。
• ポートアウト防止を有効にする。 あなたの承認なしに番号が他のキャリアへ移転されるのを防ぎます。承認は通常、写真付き身分証を持参した本人手続きか、確認済みのリクエストを通じて行います。SIMスワップの移転ステップを直接阻止します。
• 設定箇所は自分で探す。 名称はプロバイダーごとに異なります。キャリアのアプリやウェブサイトのセキュリティセクションで「アカウントPIN」「ポートアウト凍結」「番号ロック」などを探してください。見つからない場合はサポートに電話し、両方の機能を依頼してください。

SMSコードで銀行取引を行っている場合は、銀行の2FA専用に使う安価なサブ回線を検討してください。メイン番号の露出を、最も価値のあるアカウントから遠ざけられます。

SMSコードへの依存を減らす

テキストメッセージは、一般的な2FAの中で最も弱い形式です。コードが携帯キャリアを経由して送られるからです。SIMスワップ攻撃が狙うのはまさにこの通信経路です。より強固な方法では、コードをデバイス上に留めるか、コード自体を不要にします。

認証アプリ

Google Authenticator、Microsoft Authenticator、Authyなどのアプリは、スマートフォン上でローカルにコードを生成します。ネットワーク経由で何も届かないため、SIMが差し替えられても何も漏れません。各アカウントのセキュリティ設定で有効にし、バックアップコードはオフラインで保存してください。

ハードウェアセキュリティキー

メール、銀行、その他の重要なアカウントには、物理的なセキュリティキー(FIDO2対応のものなど)が最も強力な選択肢です。キーが正規のウェブサイトを直接検証するため、フィッシングサイトは自動的に失敗します。2本購入しましょう。1本は日常用、もう1本はバックアップとして安全に保管します。

パスキーとアプリ承認

サービスがパスキーやアプリ内ログイン承認を提供している場合は、SMSではなくそちらを選びましょう。パスキーはデバイスに紐付いており、キャリア経由で傍受されることは一切ありません。

攻撃対象領域を縮小する一般的な習慣

SIMスワップは通常、技術ではなく情報から始まります。攻撃者はSNS、データ漏洩、公開記録から細部をかき集め、それらを使って通信キャリアを説得し、自分があなた本人であると思い込ませます。

• オンラインでの公開を減らしましょう。 誕生日、ペットの名前、最初の通学先、出身地の投稿は避けてください。これらはセキュリティ質問のよくある答えです。古い投稿も新しい投稿と同じように情報を明かします。
• 長く一意なパスワードを使いましょう。 パスワードマネージャーが生成と記憶を代行するため、漏洩した1つのパスワードで複数のアカウントが危険にさらされることはありません。
• 回復オプションを監査しましょう。 重要なアカウントのセキュリティ設定を確認してください。不要な場所では電話番号を削除し、第二要素として認証アプリやパスキーを優先してください。SMSでログインをリセットできる場所が少ないほど、移植されたSIMが開けられる扉も少なくなります。

小さな習慣を継続することで、攻撃者が頼りにする材料そのものを取り除けます。

被害に遭った場合の対処法

すぐに行動を — 1時間1時間が勝負だ。

1. すぐにキャリアに電話する。 別の電話を使うか、身分証を持って店頭へ。不正なSIMの無効化、自分のデバイスへの番号の復旧、その場でのキャリアPINの追加・強化とMNP転出防止設定を依頼すること。

2. メールから順にアカウントを固める。 受信箱は他すべてのマスターキーだ。まずそのパスワードを変更し、次に銀行、SNS、番号に紐づく全アカウントを変更する。可能な限りアクティブなセッションを無効化して全デバイスからサインアウトし、攻撃者が追加した可能性のある回復用電話番号を更新すること。

3. 報告する。 まずキャリアに不正被害の届出を行い、次に国の消費者保護機関またはサイバー犯罪相談窓口に届け出る。攻撃者があなたの名義で口座を開設した場合の証拠記録になる。

SIMスワップは被害は大きいが乗り越えられる。SMSの代わりに認証アプリを使い、キャリアのロックをかければ、次回はるかに攻撃しづらい標的になる。