SIMスワップ詐欺

SIM スワップ詐欺（しむスワップさぎ）またはSIMスワップ、SIMスプーフィング、SIMハイジャック、SIM分割は、英語ではSIM swap scam, port-out scam, SIM splitting, Smishing^[1] または simjacking, SIM swappingと言い、アカウント乗っ取りの一類型である。多要素認証において、要素の一つとして用いられるSMS（ショートメッセージサービス）や携帯電話への通話による認証の弱点を突く詐欺の形態である。

手口[編集]

この詐欺では、移動体通信のキャリアが顧客の手許のSIMに割り当てられた電話番号を別のSIMに移す手続きを悪用する^{[注 1]}。通常は、携帯電話を紛失したり盗まれたり、新しい携帯電話へ機種変更した時に用いられる手続きである。

この詐欺は、犯人が詐欺を仕掛ける標的である被害者にフィッシング電子メールを送りつけたり、犯罪者集団から情報を買い取ったり^[2]、直接ソーシャル・エンジニアリングを仕掛けて被害者に関する情報を収集するところから始められる^[3]。

被害者の詳細な情報を入手した後、犯人は、被害者の契約している移動体通信のキャリアに接触し、ソーシャル・エンジニアリングを仕掛けて、電話番号移動の必要を認めさせたうえで被害者の電話番号を、犯人の手許のSIMに移動させる。例えば、犯人が個人情報を提示して被害者になりすまし、 携帯電話を紛失したと届け出るなど。インドやナイジェリアなど、幾つかの国では被害者に '1' を押下させることでSIMスワップの承認を得なければならない^[4][5][6]。

犯人が移動体通信キャリア会社の従業員を買収して直接電話番号を変更させる事例も多い^[7]。

これが起こると、被害者の携帯電話は使用できなくなり、一方で犯人は被害者宛の全てのSMSや通話を受けられる様になる。犯人は、テキストで送られるワンタイムパスワードや被害者への通話を横取りでき、セキュリティをテキストメッセージや通話に依存したアカウント（銀行口座やSMSのアカウント）の二段階認証の多くを回避できる。サービスの多くは電話番号を介してパスワードのリセットができるので、犯人は盗み取った電話番号に結び付けられたサービスの多くを手中にできる。これにより、銀行口座の預金を送金したり、被害者を脅迫したり、アカウントを闇市場に売り飛ばすこともできる。

事例[編集]

Instagram やTwitterなどのソーシャルメディアで、著名人のアカウントがSIMスワップで乗っ取られた事例が幾つかある。2019年にはTwitter社の以前のCEOであるジャック・ドーシーのアカウントがこの手法で乗っ取られた^[8]。

2020年5月には、ニューヨーク州アーヴィントンにあるアーヴィントン高校の18歳の学生であるエリス・ピンスキーが、SIMスワップ詐欺を働き、デジタル通貨の投資家で、トランスフォーム・グループのCEOであるマイケル・ターピンのスマホからデータを盗み出して2018年、彼が15歳の時に2380万ドルを奪った犯罪の20人の被告人の共謀者として提訴された。ホワイト・プレインズの連邦裁判所への提訴では損害額の3倍の賠償金が請求された^[9]。

2021年11月、カナダ・オンタリオ州で、10代の少年がSIMスワップにより4,600万カナダドル（約41億7,000万円）相当の暗号資産を盗み出す^[10][11]。これは、同国の暗号資産関連犯罪史において、単一の被害者から盗み出された金額として過去最高額。

2022年の前半に米FBIは2021年にこの類型での被害が急増し2022年も増え続けていると報告した^[12][13] 2021年の損害額は、それまでの3年間の額の5倍に達し、「FBIによればSIMカードにかかる詐欺の被害額は2018年〜2020年の3年間の被害額合計が1200万ドルだったのに対し、2021年は6800万ドルであった」^[12]。FBIは2021年にSIMスワップの被害を1600件受け付けたが、これはそれまでの3年に対して急増している。犯人が移動体通信キャリアを騙して電話番号を移動させるに足るだけの被害者に関する情報を収集できれば、SIMスワップはすぐに発生して、犯人が被害者宛に送られた二段階認証のセキュリティコードを受け取ればすぐに金銭窃盗は起こる^[13]。

2024年1月9日、米国証券取引委員会 (SEC) のX (ソーシャル・ネットワーキング・サービス)アカウントが乗っ取られ、「SECはビットコインETFを承認した」という内容がポストされた^[14][15]。調査の結果、SIMスワップ攻撃が原因であったことが判明^[16][17]。

日本における事例[編集]

日本でも2022年からSIMスワップを用いた犯罪事案が発生しており、インターネットバンキングを用いた不正送金をはじめ、電子決済サービスやポイントの不正利用の被害が発生している。

犯人は、フィッシング等でインターネットバンキングのID・パスワードおよび携帯電話番号を窃取した後、紛失等を装い、偽造した身分証明書を用いてターゲットの携帯電話番号のSIMカードを再発行する。その後、直ちにインターネットバンキングシステムからSMSで送信されるワンタイムパスワードを取得し、不正送金などを行う。また、MNPを用いて、別のキャリアでSIMを再発行する手口もある。

