SIMスワップ攻撃とは:電話番号を乗っ取られて暗号資産を盗まれる仕組み

ある日突然、スマートフォンの電波が消え、電話もSMSもまったく届かなくなる——そして数分後には、パスワード変更や残高引き出しの通知が届き始める。これがまさにSIMスワップ攻撃の実態です。暗号資産アカウントを乗っ取る手口の中でも特に危険なのは、ウォレット自体を直接狙うのではなく、あなたのセキュリティ全体の土台となっている「電話番号」そのものを狙うからです。

このガイドでは、この攻撃がどのように機能するのかをわかりやすく解説し、なぜSMS認証が本当の弱点なのか、そして狙われやすいアカウントを突破されにくいアカウントに変えるための実践的なステップを紹介します。

SIMスワップ攻撃とは何か

基本的な仕組みはシンプルです。攻撃者は携帯電話会社を欺き、自分があなた本人であると信じ込ませ、あなたの電話番号を自分が所持する新しいSIMカードへ移してしまいます。これに成功すると、あなた宛てのメッセージや電話はすべて、あなたの端末ではなく攻撃者の端末に届くようになります。

なぜこれが危険なのでしょうか。多くのサービスが確認コードをSMSで送信し、電話番号によるパスワード再設定を許可しているためです。攻撃者があなたの番号を掌握すれば、これらのコードを受け取り、パスワードをリセットし、SMSベースの二段階認証を突破できてしまいます。

結果として、あなたの電話番号は本来の「保護の道具」から一転し、攻撃者にとってすべてのアカウントを開ける「万能の鍵」になってしまうのです。

攻撃の具体的な手順

この攻撃に高度な技術は必要ありません。むしろ、情報収集とだましのテクニックの積み重ねです。

1. 情報収集: 攻撃者は過去の情報漏えい、SNSでの公開投稿、あるいはサービスや銀行を装ったフィッシングメッセージから、あなたの個人情報を集めます。
2. なりすまし: 携帯電話会社に電話をかける、または店舗を訪れ、「スマートフォンを紛失したので新しいSIMカードに番号を移したい」と申し出ます。
3. 本人確認の突破: 漏えいした情報(生年月日、直近の請求額、住所など)を使い、サポート担当者にあなた本人であると信じ込ませます。
4. 新しいSIMの有効化: 有効化が完了すると、あなたのSIMカードは通信不能になり、電話番号は攻撃者の端末で使えるようになります。
5. アカウントの乗っ取り: パスワードの再設定をリクエストし、SMSで届く確認コードを受け取り、メール・各種サービス・ウォレットに侵入します。

なぜSMS認証だけでは不十分なのか

SMSは手軽で便利ですが、セキュリティ上は最も弱い環節です。SMSで届くコードはあなたの端末ではなく電話番号に紐づいており、その番号を握った者はコードも握ってしまいます。だからこそ、通信網を経由せずスマートフォン上でローカルにコードを生成する**認証アプリ(Authenticator)**への移行が常に推奨されています。

実践的な結論:SMS認証は他に選択肢がない場合の最終手段として使い、メールや金融関連アカウントの保護には使わないようにしましょう。

自分を守るための実践ステップ

セキュリティは何層にも重なるものです。層を重ねるほど、攻撃者にとって攻撃の難易度とコストが上がっていきます。

1. SMSの代わりに認証アプリを有効にする

メールや各種サービスの二段階認証を、TOTP方式の認証アプリに切り替えましょう。特に重要なアカウントには物理セキュリティキーの利用も検討してください。これが今日できる、最も効果の大きい一手です。

2. 携帯電話会社に暗証番号(PIN)の設定を依頼する

多くの携帯電話会社では、アカウント用の暗証番号やセキュリティコードを設定でき、番号移転やSIM変更の前に必ず要求されるようにできます。この機能を有効化し、生年月日や推測されやすい数字とは無関係なコードを選びましょう。

3. まずメールアドレスを守る

メールはすべての鍵となる存在で、そこからパスワード再設定が行われます。強力でほかと重複しないパスワードを設定し、SMSではなく認証アプリや物理キーによる二段階認証を有効にしましょう。

4. 公開する個人情報を最小限にする

電話番号、本人確認情報、保有する暗号資産の詳細をネット上に公開しないでください。漏らした情報一つひとつが、なりすましを試みる攻撃者にとって新たな武器になります。

5. パスワードマネージャーとユニークなパスワードを使う

アカウントごとに異なるパスワードを使えば、あるサイトの情報漏えいが他のアカウントに波及することはありません。パスワードマネージャーを使えば、これを無理なく実践できます。

6. 電話番号を重要な金融アカウントから切り離す

可能であれば、重要なアカウントの復旧用電話番号を、公開されがちなメイン番号とは分けましょう。金融関連のアカウント専用に、あまり人に知らせない別番号を用意しているユーザーもいます。

被害に遭ったかもしれないと思ったら

何よりもスピードが重要です。突然圏外になったり、不審な動きに気づいたりした場合は、次のように行動してください。

• すぐに別の回線から携帯電話会社へ連絡し、番号を凍結してSIMカードを元に戻してもらいましょう。
• 安全な端末からメールのパスワードを変更し、続いて各金融サービスのパスワードも変更、SMSに依存しない認証方式を有効にします。
• アカウントの利用履歴とログイン履歴を確認し、身に覚えのない操作があれば速やかに報告しましょう。
• すべてを記録しておきます(発生時刻、届いたメッセージ、番号など)。正式な通報の際に必要になることがあります。

まとめ

SIMスワップ攻撃は暗号技術そのものを突破するのではなく、私たちが電話番号とSMSに依存しているという「最も弱い環節」を突いてきます。認証アプリに保護を移行し、携帯電話会社の暗証番号を設定し、メールを守り、公開する情報を最小限にすることで、攻撃者が頼りにする入り口を確実に塞ぐことができます。今日、これらの設定にかける数分間が、取り返しのつかない損失を防ぐことにつながります。