SIM スワップとは、攻撃者が通信事業者の本人確認手続きを欺き、被害者の電話番号を攻撃者が所持する SIM カードに移し替える攻撃手法です。番号の移転が完了すると、被害者宛ての通話と SMS がすべて攻撃者の端末に届くようになり、被害者の携帯電話は「圏外」状態に陥ります。携帯電話の契約時と譲渡時の本人確認は携帯電話不正利用防止法が事業者に義務づけていますが、SIM スワップはその確認自体を欺いて突破する攻撃です。
攻撃の主目的は、SMS で送信される二段階認証コードの傍受です。銀行のオンラインバンキング、暗号資産取引所、メールアカウントなど、SMS 認証に依存するサービスが標的になります。攻撃者はあらかじめフィッシングやデータ漏洩で入手したパスワードと、傍受した SMS コードを組み合わせてアカウントに侵入します。米国の FBI インターネット犯罪苦情センター (IC3) は 2022 年 2 月、2021 年に受理した SIM スワップ関連の相談 1,611 件について、調整後の被害額が 6,800 万ドルを超えたと公表しました。2018 年 1 月から 2020 年 12 月までの 3 年間は 320 件 / 約 1,200 万ドルで、同センターはこの手口の増加を通信事業者と利用者に警告しています。
攻撃者が通信事業者を騙す手口は主に 2 つです。第一に、ソーシャルエンジニアリング。被害者の氏名 / 生年月日 / 住所などの個人情報を事前に収集し、コールセンターに電話して「SIM を紛失した」と申告します。第二に、通信事業者の店舗スタッフを共犯者として取り込む内部犯行です。後者は検知が難しく、被害が大規模になりやすい傾向があります。
有効な防衛策は、SMS 認証から認証アプリ (Google Authenticator、Authy など) やハードウェアキー (YubiKey など) へ切り替えることです。コードの生成が手元の端末やキーの中で完結するため、電話番号を奪われてもコードは攻撃者に届きません。通信事業者のアカウントに PIN コードやパスフレーズを設定し、店頭 / 電話での手続き時に追加認証を求める設定も有効です。携帯電話が突然圏外になった場合は SIM スワップの可能性を疑い、直ちに通信事業者に連絡してください。あわせて、電話で確認コードを尋ねられたら、相手が通信事業者や銀行の窓口を名乗っていても答えない、という線引きを守ってください。電話番号を使った二段階認証のリスクと代替手段で SMS 認証の弱点と代替手段を比較しています。