被害概要[編集]

日本におけるSIMスワップ詐欺の件数と被害額は、2022年1月から6月は発生件数15件・被害額約1億2,000万円だったのに対し、同年7月から12月は発生件数63件・被害額約2億7,000万円へ増加した。一方、総務省と警察庁から携帯電話事業者への本人確認強化要請などもあり、2023年1月から6月は発生件数4件・被害額約3,400万円へ急減した^[18]。2023年5月以降、SIMスワップによる不正送金被害は確認されていない^[19]。

2023年11月17日、神戸大学大学院森井昌克教授はNHKの取材に対し、欧米諸国に比べ日本はSIMスワップ詐欺被害に歯止めが掛からず、携帯電話会社の本人確認も甘い旨を指摘している^{[注 2]}。しかし同氏とNHKはこの報道の中で、海外と日本でのSIMスワップ詐欺の被害件数や本人確認レベルの具体的な比較は示していない。

具体的事例[編集]

• 2022年7月 - 神戸市の男性が、MNP（番号ポータビリティ）にて自身の携帯電話契約をauから楽天モバイルへ変更され、直後にインターネットバンキングで約1,000万円の預金が不正送金される被害を受けた^[20][21][22]。後日、容疑者は逮捕された^[23]。被害者は、各サイトで同じパスワードを使い回しており、それが被害の拡大を招いたかもしれないと述懐している。なお被害額は当該銀行より全額補填されている^[20]。
• 2023年1月25日 - 愛知県警察が、偽造運転免許証を使って他人のSIMカードを不正に再発行した男2名を、偽造有印公文書行使と詐欺の疑いで逮捕した。犯行は2022年7月。被害者の銀行口座から自身の暗号資産口座へ、約600万円を不正送金したと見られる。また同様の手口で4,000万円以上の不正送金に関与した疑いがある^[24]。
• 2023年2月22日 - 上記の男2名を、不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）違反と電子計算機使用詐欺の疑いで再逮捕した^[25]。SIMスワップによる不正送金事件に関わる逮捕は、本件が全国で初めて。
• 2023年5月10日 - 警視庁が、偽造した身分証明書を用いてSIMカード再発行と不正送金に関わった栃木県の女1名を、詐欺や組織的な犯罪の処罰及び犯罪収益の規制等に関する法律（組織犯罪処罰法）違反などの疑いで逮捕した^[26]。容疑者は、いわゆる「闇バイト」に応募して関わったと見られ、2022年7月から10月の期間に25人の口座から合わせて9,000万円以上を不正送金していた疑いがある^[27]。警視庁がSIMスワップ犯を摘発したのは本件が初めて^[28]。
• 2023年9月6日、茨城県警察は、25歳の男と49歳の男を、不正アクセス禁止法違反、電子計算機使用詐欺の疑いで逮捕した。2022年10月2日に、兵庫県に住む60代男性名義の偽造免許証を提示し、熊谷市の携帯電話ショップで「SIMカードを紛失した」と告げてSIMカードを不正に再発行した。その後、被害者のインターネットバンキングにログインし、421万円を暗号資産取引用口座へ不正送金した^[29]。
• 2023年9月27日、愛知県警察と刈谷警察署は、知立市のブラジル国籍男性 (39) を逮捕した^[30]。8月21日、名古屋市天白区のメガネショップで他人の楽天ポイントを使い、カラーコンタクトレンズなど合わせて約8,200円相当の商品をだまし取った疑い^[31]。被害者はフィッシングによって個人情報を流出させており、その情報からeSIMを乗っ取ったと見られる^[32]。
• 2024年3月11日、警視庁および各都道府県警計16の合同捜査本部は、有印公文書偽造容疑で長崎県の夫婦2人を逮捕した^[33]。2021年から2023年にかけて、運転免許証200通以上を偽造したと見られる。偽造した免許証はSIMスワップ時の本人確認に用いられ、被害額は少なくとも4億5千万円^[34]。2023年5月10日逮捕（その後服役中）の栃木県の女も、この容疑者が作成した偽造免許証でSIM再発行を行なっていた^[35]。
• 2024年4月18日、風間穣東京都議会議員がSIMスワップ被害に遭ったことを公表した^[36][37]。4月17日昼頃、自身のスマートフォンがキャリア通信不能であることを認識。調査の結果、同日に名古屋市のソフトバンクショップで、自身が利用していたYahoo!モバイルからソフトバンクへ不正に通信キャリアの変更処理が行なわれていたと判明。ショップでは偽造されたマイナンバーカードが提示され、店員はそれを目視のみで確認しMNPを行なった。被害はソフトバンクまとめて支払いの利用約10万円、PayPayの利用約3,000円。4月19日には、同氏の子の携帯契約もMNPによるSIMスワップ被害に遭った^[38]。

対策[編集]

行政[編集]

