SIMスワップとは？
SIMスワップとは、携帯電話会社を騙して他人の電話番号を自分のSIMカードに移し替えさせ、SMS認証を突破してアカウントを乗っ取る攻撃手法です。お金・アカウントを守る上で深刻な脅威となっており、攻撃者は本人になりすまして「SIMカードを紛失した」と携帯電話会社に連絡し、新しいSIMカードを発行させます。電話番号の制御を奪われると、銀行、仮想通貨取引所、SNSなど、SMS認証を使用する全てのサービスが危険にさらされます。多要素認証の「何か知っているもの」を破る、巧妙な攻撃です。
SIMスワップを簡単に言うと？
家の郵便受けを乗っ取られるようなものです。攻撃者が郵便局に行って「引っ越したので、私の郵便物は新しい住所に転送してください」と嘘をつき、あなた宛ての郵便物を全て横取りします。携帯電話も同じで、攻撃者が携帯ショップに「SIMカードをなくしたので再発行してください」と嘘をついて、あなたの電話番号を自分のSIMカードに移してしまいます。すると、銀行から送られてくる認証コード、パスワードリセットのSMS、二段階認証の確認メッセージなど、全てが攻撃者の手元に届きます。あなたのスマホは突然「圏外」になり、気づいた時には銀行口座が空っぽ、という恐ろしい攻撃なのです。
SIMスワップで発生する被害は？
SIMスワップにより、金融口座への不正アクセス、仮想通貨の窃取、重要アカウントの完全乗っ取りなどの深刻な被害が発生します。お金・アカウントを守ることに失敗すると、SMS認証に依存している全てのサービスが一度に危険にさらされます。特に、高額な仮想通貨を保有している人や、影響力のあるSNSアカウントを持つ人が標的になりやすく、被害額が数千万円から数億円に及ぶケースも報告されています。
SIMスワップで発生する直接的被害
- 銀行口座・仮想通貨の全額窃取
SMS認証コードを横取りされ、オンラインバンキングや仮想通貨取引所から全資産が不正送金されて、数分で数千万円が消失する
- 主要アカウントの完全掌握
メールアカウントが乗っ取られ、そこから連鎖的にSNS、ショッピング、クラウドストレージなど全てのアカウントのパスワードがリセットされる
- 個人情報の大量流出
個人情報の大量流出** - 電話番号に紐づく各種サービスから、住所、クレジットカード情報、取引履歴などの個人情報が根こそぎ盗まれる
SIMスワップで発生する間接的被害
- 社会的信用の失墜
乗っ取られたSNSアカウントから詐欺メッセージが大量送信され、フォロワーとの信頼関係が崩壊して、影響力や収入源を失う
- ビジネスへの致命的影響
業務用の電話番号が乗っ取られ、重要な商談連絡を逃したり、顧客情報が流出して取引停止や損害賠償請求を受ける
- 長期的な監視と恐怖
一度SIMスワップの被害に遭うと、攻撃者に個人情報を握られ、継続的な脅迫や追加攻撃の恐怖に怯え続ける
SIMスワップの対策方法
SIMスワップへの対策は、携帯電話会社での追加認証設定、SMS認証への依存回避、電話番号の公開制限が基本となります。お金・アカウントを守るために、SIM再発行時の本人確認強化（パスワード設定）、認証アプリやハードウェアキーへの移行、重要アカウントでは電話番号を使わない認証方法の選択が重要です。また、携帯電話の異常（圏外）に気づいたら即座に対応し、金融機関への連絡体制を整えることで、被害を最小限に抑えることができます。
SIMスワップの対策を簡単に言うと？
家の鍵と警備システムの二重防御に例えると、まず郵便局（携帯電話会社）に「転送届は必ず本人確認書類と合言葉が必要」という特別な手続きを設定します（SIMロック）。次に、大切な荷物（重要アカウント）の受け取りは、郵便（SMS）ではなく、直接手渡し（認証アプリ）や指定の金庫（ハードウェアキー）で行うようにします。また、自分の住所（電話番号）は必要以上に公開せず、郵便受けに鍵をかけます（プライバシー設定）。もし郵便が急に届かなくなったら（圏外になったら）、すぐに郵便局と銀行に連絡します。「SMS認証は便利だけど危険」という意識を持ち、より安全な方法を選ぶことが、SIMスワップから身を守る鍵となります。
SIMスワップに関連した攻撃手法
お金・アカウントを守る観点から、SIMスワップと密接に関連する3つの攻撃手法を解説します。
- 多要素認証バイパス
SIMスワップは多要素認証バイパスの代表的な手法の一つです。SMS認証という「持っているもの」要素を攻撃者が横取りすることで、多要素認証を無効化します。SIMスワップの成功は、他の多要素認証バイパス手法と組み合わさることで、より完全なアカウント乗っ取りを可能にします。
- アカウント乗っ取り（ATO）
SIMスワップの最終目的はアカウント乗っ取りです。電話番号を制御することで、パスワードリセット機能を悪用し、メールアカウントから始まる連鎖的なアカウント乗っ取りを実行します。SIMスワップはATOを実現する強力な手段となっています。
- OAuth／SSOの悪用
SIMスワップで主要アカウントを乗っ取った後、OAuth／SSOの仕組みを悪用して関連する全サービスへアクセスします。GoogleやFacebookアカウントがSIMスワップで奪われると、それらでログインしている数十のサービスが同時に危険にさらされます。
SIMスワップのよくある質問
SNSの公開情報、データ漏洩、フィッシング、ソーシャルエンジニアリングなどで収集します。誕生日、母親の旧姓、ペットの名前など、本人確認に使われる情報は特に狙われます。
国や会社により異なりますが、多くの場合不十分です。追加のセキュリティオプション（SIM再発行時のパスワード設定など）を自分で有効にする必要があります。
物理的なSIMカードより安全性は高いですが、完全ではありません。eSIMでもリモートで移行される可能性があるため、同様の対策が必要です。
即座に別の手段で携帯電話会社に連絡し、SIM再発行の有無を確認します。同時に、銀行や重要なアカウントの一時凍結を検討してください。時間との勝負です。
はい、仮想通貨保有者、企業の重要ポジションの人、単純に脆弱な人など、様々な理由で狙われます。「自分は大丈夫」という油断が最も危険です。
はい、可能であれば金融用、プライベート用、公開用などで分けることを推奨します。重要なアカウントには、公開していない番号を使用するか、電話番号認証を避けることが理想的です。
更新履歴
- 初稿公開
