SIMスワップ攻撃：ハッカーはどのように電話を乗っ取り暗号資産を盗むのか
SIMスワップを使うと、ハッカーはあなたの電話番号を乗っ取り、アカウントをリセットして暗号資産を盗めます。攻撃の仕組み、警告サイン、安全を守る方法を解説します。
SIMスワップ攻撃とは、犯罪者があなたの携帯電話会社に電話番号を自分が管理するSIMカードへ移させることで、その番号を乗っ取る攻撃です。番号を手に入れた犯罪者は、SMSで届くログインコードやパスワードリセット用のリンクを受け取り、数分のうちに暗号資産取引所、メール、SNSのアカウントに侵入できます。
盗んだ暗号資産はすばやく移動でき、取り戻すのが難しいため、暗号資産の保有者は魅力的な標的です。保有資産について公に話している人は特に危険です。幸い、アカウントの守り方をいくつか変えるだけで、SIMスワップの危険性は大きく下がります。
SIMスワップ攻撃の仕組み
- 1下調べ：攻撃者は、氏名、住所、生年月日、電話番号などの個人情報を、データ漏えい、SNS、フィッシングから集めます。
- 2携帯電話会社での乗っ取り：本人になりすまして携帯電話会社に連絡し、端末を紛失した、または壊れたと主張して新しいSIMを要求します。買収された内部関係者や、侵害された携帯電話会社のアカウントが関わる攻撃もあります。
- 3番号の移転：あなたの番号が攻撃者のSIMに移ります。あなたのスマートフォンは圏外になります。
- 4アカウントのリセット：メールや取引所アカウントのパスワードリセットを申請し、SMSでコードを受け取ってログインします。
- 5盗難：セキュリティ設定を変更し、暗号資産を自分のウォレットに出金し、ときにはあなたのSNSアカウントから詐欺の投稿をします。
この一連の流れは1時間もかからないことがあります。著名なアカウントも被害に遭っています。2024年1月、米国証券取引委員会（SEC）は、第三者がSIMスワップとみられる手口で同委員会のXアカウントに紐付いた電話番号を乗っ取り、そのアカウントを使って虚偽の発表を投稿したと明らかにしました。
攻撃者にできること・できないこと
| 電話番号があれば攻撃者にできること… | 攻撃者が直接はできないこと… |
|---|---|
| SMSのログインコードやリセットコードを受け取る | ハードウェアウォレットの秘密鍵にアクセスする |
| 電話番号による復旧を使うアカウントをリセットする | ハードウェアセキュリティキーを回避する |
| 友人や知人に対してあなたになりすます | あなた自身の端末にある認証アプリのコードを読む |
| カスタマーサポートの本人確認の一部を通過する | シードフレーズなしで自己管理の資金を移動する |
だからこそ、最大の防御策は電話番号をアカウントの鍵にしないことです。
被害に遭っている可能性を示す警告サイン
- Wi-Fiは使えるのに、スマートフォンが突然圏外や緊急通報のみのモードになる。
- SIMの変更、番号移転の申請、パスワードリセットについての身に覚えのないSMSやメールが届く。
- 理由もなくアカウントやアプリからログアウトされる。
- 友人から、あなたから奇妙なメッセージが届いたと言われる。
これらのサインに気付いたら、すぐに行動してください。1分1秒が重要です。
SIMスワップから身を守る方法
二要素認証を見直す
- 1取引所、メール、お金に関わるすべてのアカウントで、SMSから認証アプリまたはハードウェアセキュリティキーに切り替える。各選択肢は暗号資産アカウントの二要素認証のガイドで比較しています。
- 2サービスが許可している場合は、復旧手段から電話番号を削除する。
- 3バックアップコードはメールではなくオフラインで保管する。
携帯電話のアカウントを強化する
- 携帯電話会社にポートアウトPIN、アカウントPIN、SIMロックを依頼しましょう。名称や選択肢は携帯電話会社や国によって異なります。
- 携帯電話会社のオンラインアカウントには使い回しのない強力なパスワードを使いましょう。
- SIM変更時に追加の本人確認を提供しているか、携帯電話会社に確認しましょう。
露出を減らす
- 暗号資産をどれだけ持っているかを公に共有しないようにしましょう。
- 可能であれば、金融系アカウントには公開していない別の電話番号やメールアドレスを使いましょう。
