SIMスワップ詐欺

SIM スワップ詐欺またはSIMスワップ、SIMスプーフィング、SIMハイジャック、SIM分割は、英語ではSIM swap scam, port-out scam, SIM splitting, Smishing または simjacking, SIM swappingと言い、アカウント乗っ取りの一類型である。多要素認証において、要素の一つとして用いられるSMSや携帯電話への通話による認証の弱点を突く詐欺の形態である。

1. 手口
-----

この詐欺では、移動体通信のキャリアが顧客の手許のSIMに割り当てられた電話番号を別のSIMに移す手続きを悪用する。通常は、携帯電話を紛失したり盗まれたり、新しい携帯電話へ機種変更した時に用いられる手続きである。

この詐欺は、犯人が詐欺を仕掛ける標的である被害者にフィッシング電子メールを送りつけたり、犯罪者集団から情報を買い取ったり、直接ソーシャル・エンジニアリングを仕掛けて被害者に関する情報を収集するところから始められる。

被害者の詳細な情報を入手した後、犯人は、被害者の契約している移動体通信のキャリアに接触し、ソーシャル・エンジニアリングを仕掛けて、電話番号移動の必要を認めさせたうえで被害者の電話番号を、犯人の手許のSIMに移動させる。例えば、犯人が個人情報を提示して被害者になりすまし、 携帯電話を紛失したと届け出るなど。インドやナイジェリアなど、幾つかの国では被害者に '1' を押下させることでSIMスワップの承認を得なければならない。

犯人が移動体通信キャリア会社の従業員を買収して直接電話番号を変更させる事例も多い。

これが起こると、被害者の携帯電話は使用できなくなり、一方で犯人は被害者宛の全てのSMSや通話を受けられる様になる。犯人は、テキストで送られるワンタイムパスワードや被害者への通話を横取りでき、セキュリティをテキストメッセージや通話に依存したアカウントの二段階認証の多くを回避できる。サービスの多くは電話番号を介してパスワードのリセットができるので、犯人は盗み取った電話番号に結び付けられたサービスの多くを手中にできる。これにより、銀行口座の預金を送金したり、被害者を脅迫したり、アカウントを闇市場に売り飛ばすこともできる。

2. 事例
-----

Instagram やTwitterなどのソーシャルメディアで、著名人のアカウントがSIMスワップで乗っ取られた事例が幾つかある。2019年にはTwitter社の以前のCEOであるジャック・ドーシーのアカウントがこの手法で乗っ取られた。

2020年5月には、ニューヨーク州アーヴィントンにあるアーヴィントン高校の18歳の学生であるエリス・ピンスキーが、SIMスワップ詐欺を働き、デジタル通貨の投資家で、トランスフォーム・グループのCEOであるマイケル・ターピンのスマホからデータを盗み出して2018年、彼が15歳の時に2380万ドルを奪った犯罪の20人の被告人の共謀者として提訴された。ホワイト・プレインズの連邦裁判所への提訴では損害額の3倍の賠償金が請求された。

2021年11月、カナダ・オンタリオ州で、10代の少年がSIMスワップにより4,600万カナダドル相当の暗号資産を盗み出す。これは、同国の暗号資産関連犯罪史において、単一の被害者から盗み出された金額として過去最高額。

2022年の前半に米FBIは2021年にこの類型での被害が急増し2022年も増え続けていると報告した 2021年の損害額は、それまでの3年間の額の5倍に達し、「FBIによればSIMカードにかかる詐欺の被害額は2018年〜2020年の3年間の被害額合計が1200万ドルだったのに対し、2021年は6800万ドルであった」。FBIは2021年にSIMスワップの被害を1600件受け付けたが、これはそれまでの3年に対して急増している。犯人が移動体通信キャリアを騙して電話番号を移動させるに足るだけの被害者に関する情報を収集できれば、SIMスワップはすぐに発生して、犯人が被害者宛に送られた二段階認証のセキュリティコードを受け取ればすぐに金銭窃盗は起こる。

3. 日本における事例
-----------

日本でも2022年からSIMスワップを用いた犯罪事案が発生している。特に日本では、インターネットバンキングを用いた不正送金被害が発生している。

犯人は、フィッシング等でインターネットバンキングのID・パスワードおよび携帯電話番号を窃取した後、紛失等を装い、偽造した身分証明書を用いてターゲットの携帯電話番号のSIMカードを再発行する。その後、直ちにインターネットバンキングシステムからSMSで送信されるワンタイムパスワードを取得し、不正送金を行なう。

