SIM スワッピングとは

この記事は約 2 分で読めます

SIM スワッピングとは、攻撃者が携帯電話会社に対して被害者になりすまし、 SIM カードの再発行や番号の移行を行うことで、被害者の電話番号を乗っ取る攻撃手法です。 SMS で送信される二段階認証コードを傍受し、銀行口座や暗号資産取引所のアカウントを不正に操作します。 2024 年には FCC が SIM スワッピング対策の新規則を施行し、携帯電話会社に追加認証の義務化を求めています。

現場での使用例

最初の兆候はたいてい「突然携帯電話が圏外になる」ことです。数分待っても復帰しない、あるいは SIM が無効になったという表示が出たら、通信障害ではなく回線そのものを奪われた可能性を疑います。攻撃者は本人確認を通すために生年月日や住所を事前に集めており、店頭やコールセンターで再発行を通してしまえば、以後の SMS 認証はすべて攻撃者の端末に届きます。疑ったときの動き方には順序があります。まず別の回線 (家族の電話や Wi-Fi 経由の通話アプリ) から携帯電話会社へ連絡し、回線の停止と再発行の有無を確認します。次に、暗号資産取引所やネット銀行など SMS 認証に依存している口座のパスワードを変更し、ログイン中のセッションを失効させます。この順序を逆にすると、パスワード再設定の SMS が攻撃者の手元に届いてしまいます。

SIM スワップフロー

歴史的背景

SIM スワッピングは 2018 年頃から暗号資産の普及とともに増加しました。米国では 2019 年に Twitter の最高経営責任者のアカウントが SIM スワッピングで乗っ取られる事件が発生し、社会的な注目を集めました。 FBI のインターネット犯罪苦情センター (IC3) が 2022 年 2 月に公表した注意喚起によると、 2018 年 1 月から 2020 年 12 月までの 3 年間に受理した SIM スワッピングの苦情は 320 件・調整後の被害額は約 1,200 万ドルでしたが、 2021 年の 1 年だけで苦情 1,611 件・調整後の被害額は 6,800 万ドル超に達しました。日本でも携帯電話の不正な MNP (番号ポータビリティ) を利用した被害が報告されています。

防御方法

最も重要な対策は、 SMS ベースの二段階認証からTOTP アプリ (Google Authenticator 、 Authy) やパスキーへの移行です。 SMS 認証は SIM スワッピングに対して脆弱であり、 NIST も SMS 認証の使用を推奨していません。携帯電話会社に PIN コードやパスフレーズを設定して SIM の再発行に追加認証を要求することも有効です。サービスごとに固有の強力なパスワードで携帯電話会社のオンラインアカウントを保護し、スマートフォンのロックを強化することで、 SIM スワッピングのリスクを大幅に低減できます。