facebook social icon
x social icon
linkedin social icon
SIMスワップとは?攻撃の手口とSIMスワップ攻撃を防ぐための対策

SIMスワップとは?攻撃の手口とSIMスワップ攻撃を防ぐための対策

自分自身が申請した覚えのないコードが記載されたテキストメッセージを受け取ったことはありませんか?もしかすると、銀行口座やソーシャルメディアのプロフィールにログインするためのものかもしれません。もしそうであれば、あなたはSIMスワップ詐欺の標的になっている可能性があります。

本記事では、SIMスワップとは何か、どのような仕組みなのか、そして最近ますます増えているこの脅威から身を守るにはどうすればいいのかについて解説します。

以下は、SIM スワップについて押さえておくべき重要なポイントです。

  • SIMスワップとは、犯罪者が他人の電話番号を新しいSIMカードに移し替えて管理する詐欺である。

  • キャリアを騙して乗り換えさせるのに、ソーシャルエンジニアリングやフィッシングがよく使われる。

  • 電話番号がコントロールされると、持ち主の通話、メール、2FA(2段階認証)コードを攻撃者が傍受することができる。

  • SIMスワップから身を守るには、強固なパスワードの使用、すべてのアカウントでの2FAの有効化、オンラインでの共有情報に注意、などの対策が挙げられる。

  • SIMスワップの被害に遭ったと思ったら、すぐにキャリアに連絡する。

【目次】

Table of Contents

    SIMスワップとは?

    SIMスワップは、「SIMジャック」や「ポートアウト詐欺」とも呼ばれ、サイバー犯罪者があなたの電話番号を新しいSIMカードに移すことで、あなたの電話番号を乗っ取ってしまう詐欺です。これにより、サイバー犯罪者はあなたの通話、メール、2FAコードを傍受し、銀行口座、メール、SNS プロファイルなどのオンラインアカウントにアクセスすることができるようになります。

    SIMカードは、持ち主の電話番号やその他の加入者情報を保存する小さなチップであり、SIMカードによって、スマートフォンなどの端末はキャリアのネットワークへの接続、電話の使用やテキストの送信、データへのアクセスなどができます。

    undefined

    SIMスワップは、ソーシャルエンジニアリング(人を騙して個人情報を提供させる技術)に依存しているため、非常に効果的な詐欺である可能性があります。詐欺師は、多くの場合はフィッシングメールやSNSのストーキング、あるいは闇市場で個人情報を買うなど、被害者の情報を集めるために様々なテクニックを使います。

    十分な情報を得ると、攻撃者は持ち主のキャリアに連絡して本人になりすまし、キャリアの担当者を説得して、その電話番号を手持ちの新しいSIMカードに移行させようとします。特に、誕生日やマイナンバーの下4桁など、持ち主の個人情報が集まっていると、それがうまくいくことがあるかもしれません。

    SIMスワップの仕組み

    SIMスワップには、大体以下の2段階のプロセスがあります。

    1.情報収集: 攻撃者はまず、個人情報を可能な限り集めようとする。この情報には、名前、住所、生年月日、社会保障番号、電話番号、セキュリティ質問の答えなどが含まれ、攻撃者はこの情報を集めるために、次のようなさまざまなテクニックを使うことがある。

    • フィッシング詐欺:銀行や電話会社など、正規の送信元からと思わせるようなメールやショートメール。このようなメッセージは、多くの場合は受信者を騙してリンクをクリックさせたり、偽の Web サイトに個人情報を入力させようとする。

    • ソーシャルメディアストーキング:攻撃者は、誕生日、出身地、友人や家族の名前など、驚くほど多くの個人情報をSNSのプロフィールから得ている場合がある。

    • 闇市場で情報を買う:個人情報は、残念ながらダークウェブで簡単に購入できる。

    2.電話番号をポートする: 攻撃者は本人に関する十分な情報を得ると、キャリアに連絡して本人になりすます。それでキャリアの担当者を説得して、電話番号を手持ちの新しいSIMカードに移行させようとする。そして攻撃者は、集めた情報を使って、セキュリティに関する質問に答えたり、本人の身元を確認したりする。

    攻撃が成功すると、電話番号は新しいSIMカードに転送されます。つまり、乗っ取られた持ち主の通話、メール、2FA コードはすべて、本来の電話ではなく、攻撃者の電話に送られることになりまします。そして攻撃者は、この情報を使って本当の持ち主のオンラインアカウントにアクセスし、お金やIDを盗むことができます。

