SIMスワップ詐欺

SIM スワップ詐欺（しむスワップさぎ）またはSIMスワップ、SIMスプーフィング、SIMハイジャック、SIM分割は、英語では、英: SIM swap scam, 英: port-out scam, 英: SIM splitting, Smishing または 英: simjacking, 英: SIM swapping と言い、アカウント乗っ取りの一類型である。多要素認証において、要素の一つとして用いられるSMS（ショートメッセージサービス）や携帯電話への通話による認証の弱点を突く詐欺の形態である。

手口

この詐欺では、移動体通信のキャリアが顧客の手許のSIMに割り当てられた電話番号を別のSIMに移す手続きを悪用する。通常は、携帯電話を紛失したり盗まれたり、新しい携帯電話へ機種変更した時に用いられる手続きである。

この詐欺は、犯人が詐欺を仕掛ける標的である被害者にフィッシング電子メールを送りつけたり、犯罪者集団から情報を買い取ったり、直接ソーシャル・エンジニアリングを仕掛けて被害者に関する情報を収集するところから始められる。

被害者の詳細な情報を入手した後、犯人は、被害者の契約している移動体通信のキャリアに接触し、ソーシャル・エンジニアリングを仕掛けて、電話番号移動の必要を認めさせたうえで被害者の電話番号を、犯人の手許のSIMに移動させる。例えば、犯人が個人情報を提示して被害者になりすまし、 携帯電話を紛失したと届け出るなど。インドやナイジェリアなど、幾つかの国では被害者に '1' を押下させることでSIMスワップの承認を得なければならない。

犯人が移動体通信キャリア会社の従業員を買収して直接電話番号を変更させる事例も多い。

これが起こると、被害者の携帯電話は使用できなくなり、一方で犯人は被害者宛の全てのSMSや通話を受けられる様になる。犯人は、テキストで送られるワンタイムパスワードや被害者への通話を横取りでき、セキュリティをテキストメッセージや通話に依存したアカウント（銀行口座やSMSのアカウント）の二段階認証の多くを回避できる。サービスの多くは電話番号を介してパスワードのリセットができるので、犯人は盗み取った電話番号に結び付けられたサービスの多くを手中にできる。これにより、銀行口座の預金を送金したり、被害者を脅迫したり、アカウントを闇市場に売り飛ばすこともできる。

事例

Instagram やTwitterなどのソーシャルメディアで、著名人のアカウントがSIMスワップで乗っ取られた事例が幾つかある。2019年にはTwitter社の以前のCEOであるジャック・ドーシーのアカウントがこの手法で乗っ取られた。

2020年5月には、ニューヨーク州アーヴィントンにあるアーヴィントン高校の18歳の学生であるエリス・ピンスキーが、SIMスワップ詐欺を働き、デジタル通貨の投資家で、トランスフォーム・グループのCEOであるマイケル・ターピンのスマホからデータを盗み出して2018年、彼が15歳の時に2380万ドルを奪った犯罪の20人の被告人の共謀者として提訴された。ホワイト・プレインズの連邦裁判所への提訴では損害額の3倍の賠償金が請求された。

2021年11月、カナダ・オンタリオ州で、10代の少年がSIMスワップにより4,600万カナダドル（約41億7,000万円）相当の暗号資産を盗み出す。これは、同国の暗号資産関連犯罪史において、単一の被害者から盗み出された金額として過去最高額。

2022年の前半に米FBIは2021年にこの類型での被害が急増し2022年も増え続けていると報告した 2021年の損害額は、それまでの3年間の額の5倍に達し、「FBIによればSIMカードにかかる詐欺の被害額は2018年〜2020年の3年間の被害額合計が1200万ドルだったのに対し、2021年は6800万ドルであった」。FBIは2021年にSIMスワップの被害を1600件受け付けたが、これはそれまでの3年に対して急増している。犯人が移動体通信キャリアを騙して電話番号を移動させるに足るだけの被害者に関する情報を収集できれば、SIMスワップはすぐに発生して、犯人が被害者宛に送られた二段階認証のセキュリティコードを受け取ればすぐに金銭窃盗は起こる。

2024年1月9日、米国証券取引委員会 (SEC) のX (ソーシャル・ネットワーキング・サービス)アカウントが乗っ取られ、「SECはビットコインETFを承認した」という内容がポストされた。調査の結果、SIMスワップ攻撃が原因であったことが判明。

日本における事例

日本でも2022年からSIMスワップを用いた犯罪事案が発生しており、インターネットバンキングを用いた不正送金をはじめ、電子決済サービスやポイントの不正利用の被害が発生している。また、携帯電話やスマートホンの代金支払いに使用されるクレジットカードを不正利用して商品等の詐取も行われている他、アプリ課金など各種決済を通話料と共に請求するサービスを悪用して身に覚えのない商品やサービスの支払いを行わせる事例もある。