3.1. 具体的事例
----------

2022年7月 - 神戸市の男性が、MNPにて自身の携帯電話契約をauから楽天モバイルへ変更され、直後にインターネットバンキングで約1,000万円の不正送金被害を受ける。後日、容疑者は逮捕。被害者は、各サイトで同じパスワードを使い回しており、それが被害の拡大を招いたかもしれないと述懐している。なお被害額は当該銀行より全額補填されている。
2023年1月25日 - 愛知県警察が、偽造運転免許証を使って他人のSIMカードを不正に再発行した男2名を、偽造有印公文書行使と詐欺の疑いで逮捕。犯行は2022年7月。被害者の銀行口座から自身の暗号資産口座へ、約600万円を不正送金したと見られる。また同様の手口で4,000万円以上の不正送金に関与した疑いがある。
2023年2月22日 - 上記の男2名を、不正アクセス行為の禁止等に関する法律違反と電子計算機使用詐欺の疑いで再逮捕。SIMスワップによる不正送金事件の逮捕は、本件が全国で初めて。
2023年5月11日 - 警視庁が、偽造した身分証明書を用いてSIMカード再発行と不正送金に関わった女1名を、詐欺や組織的な犯罪の処罰及び犯罪収益の規制等に関する法律違反などの疑いで逮捕。容疑者は、いわゆる「闇バイト」に応募して関わったと見られ、2022年7月から10月の期間に25人の口座から合わせて9,000万円以上を不正送金していた疑いがある。警視庁がSIMスワップ犯を摘発したのは本件が初めて。
2023年9月6日、茨城県警察は、25歳の男と49歳の男を、不正アクセス禁止法違反、電子計算機使用詐欺の疑いで逮捕した。2022年10月2日に、兵庫県に住む60代男性名義の偽造免許証を提示し、熊谷市の携帯電話ショップで「SIMカードを紛失した」としてSIMカードを不正に再発行した。その後、被害者のインターネットバンキングにログインし、421万円を暗号資産取引用口座へ不正送金した。
2023年9月27日、愛知県警察と刈谷警察署は、知立市のブラジル国籍男性  を逮捕。8月21日、名古屋市天白区のメガネショップで他人の楽天ポイントを使い、カラーコンタクトレンズなど合わせて約8,200円相当の商品をだまし取った疑い。被害者はフィッシングによって個人情報を流出させており、その情報からeSIMを乗っ取ったと見られる。

3.2. 対策
-------

3.2.1. 行政
---------

2023年3月17日、デジタル庁の河野太郎大臣は、携帯電話の不正契約対策として、マイナンバーカードの公的個人認証機能を用いた本人確認を活用していくと述べた。これは内閣官房主催の第36回「[1]」で取り決められた「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」に盛り込まれている。

3.2.2. 携帯電話事業者
--------------

2023年4月、NTTドコモ、au、UQ mobileの各社は相次いで、健康保険証を本人確認書類として認めないと発表した。この時点で、国内の携帯電話キャリアのうちソフトバンクと楽天モバイルは健康保険証による本人確認が有効であるが、内部で是非の検討は進めているとのこと。5月31日、ソフトバンクとY!mobileはそれぞれ、健康保険証での本人確認終了を発表した。

3.2.3. 金融機関
-----------

2023年5月1日、auじぶん銀行は、不正送金被害が相次いでいるとして、1日あたりの振込限度額を引き下げると共に、モアタイム時間帯の即時振込を取り止めた。

3.2.4. 個人で取れる対策
---------------

携帯電話番号はインターネットバンキング等で「所持要素」として幅広く用いられている。これを有している者は「本人である」と認識され、振込等が可能となってしまう。また、偽造した身分証明書まで準備の上でSIM再発行等の手続きを行なわれると、店舗スタッフがそれを見抜くことは難しい。そしてSIMスワップに成功すると、通常、犯人は直ちに不正送金を実行する。被害者が、通信途絶に気付いてから食い止めるのは困難である。

一方、この犯行に至るまでには、身分証明書の記載情報、携帯電話番号と契約先事業者名、インターネットバンキングのID・パスワードといった、各種の個人情報を揃える必要がある。犯人はそれをフィッシング等にて得たとされ、標的にならないことが肝要である。

なお、ワンタイムパスワードにハードウェアトークンを用いることもSIMスワップへの対策となる。しかし金融機関は、ハードウェアトークンの発行が有料であったり、廃止していたり、全般にスマホアプリを用いたソフトウェアトークンへの移行を促す傾向にある。

4. 脚注
-----

4.1. 注釈
-------

4.2. 出典
-------