携帯電話は非常に身近なデバイスです。各種のサービスと電話番号を紐づけておくことで、利便性が得られるシーンは少なくありません。しかし、携帯電話の利便性を狙ったサイバー攻撃も存在し、国内でもその被害が起き始めています。その一つがSIMスワップによる攻撃や詐欺です。電話番号の乗っ取りにより、個人・企業の両者にとって脅威となり得ます。
本記事では、SIMスワップによる攻撃・詐欺について、手口・仕組みと被害および対策を解説します。
SIMスワップとは
SIMスワップとは、携帯電話のSIMカードで紐づけられた電話番号を乗っ取る行為です。乗っ取られた電話番号は不正に利用され、元の電話番号の持ち主が被害を受ける危険な行為といえます。SIMハイジャックと呼ばれる場合もあります。
SIMカード（Subscriber Identity Module Card）は、電話番号などの契約者情報が記録された小型のICカードで、サイズによりSIM、miniSIM、microSIM、nanoSIMなどの規格が存在します。また、スマートフォンに内蔵されたチップに契約情報をオンラインで書き込むことのできるeSIM（embedded SIM）も広く普及しており、SIMスワップ攻撃はこのeSIMの利便性を悪用した攻撃です。また、eSIMだけでなく物理SIMの再発行もSIMスワップに含まれます。
SIMスワップでは、攻撃者は事前に攻撃対象者について調査を行い、偽造した身分証明書などを使って携帯電話会社にSIMカードの再発行などを依頼します。携帯電話会社が電話番号の入れ替えを受け付けると、SIMスワップが成立してしまい、以降電話番号を悪用した更なる攻撃が行われます。
SIMスワップ攻撃とは、SIMスワップによりSIMカードを乗っ取り、紐づけられたアカウントにより不正送金などを行うサイバー攻撃です。SIMスワップは攻撃のための手段に位置づけられます。
また、SIMスワップ詐欺はSIMスワップを用いて金銭のだまし取りなどを行う犯罪行為です。詐欺の一連の流れの中にSIMスワップという手口が組み込まれたものを指します。
SIMスワップによる攻撃の仕組み
SIMスワップは、攻撃者が本人になりすましてSIMカードの再発行などを携帯電話会社に依頼し、電話番号を乗っ取ります。手続きの際、携帯電話会社は本人確認を行いますが、攻撃者は偽造した身分証などでチェックをクリアするといった手段が取られます。
番号が入れ替えられた後は、SIMカードに紐づいた電話番号を用いて、各種のサービスを悪用します。ネットバンキングを使った不正送金、ECサイトなどでの不正な売買の実施、SNSアカウントの不正利用などが一例です。電話番号による認証、SMS（※）による認証を利用したサービスでは、攻撃者が認証コードを受け取り、不正アクセスなどに悪用する可能性があります。
※SMS：ショートメッセージサービス。電話番号のみでメッセージの送受信が可能。
SIMスワップによる攻撃を行う際には、事前に個人の情報を調査・収集する過程があるとされます。そしてその情報を不正に入手する手段には、フィッシングなどのソーシャルエンジニアリングが悪用される可能性があります。個人の情報が公にされている場合、被害に遭いやすく、公人の被害報告なども報告されています。また、急にスマートフォンが圏外になりWi-Fi環境以外で通信できなくなるケースは、SIMスワップ攻撃の兆候であることが多いとされています。
想定される被害
個人の携帯電話番号がSIMスワップで乗っ取られた場合、下記の被害が想定されます。
- インターネットバンキングでの電子送金による金銭的被害
- クレジットカードなどの不正利用による金銭的被害
- ポイントなどの不正利用による経済的被害
2024年には、大阪と東京で市議会・都議会議員が偽造されたマイナンバーカードによりSIMスワップされ、数十～数百万円におよぶ被害を受けた事例もあります。公人という立場で本人の情報が公開されていること、マイナンバーカードを利用した本人確認で、ICチップを利用せず目視確認だけを行っていたことなども被害発生につながったと見られます。
また企業の保有する携帯電話番号の場合には、下記の被害も起こり得ます。
- 電話番号で連携する企業の口座の悪用
- 電話番号と関連付けられた情報の漏えい
- 情報の漏えい、セキュリティ不備などによる対外的信頼の喪失
- 電話番号やSMSを利用した認証の業務システムの停止、機会損失、サプライチェーンへの影響
SIMスワップを防ぐための対策
このようなSIMスワップによる被害を防ぐために、携帯電話の所有者ができる対策として下記が挙げられます。
- SNSなどで個人情報をむやみに公開しない
公開された個人情報が、なりすましなどにつながります。SNSなどで個人の情報を公開しないことが重要です。 - 認証方法の強化
電話番号と紐づけられた情報のみで認証をしている場合、SIMスワップをされた後の被害が広がりやすいです。多要素認証（MFA）を適用し、認証アプリ、パスキーなどのSMS認証以外を組み合わせることで被害拡大を防げます。 - 携帯電話番号を重要性の高いサービスと紐づけない
重要度の高いサービス利用においては、携帯電話番号やSMSによる認証だけに依存せず、パスキーなどより強固な認証方法を利用することで、SIMスワップによる被害を抑えられます。
また、個人や企業などの携帯電話の利用者に加え、携帯電話会社側の本人確認の厳重化もSIMスワップを成立させない手段にあたります。特に非対面での本人確認については、携帯電話不正利用防止法に基づく本人確認の方法が見直され、マイナンバーカードのICチップを利用した公的個人認証に原則一本化する取り組みが進められています。