犯人は、フィッシング等でインターネットバンキングのID・パスワードおよび携帯電話番号を窃取した後、紛失等を装い、偽造した身分証明書を用いてターゲットの携帯電話番号のSIMカードを再発行する。その後、直ちにインターネットバンキングシステムからSMSで送信されるワンタイムパスワードを取得し、不正送金などを行う。また、MNPを用いて、別のキャリアでSIMを再発行する手口もある。

2024年（令和6年）からは、地方自治体議員を狙ったSIMスワップが続発している。議員は氏名・住所・生年月日・電話番号が公開されているため、これらの情報を用いてマイナンバーカードの偽造を行い、議員の地元ではない他の地域で本人になりすまして機種変の手続きとSIMカードの再発行を行う。併せて、一部のキャリア店舗では提示されたマイナンバーカードを目視でのみ確認したため偽造を見抜けなかったと指摘されている。

被害概要

日本におけるSIMスワップ詐欺の件数と被害額は、2022年1月から6月は発生件数15件・被害額約1億2,000万円だったのに対し、同年7月から12月は発生件数63件・被害額約2億7,000万円へ増加した。一方、総務省と警察庁から携帯電話事業者への本人確認強化要請などもあり、2023年1月から6月は発生件数4件・被害額約3,400万円へ急減した。2023年5月以降、SIMスワップによる不正送金被害は確認されていない。

2023年11月17日、神戸大学大学院森井昌克教授はNHKの取材に対し、欧米諸国に比べ日本はSIMスワップ詐欺被害に歯止めが掛からず、携帯電話会社の本人確認も甘い旨を指摘している。しかし同氏とNHKはこの報道の中で、海外と日本でのSIMスワップ詐欺の被害件数や本人確認レベルの具体的な比較は示していない。

具体的事例

• 2022年7月 - 神戸市の男性が、MNP（番号ポータビリティ）にて自身の携帯電話契約をauから楽天モバイルへ変更され、直後にインターネットバンキングで約1,000万円の預金が不正送金される被害を受けた。後日、容疑者は逮捕された。被害者は、各サイトで同じパスワードを使い回しており、それが被害の拡大を招いたかもしれないと述懐している。なお被害額は当該銀行より全額補填されている。
• 2023年1月25日 - 愛知県警察が、偽造運転免許証を使って他人のSIMカードを不正に再発行した男2名を、偽造有印公文書行使と詐欺の疑いで逮捕した。犯行は2022年7月。被害者の銀行口座から自身の暗号資産口座へ、約600万円を不正送金したと見られる。また同様の手口で4,000万円以上の不正送金に関与した疑いがある。
• 2023年2月22日 - 上記の男2名を、不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）違反と電子計算機使用詐欺の疑いで再逮捕した。SIMスワップによる不正送金事件に関わる逮捕は、本件が全国で初めて。
• 2023年5月10日 - 警視庁が、偽造した身分証明書を用いてSIMカード再発行と不正送金に関わった栃木県の女1名を、詐欺や組織的な犯罪の処罰及び犯罪収益の規制等に関する法律（組織犯罪処罰法）違反などの疑いで逮捕した。容疑者は、いわゆる「闇バイト」に応募して関わったと見られ、2022年7月から10月の期間に25人の口座から合わせて9,000万円以上を不正送金していた疑いがある。警視庁がSIMスワップ犯を摘発したのは本件が初めて。
• 2023年9月6日、茨城県警察は、25歳の男と49歳の男を、不正アクセス禁止法違反、電子計算機使用詐欺の疑いで逮捕した。2022年10月2日に、兵庫県に住む60代男性名義の偽造免許証を提示し、熊谷市の携帯電話ショップで「SIMカードを紛失した」と告げてSIMカードを不正に再発行した。その後、被害者のインターネットバンキングにログインし、421万円を暗号資産取引用口座へ不正送金した。
• 2023年9月27日、愛知県警察と刈谷警察署は、知立市のブラジル国籍男性 (39) を逮捕した。8月21日、名古屋市天白区のメガネショップで他人の楽天ポイントを使い、カラーコンタクトレンズなど合わせて約8,200円相当の商品をだまし取った疑い。被害者はフィッシングによって個人情報を流出させており、その情報からeSIMを乗っ取ったと見られる。
• 2024年3月11日、警視庁および各都道府県警計16の合同捜査本部は、有印公文書偽造容疑で長崎県の夫婦2人を逮捕した。2021年から2023年にかけて、運転免許証200通以上を偽造したと見られる。偽造した免許証はSIMスワップ時の本人確認に用いられ、被害額は少なくとも4億5千万円。2023年5月10日逮捕（その後服役中）の栃木県の女も、この容疑者が作成した偽造免許証でSIM再発行を行なっていた。
• 2024年4月18日、風間穣東京都議会議員がSIMスワップ被害に遭ったことを公表した。4月17日昼頃、自身のスマートフォンがキャリア通信不能であることを認識。調査の結果、同日に名古屋市のソフトバンクショップで、自身が利用していたYahoo!モバイルからソフトバンクへ不正に通信キャリアの変更処理が行なわれていたと判明。ショップでは偽造されたマイナンバーカードが提示され、店員はそれを目視のみで確認しMNPを行なった。被害はソフトバンクまとめて支払いの利用約10万円、PayPayの利用約3,000円。4月19日には、同氏の子の携帯契約もMNPによるSIMスワップ被害に遭った。
• 2024年5月2日、松田憲幸八尾市議会議員がSIMスワップ被害に遭ったことを公表した。5月2日15時頃、自身の携帯電話が通信不能状態であることを認識。ソフトバンクアリオ八尾店へ訪れ確認を依頼したところ、同時刻に名古屋市のソフトバンク柴田店で機種変更手続きを不正に行なわれていたことが判明。手続きでは偽造マイナンバーカードが用いられ、店員は目視確認したのみであった。被害はPayPayに5万円のチャージと消費、ソフトバンクカードで13万円の不正利用。さらに225万円のロレックス腕時計の購入未遂が確認された。
• 2024年7月9日、警察庁サイバー特別捜査部と16都道府県警の合同捜査本部は、無職男性 (44) を不正アクセス禁止法違反の疑いで逮捕した。SIMスワップおよび不正送金の首謀者であったと見られている。