- 誕生日、住所、電話番号がわかるSNSのプロフィールは非公開にしましょう。
長期保有分は自己管理で保管する
取引所にある資金の安全性は、取引所のログインの安全性と同じ程度にとどまります。ハードウェアウォレットに保管した長期の貯蓄には、電話番号経由ではアクセスできません。取引所ごとの設定については、取引所アカウントを守る方法をご覧ください。
SIMスワップに関するよくある誤解
- 「自分の携帯電話会社がだまされるはずがない」：攻撃者は盗まれた個人データ、ソーシャルエンジニアリング、ときには内部関係者を利用します。携帯電話会社は対策を強化してきましたが、完璧なシステムはありません。
- 「自分は狙われるほど有名ではない」：被害者の多くは、データ漏えいや暗号資産関連のフォーラムで電話番号が出回ってしまった一般の人々です。
- 「2FAを使っているから安全だ」：その2FAがSMSベースなら、SIMスワップで突破されます。
- 「強力なパスワードがあれば十分だ」：SMSによるパスワードリセットは、どれほど強力なパスワードでも回避してしまいます。
SIMスワップされたときの対処法
- 1別の電話から携帯電話会社に電話し、不正を報告しましょう。番号を元に戻し、アカウントをロックするよう依頼します。
- 2まずメールを保護しましょう。メールはほかのサービスのパスワードリセットを管理しているからです。パスワードを変更し、ほかのセッションからサインアウトします。
- 3取引所に連絡し、アカウントと出金を凍結してもらいましょう。
- 4すべての金融系アカウントでパスワードと2FAを変更しましょう。
- 5あなたの番号やSNSアカウントからのメッセージは詐欺の可能性があると、知人に警告しましょう。
- 6警察や関係するサイバー犯罪の窓口に被害を届け出て、記録を残しましょう。関連する手順はウォレットが侵害されたときにすぐやるべきことのガイドで紹介しています。
その後、手数料と引き換えに暗号資産を取り戻すと持ちかけてくる人には注意してください。これはよくある二次被害の詐欺です。アカウントが再び安全になったら、急いで変更したセキュリティ設定をすべて見直し、次に慌てないよう、各アカウントが現在どの復旧手段を使っているかを書き留めておきましょう。
まとめ
SIMスワップ攻撃は、多くのアカウントが電話番号を本人確認の証拠として扱っていることを悪用します。その弱点をなくしましょう。SMSから認証アプリやセキュリティキーに移行し、携帯電話会社のアカウントを守り、公に共有する情報を減らし、貯蓄は自己管理で保管します。そうすれば、番号を乗っ取られても大惨事ではなく、ちょっとした不便で済みます。さらに対策を知りたい方は、セキュリティガイドをご覧ください。
よくある質問
SIMスワップ攻撃とは何ですか？
SIMスワップ攻撃とは、犯罪者が携帯電話会社を言いくるめたり買収したりして、あなたの電話番号を自分が管理するSIMカードに移させる攻撃です。その後、犯罪者はワンタイムログインコードを含むあなたの通話やSMSを受け取り、それを使ってメール、取引所、SNSアカウントのパスワードをリセットします。
SIMスワップされたかどうかはどうすればわかりますか？
よくある最初のサインは、Wi-Fiは使えるのに、スマートフォンが突然モバイル通信を失い、「圏外」や「緊急通報のみ」と表示されることです。身に覚えのないパスワードリセットや新しいログインについてのメールが届くこともあります。すぐに別の電話から携帯電話会社に連絡し、メールアカウントを保護してください。
認証アプリはSIMスワップを防げますか？
認証アプリやハードウェアセキュリティキーは、コードが電話番号ではなく端末やキーに結び付いているため、SMSコードよりはるかに安全です。ただし、アカウントがまだSMSを予備の復旧手段として認めている場合、攻撃者はそちらを使う可能性があります。可能な限り電話番号による復旧手段を削除しましょう。
SIMスワップでハードウェアウォレットの暗号資産を盗まれることはありますか？
直接盗まれることはありません。ハードウェアウォレットの鍵はあなたの電話番号と結び付いていません。SIMスワップが主に脅かすのは、取引所やメールなど、SMSでリセットできるアカウントです。それでも、あなたになりすましたり知人をだましたりするのに使われる可能性があるため、自己管理の資金が安全であっても深刻に受け止めてください。