SIMスワップ

SIM Swap

security beginner

携帯会社の手続きをだまし、被害者の電話番号を攻撃者のSIMへ移す手口。

概要（サマリー）

SIMスワップとは、携帯会社の手続きをだまし、被害者の電話番号を攻撃者の SIM へ移す手口である。
自宅の郵便受けを、別の住所へ付け替えてしまうようなものだ。
電話機を盗まなくても、SMS の届き先が攻撃者側に変わる。
二要素認証のうち、SMS で番号を送る方式が、この手口の影響を受けやすい。

詳細解説

番号の持ち主を、別のカードへ移す

SIM は、携帯会社との契約を端末側で識別するためのカードである。
本体に組み込まれ、データとして書き込む eSIM もある。
紛失時の再発行や機種変更の手続きで、同じ電話番号を新しい SIM へ移せる。
SIMスワップは、この手続きをソーシャルエンジニアリングで悪用し、被害者の番号を攻撃者の SIM へ移す。

警察庁の報告書では、店舗で「SIM カードを紛失した」と申し出て、偽造した本人確認書類で再発行させた手口が説明されている。
犯人は新しい SIM に届いた SMS の認証番号を使い、インターネットバンキングから不正送金していた。
CISA も、SMS や音声で届く多要素認証が SIMスワップの影響を受ける、と整理している。

日本では、2022年に警察庁と総務省が携帯電話会社へ、再発行時の本人確認の強化を求めた。
その結果、被害は2023年1月以降に大きく減り、同年5月以降は SIMスワップによる不正送金被害が確認されていない、と警察庁は報告している。
いま日本で頻繁に起きている手口ではないが、SMS 認証の弱点を理解するための代表例として知っておく価値がある。

端末を物理的に奪う攻撃とは限らない。
被害者のスマホはそのままで、電波と SMS だけが急に使えなくなる、という現れ方がある。

SMS の認証番号が、別の人に届く

銀行やメールが「ログイン用の番号を SMS で送ります」としている場合、届き先は電話番号である。
番号が攻撃者の SIM へ移ると、その番号あての SMS は攻撃者のスマホに届く。
パスワードが別の経路で既に知られていると、SMS の番号まで揃い、本人の代わりにログインされる。

スミッシングは、偽の SMS を被害者へ送ってリンクを押させる手口である。
SIMスワップは、本物のサービスが送った SMS の受信先をすり替える。
画面に偽の文面が来るとは限らない。

MFA疲労攻撃は、承認通知を連打して許可ボタンを押させる手口である。
見える現象が違う。疲労攻撃は通知の洪水、SIMスワップは自分の電話から SMS や電波が消えることである。

SMS 以外の認証へ移す

CISA は、フィッシングや SIMスワップに強い多要素認証として、FIDO や公開鍵を使う方式を挙げている。
パスキーは、SMS の届き先に依存しない確認の選択肢になる。
認証アプリをスマホに入れる方式も SMS とは違うが、スマホ自体を操作される場合の備えは別途必要である。

銀行やメールで SMS 認証しか選べない場合でも、パスワードの使い回しをやめ、ログイン通知を別のメールで受け取る設定ができることがある。
電話番号だけが本人確認の最後の鍵にならないようにする。

電波が急に消えたとき

自分のスマホが、圏外のまま戻らない、または「SIM が無効」と出る場合は、携帯会社へ自分から連絡する。
相手からかかってきた電話の指示で、再発行の手続きを進めない。
公式アプリや、契約書に書いてある窓口を自分で選ぶ。

その前後に銀行やメールへログインできない場合は、それぞれのサービスにも連絡する。
SMS が届かなくなったことと、アカウントへのログインを、別々の問題として放置しない。

番号を公開しすぎない

電話番号を、たくさんのサービスの復旧手段に登録していると、一つのスワップで複数のログインに影響する。
復旧用の電話番号は、本当に必要なサービスに絞る。
SNS のプロフィールに、ログイン復旧に使っている番号を載せない。

番号が戻ったあとも、ログインを確認する

携帯会社の手続きで番号が自分の SIM に戻っても、その間に届いた SMS は相手が読んでいる可能性がある。
戻った直後に、銀行、メール、SNS へ公式アプリからログインし、身に覚えのない操作がないか見る。
パスワードと、SMS 以外の復旧手段も見直す。

「電波が戻ったから終わり」ではない。
認証番号を使われたサービスは、本人が気づく前に設定を変えられていることがある。
ログインできるうちに、見知らぬ端末のセッションを切り、復旧用の電話番号を本当に必要なサービスだけへ戻す。

AIコーディングとの関係

AI にログインの二段目を作らせると、実装が簡単な SMS 送信が提案されやすい。
AI には「SMS の届き先が変わってもログインを完了しにくい方式を比較してください。パスキーを第一候補にしてください」と頼む。

SMS を残す場合でも、それだけを復旧手段にしない設計を相談する。
提案された送信処理を、本物の利用者番号へ試しに大量送信しない。
電話番号、認証コード、キャリアの契約情報を AI の会話に貼らない。

よくある勘違い

スマホを盗まれないと起きない？

手続きで番号の届き先が変わる手口なので、端末が手元にあっても起きる。
むしろ、自分のスマホから急に SMS が届かなくなる変化として気づくことがある。

SMS 認証は、スマホを持っている証明になる？

SMS が証明するのは、その瞬間に電話番号の受信先を持っていることである。
番号の受信先が手続きで移ると、持っている人の意味が変わる。
パスキーなど、番号に依存しない方式と役割が違う。

多要素認証の疲労攻撃と同じ？

疲労攻撃は、承認通知を何度も送って許可を押させる。
SIMスワップは、電話番号の受信先を別の SIM へ移す。
どちらも多要素認証の弱い点を突くが、止めるための行動が違う。

まとめ

SIMスワップは、被害者の電話番号を攻撃者の SIM へ移す手口である。
SMS で届く認証番号が、別の人に届くようになる。
偽の SMS を送りつけるスミッシングや、承認の連打とは見える現象が違う。
パスキーなど、電話番号に依存しない認証を選び、電波が消えたら自分で携帯会社へ連絡する。

情報ソース

より詳しくAIに聞いてみよう

SIMスワップを、郵便受けの届き先が付け替わる例で説明してください。
SMS 認証、認証アプリ、パスキーが、SIMスワップから受ける影響の違いを整理してください。
自分のスマホが急に圏外のまま戻らないとき、確認する順序を教えてください。
AI にログイン機能を作らせるとき、SMS だけに依存しない指示文を書いてください。
電話番号や認証コードを AI に貼らずに、認証方式の比較だけを聞く方法を教えてください。