対策

行政

2022年9月、総務省と警察庁は携帯電話事業者へ、携帯電話機販売店における本人確認の強化を要請した。

2023年3月17日、デジタル庁の河野太郎大臣は、携帯電話の不正契約対策として、マイナンバーカードの公的個人認証機能を用いた本人確認を活用していくと述べた。これは内閣官房主催の第36回「犯罪対策閣僚会議」（2023年3月17日）で取り決められた「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」に盛り込まれている。

2024年6月18日には第39回「犯罪対策閣僚会議」で「国民を詐欺から守るための総合対策」を決定。携帯電話契約に関して対面・非対面双方で身分証のICチップ読み取り必須化を掲げた。

→詳細は「マイナンバーカードの利用 § 携帯電話契約での公的個人認証の必須化」を参照

携帯電話事業者

2023年4月から5月にかけて、NTTドコモ、au、UQ mobile、ソフトバンク、Y!mobileの各社は相次いで、健康保険証を本人確認書類として認めないと発表した。この時点で、国内の携帯電話キャリアのうち楽天モバイルは健康保険証による本人確認が有効であるが、内部で是非の検討は進めているとのこと。

2024年4月23日、楽天モバイルは、自社のサービスでeSIMの乗っ取り（不正な再発行）が多発していることを公表。利用者へ注意を呼び掛けた。楽天モバイルの契約は自社独自のアカウントではなく、楽天グループ共通の「楽天ID」で管理されている。そのため楽天グループ内の利便性が高い一方で、フィッシング耐性が低いとされる。

2024年5月9日、ソフトバンク社長の宮川潤一は同社決算説明会において、同年4月から5月にかけて相次いで発生した東京と大阪の地方議員を標的としたSIMスワップ被害（前述）について言及し、二重の本人確認をする運用が一部の店舗において不十分だったことを認めた上で「迷惑を掛けて申し訳なかった」と謝罪した。

2024年5月10日、KDDI社長の高橋誠は同社決算会見において、SIMの乗っ取り被害について言及し、「eSIMに関しては、ネットで非常に簡易に再発行できてしまうような事業者がいらっしゃるのも実際に認識している」と述べた上で「この辺りについては総務省にも指導いただきたい。乗り換えの推進よりも非常に重要な課題だと思う」とコメントした。

金融機関

2023年5月1日、auじぶん銀行は、不正送金被害が相次いでいるとして、1日あたりの振込限度額を引き下げると共に、モアタイム時間帯の即時振込を取り止めた。

個人で取れる対策

携帯電話番号はインターネットバンキング等で「所持要素」として幅広く用いられている。これを有している者は「本人である」と認識され、振込等が可能となってしまう。また、偽造した身分証明書まで準備の上でSIM再発行等の手続きを行なわれると、店舗スタッフがそれを見抜くことは難しい。そしてSIMスワップに成功すると、通常、犯人は直ちに不正送金を実行する。被害者が、通信途絶に気付いてから食い止めるのは困難である。

一方、この犯行に至るまでには、身分証明書の記載情報（氏名、住所、生年月日等）、携帯電話番号と契約先事業者名、インターネットバンキングのID・パスワードといった、各種の個人情報を揃える必要がある。犯人はそれをフィッシング等にて得たとされるため、標的にならないこと、フィッシング等に気を付けて個人情報をみだりに提供・露出させないことが肝要である。

なお、ワンタイムパスワードにハードウェアトークンを用いることもSIMスワップへの対策となる。しかし金融機関は、ハードウェアトークンの発行が有料である他、ハードウエアトークンの取り扱いを廃止しており、全般にスマホアプリを用いたソフトウェアトークンへの移行を促す傾向にある。