2022年9月、総務省と警察庁は携帯電話事業者へ、携帯電話機販売店における本人確認の強化を要請した^{[注 3]}。

2023年3月17日、デジタル庁の河野太郎大臣は、携帯電話の不正契約対策として、マイナンバーカードの公的個人認証機能を用いた本人確認を活用していくと述べた^{[注 4]}。これは内閣官房主催の第36回「犯罪対策閣僚会議」（2023年3月17日）で取り決められた「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」に盛り込まれている。

携帯電話事業者[編集]

2023年4月から5月にかけて、NTTドコモ^[39]、au^[40]、UQ mobile^[41]、ソフトバンク^[42]、Y!mobile^[43]の各社は相次いで、健康保険証を本人確認書類として認めないと発表した。この時点で、国内の携帯電話キャリアのうち楽天モバイルは健康保険証による本人確認が有効であるが、内部で是非の検討は進めているとのこと^[44]。

2024年4月23日、楽天モバイルは、自社のサービスでeSIMの乗っ取り（不正な再発行）が多発していることを公表。利用者へ注意を呼び掛けた^[45]。楽天モバイルの契約は自社独自のアカウントではなく、楽天グループ共通の「楽天ID」で管理されている。そのため楽天グループ内の利便性が高い一方で、フィッシング耐性が低いとされる^[46]。

金融機関[編集]

2023年5月1日、auじぶん銀行は、不正送金被害が相次いでいるとして、1日あたりの振込限度額を引き下げると共に、モアタイム時間帯の即時振込を取り止めた^[47]。

個人で取れる対策[編集]

携帯電話番号はインターネットバンキング等で「所持要素」として幅広く用いられている。これを有している者は「本人である」と認識され、振込等が可能となってしまう。また、偽造した身分証明書まで準備の上でSIM再発行等の手続きを行なわれると、店舗スタッフがそれを見抜くことは難しい。そしてSIMスワップに成功すると、通常、犯人は直ちに不正送金を実行する^[26]。被害者が、通信途絶に気付いてから食い止めるのは困難である。

一方、この犯行に至るまでには、身分証明書の記載情報（氏名、住所、生年月日等）、携帯電話番号と契約先事業者名、インターネットバンキングのID・パスワードといった、各種の個人情報を揃える必要がある。犯人はそれをフィッシング等にて得たとされるため、標的にならないこと、フィッシング等に気を付けて個人情報をみだりに提供・露出させないことが肝要である^[48]。

なお、ワンタイムパスワードにハードウェアトークンを用いることもSIMスワップへの対策となる^[49]。しかし金融機関は、ハードウェアトークンの発行が有料である他^[50][51]、ハードウエアトークンの取り扱いを廃止しており^[52][53][54]、全般にスマホアプリを用いたソフトウェアトークンへの移行を促す傾向にある。

脚注[編集]

注釈[編集]

1. ^ 国によっては、SIMは顧客の所有するもので、キャリアが顧客の手許のSIMの番号を確認して電話番号を紐付けるため、物理的にSIMを交換しない。日本ではSIMはキャリアで電話番号を設定した状態で顧客に引き渡される。
2. ^ “「SIMスワップ詐欺」手元にあるのに解約？スマホ乗っ取りの手口とは | NHK”. NHKニュース. 日本放送協会 (2023年11月17日). 2023年11月21日閲覧。
   
   神戸大学大学院 森井昌克教授
   「アメリカやヨーロッパでは、携帯電話会社が本人確認を強化した結果、ある程度の被害の歯止めにつながった。日本でも、一定程度被害を抑えるために事業者がさらに厳密に本人認証を行う必要が出てくると思う」
3. ^ “令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について” (pdf). www.npa.go.jp. 警察庁Webサイト (2023年9月21日). 2023年11月21日閲覧。
   2ページ
   
   ＳＩＭスワップによるインターネットバンキングに係る不正送金事犯が増加している状況を踏まえ、令和４年９月、総務省と連携し、携帯電話事業者に対して携帯電話機販売店における本人確認の強化を要請し、令和５年２月までに、大手携帯電話事業者において同要請への対応を完了した。その結果、令和５年上半期におけるＳＩＭスワップによる不正送金の被害が激減した。
4. ^ “河野大臣記者会見（令和5年3月17日）”. www.digital.go.jp. デジタル庁 (2023年3月17日). 2023年5月11日閲覧。
   
   本日開催されました犯罪対策閣僚会議において、「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」が策定されました。
   このプランには、SNSで実行犯を募集する手口による強盗等の犯罪から国民を守るため、一層踏み込んだ対策を取りまとめたところであります。
   デジタル庁としては、実行を容易にする不正契約された携帯電話等を根絶するための対策として、携帯電話、電話転送サービス、こうしたものの契約の本人確認の実効性の確保、それから預貯金口座の不正利用防止対策の強化のために、非対面でそうした契約をするときに、マイナンバーカードの公的個人認証機能を用いた本人確認を活用するということが、デジタル庁の関連として盛り込まれました。

出典[編集]