SIMスワップ詐欺

SIM スワップ詐欺（しむスワップさぎ）またはSIMスワップ、SIMスプーフィング、SIMハイジャック、SIM分割は、英語ではSIM swap scam, port-out scam, SIM splitting, Smishing または simjacking, SIM swappingと言い、アカウント乗っ取りの一類型である。多要素認証において、要素の一つとして用いられるSMS（ショートメッセージサービス）や携帯電話への通話による認証の弱点を突く詐欺の形態である。
手口.
この詐欺では、移動体通信のキャリアが顧客の手許のSIMに割り当てられた電話番号を別のSIMに移す手続きを悪用する。通常は、携帯電話を紛失したり盗まれたり、新しい携帯電話へ機種変更した時に用いられる手続きである。
この詐欺は、犯人が詐欺を仕掛ける標的である被害者にフィッシング電子メールを送りつけたり、犯罪者集団から情報を買い取ったり、直接ソーシャル・エンジニアリングを仕掛けて被害者に関する情報を収集するところから始められる。
被害者の詳細な情報を入手した後、犯人は、被害者の契約している移動体通信のキャリアに接触し、ソーシャル・エンジニアリングを仕掛けて、電話番号移動の必要を認めさせたうえで被害者の電話番号を、犯人の手許のSIMに移動させる。例えば、犯人が個人情報を提示して被害者になりすまし、 携帯電話を紛失したと届け出るなど。インドやナイジェリアなど、幾つかの国では被害者に '1' を押下させることでSIMスワップの承認を得なければならない。
犯人が移動体通信キャリア会社の従業員を買収して直接電話番号を変更させる事例も多い。
これが起こると、被害者の携帯電話は使用できなくなり、一方で犯人は被害者宛の全てのSMSや通話を受けられる様になる。犯人は、テキストで送られるワンタイムパスワードや被害者への通話を横取りでき、セキュリティをテキストメッセージや通話に依存したアカウント（銀行口座やSMSのアカウント）の二段階認証の多くを回避できる。サービスの多くは電話番号を介してパスワードのリセットができるので、犯人は盗み取った電話番号に結び付けられたサービスの多くを手中にできる。これにより、銀行口座の預金を送金したり、被害者を脅迫したり、アカウントを闇市場に売り飛ばすこともできる。
事例.
Instagram やTwitterなどのソーシャルメディアで、著名人のアカウントがSIMスワップで乗っ取られた事例が幾つかある。2019年にはTwitter社の以前のCEOであるジャック・ドーシーのアカウントがこの手法で乗っ取られた。
2020年5月には、ニューヨーク州アーヴィントンにあるアーヴィントン高校の18歳の学生であるエリス・ピンスキーが、SIMスワップ詐欺を働き、デジタル通貨の投資家で、トランスフォーム・グループのCEOであるマイケル・ターピンのスマホからデータを盗み出して2018年、彼が15歳の時に2380万ドルを奪った犯罪の20人の被告人の共謀者として提訴された。ホワイト・プレインズの連邦裁判所への提訴では損害額の3倍の賠償金が請求された。
2021年11月、カナダ・オンタリオ州で、10代の少年がSIMスワップにより4,600万カナダドル（約41億7,000万円）相当の暗号資産を盗み出す。これは、同国の暗号資産関連犯罪史において、単一の被害者から盗み出された金額として過去最高額。
2022年の前半に米FBIは2021年にこの類型での被害が急増し2022年も増え続けていると報告した 2021年の損害額は、それまでの3年間の額の5倍に達し、「FBIによればSIMカードにかかる詐欺の被害額は2018年〜2020年の3年間の被害額合計が1200万ドルだったのに対し、2021年は6800万ドルであった」。FBIは2021年にSIMスワップの被害を1600件受け付けたが、これはそれまでの3年に対して急増している。犯人が移動体通信キャリアを騙して電話番号を移動させるに足るだけの被害者に関する情報を収集できれば、SIMスワップはすぐに発生して、犯人が被害者宛に送られた二段階認証のセキュリティコードを受け取ればすぐに金銭窃盗は起こる。
日本における事例.
日本でも2022年からSIMスワップを用いた犯罪事案が発生している。特に日本では、インターネットバンキングを用いた不正送金被害が発生している。
犯人は、フィッシング等でインターネットバンキングのID・パスワードおよび携帯電話番号を窃取した後、紛失等を装い、偽造した身分証明書を用いてターゲットの携帯電話番号のSIMカードを再発行する。その後、直ちにインターネットバンキングシステムからSMSで送信されるワンタイムパスワードを取得し、不正送金を行なう。
対策.
行政.
2023年3月17日、デジタル庁の河野太郎大臣は、携帯電話の不正契約対策として、マイナンバーカードの公的個人認証機能を用いた本人確認を活用していくと述べた。これは内閣官房主催の第36回「犯罪対策閣僚会議」（2023年3月17日）で取り決められた「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」に盛り込まれている。
携帯電話事業者.
2023年4月、NTTドコモ、au、UQ mobileの各社は相次いで、健康保険証を本人確認書類として認めないと発表した。この時点で、国内の携帯電話キャリアのうちソフトバンクと楽天モバイルは健康保険証による本人確認が有効であるが、内部で是非の検討は進めているとのこと。5月31日、ソフトバンクとY!mobileはそれぞれ、健康保険証での本人確認終了を発表した。
金融機関.
2023年5月1日、auじぶん銀行は、不正送金被害が相次いでいるとして、1日あたりの振込限度額を引き下げると共に、モアタイム時間帯の即時振込を取り止めた。
個人で取れる対策.
携帯電話番号はインターネットバンキング等で「所持要素」として幅広く用いられている。これを有している者は「本人である」と認識され、振込等が可能となってしまう。また、偽造した身分証明書まで準備の上でSIM再発行等の手続きを行なわれると、店舗スタッフがそれを見抜くことは難しい。そしてSIMスワップに成功すると、通常、犯人は直ちに不正送金を実行する。被害者が、通信途絶に気付いてから食い止めるのは困難である。
一方、この犯行に至るまでには、身分証明書の記載情報（氏名、住所、生年月日等）、携帯電話番号と契約先事業者名、インターネットバンキングのID・パスワードといった、各種の個人情報を揃える必要がある。犯人はそれをフィッシング等にて得たとされ、標的にならないことが肝要である。
なお、ワンタイムパスワードにハードウェアトークンを用いることもSIMスワップへの対策となる。しかし金融機関は、ハードウェアトークンの発行が有料であったり、廃止していたり、全般にスマホアプリを用いたソフトウェアトークンへの移行を促す傾向にある。