    SIMスワップ攻撃を報告するには

    SIMスワップの被害に遭ったと思ったら、すぐにキャリアに連絡することが一番大事です。早ければ早いほど、これ以上の被害を防ぐための措置を早く講じることができます。

    SIMスワップ詐欺を報告する方法は以下の通りですが、具体的な手順はキャリアによって違うかもしれないので、その点に注意ください。

    • キャリアのカスタマーサービスに電話する。この番号は通常、キャリアのWebサイトや月々の請求書に記載されている。

    • カスタマーサービス担当者に、SIMスワップの被害に遭ったと思われることを説明する。

    • 氏名、口座番号、交換された電話番号など、可能な限りの情報を担当者に提供する。

    • キャリアはおそらくあなたのアカウントを凍結して新しいSIMカードを発行する。

    • アカウントの安全が確保されたら、すべてのオンラインアカウントのパスワードも変更する。

    その他、アメリカの大手通信キャリア3社による参考資料を以下にいくつか挙げています。

    SIMスワップから身を守る方法

    SIMスワップ詐欺の被害に遭わないようにできる対策は以下が挙げられます。

    全アカウントで常に強力でユニークなパスワードを使用する

    SIMスワップ詐欺はさまざまな悪質な計画に利用できますが、最も被害が大きいのは2FAコードを盗み取ることです。残念なことに、多くの銀行やその他の機密性の高い口座では、SMSベースのMFA(多要素認証)が許可されているか、あるいは要求されています。それでパスワードが脆弱だと、サイバー犯罪者と壊滅的な打撃の間に立ちはだかるのは、携帯電話キャリアの(低賃金の)カスタマーサポート担当者しかいません。

    そこで、全アカウントに強力でユニークなパスワードが設定されれば、少なくとも攻撃者がステップ1を突破する可能性を下げることができます。

    ほとんどのパスワードリセットの流れは、そのメールが安全であるという前提で動作するため、メールを保護するのは特に重要です!

    ログイン認証情報の共有が必要な場合や、習慣が会社を危険にさらす可能性のある従業員がいる場合は、TeamPasswordのようなチーム向けの手頃なパスワードマネージャーに投資することをお勧めします。

    可能な限りSMSの2FAを避ける

    2FA(2段階認証)は、オンラインアカウントの保護に役立つセキュリティの追加レイヤーであり、2FA を有効にすると、ログインする際にパスワードに加えてコードの入力が必要になります。このコードは、SMS(ショートメール)でスマホに送信されるか、認証アプリまたはハードウェアトークンで生成されます。

    SMSの2FA は、2FAをまったく使わないよりはましですが、最も安全なオプションではありません。というのも、SIMスワップによって攻撃者はあなたの電話番号にアクセスできるようになり、それで2FAコードも傍受される可能性がありますからね。

    なので、SMSの2FAを使うのは可能な限り避けることが一般的に推奨されています。代わりに、Google AuthenticatorやMicrosoft Authenticator、Authyのような認証アプリを使いましょう。このアプリは、電話番号に紐づかないユニークなコードを生成します。また、YubiKeyのようなハードウェアトークンも2FAの安全なオプションです。

    SNSとSIMスワップの問題点

    多くのキャリアは、キャリアに連絡する際に、身元確認のために今でもセキュリティ質問に頼っています。ただ残念ですが、そういった質問に対する答えは、多くの場合はSNSのプロフィールで簡単に手に入ります。そのためハッカーは、誕生日やペットの名前、出身地などを、SNSを少し覗けば簡単に知ることができます。

    自分自身を守るためのヒントを以下でいくつかご紹介します。

    • SNSでの情報共有には注意する。誕生日、住所、電話番号、ペットや家族の名前は公開しない。

    • オンラインアカウント全てに強力でユニークなパスワードを使う。複数のアカウントで同じパスワードを使い回さない。

    • SNSのアカウントでプライバシー設定を有効にする。これにより、誰が情報を見ることができるかが制限される。

    このようなヒントに従うことで、攻撃者がSIMスワップを実行するのに必要な情報を集めにくくすることができます

    上記の他にも、SIMスワップから身を守るためにできることが以下のようにいくつかあります:

    • フィッシング詐欺に注意する。見知らぬ送信者からのWebサイトやメールにリンクをクリックしたり、個人情報を入力したりしないようにする。

    • キャリアの口座を定期的に確認する。アカウント情報の変更や新たな請求など、不審な動きがないか確認する。

    • SIM カードに PIN を追加することを検討する。これにより、SIMカードの有効化にPINの入力が必要になる。

    • ソフトウェアを常に最新の状態に保つ。これには、OS(オペレーティングシステム)、Webブラウザ、セキュリティソフトウェアが含まれる。

    認証情報を安全に管理する方法

    認証情報の管理と保管は簡単ではありません。だからこそ、人は認証情報を簡単に推測されたり、フィッシングされてしまうパスワードを使ってしまうのです。

    ベストプラクティスの一つに、信頼できるパスワードマネージャーの導入が挙げられます。TeamPasswordの目標は、ビジネスパスワード管理を手頃な価格で、分かりやすく、安全にすることです。TeamPasswordを14日間無料でぜひお試しください

    おすすめの記事

    ニュースサイバーセキュリティ1 min
    SKテレコムで大規模なSIMカード情報流出

    2025年4月18日、韓国最大の通信事業者SKテレコム(SKT)が「過去最悪レベル」の重大なサイバーセキュリティ被害に見舞われました。今回の情報漏洩の規模は極めて深刻で、SKTの加入者、推定約2500万人、つまり実質的に全ユーザーに影響を与えたとされています。

    SKテレコムで大規模なSIMカード情報流出
    サイバーセキュリティ1 min
    フリーランスと連携して業務を行う際にデータを安全に保つ方法とは?

    急速に成長するギグエコノミーによって、エージェントはわずか数人の正社員で幅広いマーケティングおよびクリエイティブサービスを提供できるようになりました。本記事では、リモートワーカーやフリーランスを多く抱える企業において、データの安全を保つために考慮すべき事項を9つご紹介します。

    フリーランスと連携して業務を行う際にデータを安全に保つ方法とは?
    サイバーセキュリティパスワード管理1 min
    Wi-Fi パスワードをデバイス間で簡単に共有する方法

    Wi-Fi パスワードの共有の方法は、Wi-Fi に必要なセキュリティのレベル、共有の近さ、パスワード共有の頻度など、いくつかの事柄に左右されます。本記事では、さまざまな状況下で Wi-Fi パスワードを色々なデバイスで共有する方法をご説明します。

    Wi-Fi パスワードをデバイス間で簡単に共有する方法
    サイバーセキュリティ1 min
    RBAC(ロールベースアクセス制御)とは?仕組みや導入のメリットについて解説

    組織のデータとデジタルリソースの保護は極めて重要です。本記事では、組織のセキュリティ戦略の重要な要素としてRBACを実装する方法を解説します。この記事を通じて、RBACが組織のアクセス管理にどのような変化をもたらすか学ぶことが可能です。

    RBAC(ロールベースアクセス制御)とは?仕組みや導入のメリットについて解説
    パスワードの安全性を高める

    パスワードを生成し、正しく管理させるための最適なソフトウェア

    Images of the TeamPassword mobile and desktop apps
    Quotes Icon

    Andrew M.

    Andrew M.

    オペレーション担当副社長

    "私たちは小規模な非営利団体のためにTeamPasswordを使用していますが、私たちのニーズにうまく対応しています。"

    今すぐ始める

    Table Of Contents

      関連記事
      SKテレコムで大規模なSIMカード情報流出

      ニュース

      May 8, 20251 min read

      SKテレコムで大規模なSIMカード情報流出

      2025年4月18日、韓国最大の通信事業者SKテレコム(SKT)が「過去最悪レベル」の重大なサイバーセキュリティ被害に見舞われました。今回の情報漏洩の規模は極めて深刻で、SKTの加入者、推定約2500万人、つまり実質的に全ユーザーに影響を与えたとされています。

      フリーランスと連携して業務を行う際にデータを安全に保つ方法とは?

      サイバーセキュリティ

      May 1, 20251 min read

      フリーランスと連携して業務を行う際にデータを安全に保つ方法とは?

      急速に成長するギグエコノミーによって、エージェントはわずか数人の正社員で幅広いマーケティングおよびクリエイティブサービスを提供できるようになりました。本記事では、リモートワーカーやフリーランスを多く抱える企業において、データの安全を保つために考慮すべき事項を9つご紹介します。

      Wi-Fi パスワードをデバイス間で簡単に共有する方法

      サイバーセキュリティ

      April 23, 20251 min read

      Wi-Fi パスワードをデバイス間で簡単に共有する方法

      Wi-Fi パスワードの共有の方法は、Wi-Fi に必要なセキュリティのレベル、共有の近さ、パスワード共有の頻度など、いくつかの事柄に左右されます。本記事では、さまざまな状況下で Wi-Fi パスワードを色々なデバイスで共有する方法をご説明します。

      最新情報をお見逃しなく!

      このような投稿をもっと読みたい方は、ブログを購読してください。

      Promotional image