SIM Swap Attack

SIMスワップ攻撃とは何ですか？通常のアカウント・パスワードの盗難とはどう違いますか？

SIMスワップ攻撃が狙うのは、あなたのパスワードや秘密鍵ではなく、あなたの携帯電話番号そのものである。攻撃者はソーシャルエンジニアリングの手法（あなた本人になりすまして通信キャリアのカスタマーサポートに連絡し、電話番号を紛失した、あるいは機種変更のために再有効化が必要だと装うなど）を通じて、サポート担当者を説得し、あなたの電話番号を攻撃者が保有する新しいSIMカードに移し替えさせる。移行が成功すると、あなたの元のスマートフォンは直ちに完全に電波を失う——電話もSMSも一切受信できなくなる——一方、本来あなたのスマートフォンに届くはずだったSMS認証コードやパスワードリセットのリンクは、全て攻撃者のデバイスに届くようになる。

通常のパスワード漏洩との本質的な違いは、連鎖効果の範囲にある。パスワードの漏洩は通常、利用者が全てのアカウントで同じパスワードを使い回していない限り、単一のアカウントにしか影響しない。しかし携帯電話番号が乗っ取られると、攻撃者はそれを利用して、SMSを二段階認証やアカウント復旧の手段として使っているほぼ全てのサービス——メール、SNS、銀行、暗号資産取引所——のアクセスをリセットできる。これらのサービスがログインやパスワードリセットの資格情報としてSMS認証コードを許容している限り、攻撃者は1回の攻撃で、単一のアカウントだけでなく一連のアカウントを次々と乗っ取ることができる。

なぜ通信キャリアのカスタマーサポートプロセスがこの攻撃の突破口になるのですか？この弱点はどのように利用されているのですか？

通信キャリアのカスタマーサポートプロセスは本来、本当にスマートフォンを紛失したり機種変更が必要だったりする正当な利用者にサービスを提供するために設計されている。このプロセスは本質的に本人確認の仕組みだが、確認方法（氏名、生年月日、請求先住所といった基本的な個人情報の照合など）は、データ漏洩事件が頻発する環境下では、既に本人しか知り得ない秘密ではなくなっている。攻撃者は過去に流出したデータベース、ソーシャルエンジニアリングによって聞き出した追加の詳細情報、あるいはSNS上であなたが公開している個人情報を集めることで、カスタマーサポートの確認を通過するのに十分な情報の組み合わせを組み立てることができる。

この弱点が根絶しにくいのは、通信キャリアが構造的なトレードオフに直面しているからである。確認プロセスを厳格にすればするほど、本当にスマートフォンを紛失し緊急に交換が必要な正当な利用者の体験が悪化し、苦情やクレームが増加する。確認プロセスを緩くすればするほど、攻撃者が限られた個人情報の組み合わせで突破しやすくなる。複数の訴訟や規制当局の調査（米連邦通信委員会による、通信キャリアが顧客固有ネットワーク情報を保護する義務を十分に果たしていたかどうかの裁定など）は、いずれも同じ核心的な問題を指し示している。通信キャリアのこの種の攻撃に対する防御策は、長らく攻撃者のソーシャルエンジニアリング手法の進化のスピードに必ずしも追いついてこなかったのである。

SIMスワップ攻撃は実際にどのように発生し、攻撃者は電話番号の管理権限を得た後どのように行動するのですか？

典型的な流れはいくつかのステップに分かれる。まず攻撃者はデータ漏洩データベース、ソーシャルエンジニアリング、あるいはSNS上の公開情報を通じて、被害者の基本的な個人情報（氏名、生年月日、住所、口座下4桁など）を収集する。続いて被害者の通信キャリアのカスタマーサポートに連絡し、被害者本人になりすまし、スマートフォンを紛失または破損したため新しいSIMカードを緊急に有効化する必要があると主張し、収集した個人情報を使ってサポート側の本人確認を通過する。サポート側が承認すると、被害者の元の電話番号は攻撃者が保有するSIMカードに移し替えられる。この瞬間から被害者のスマートフォンは完全に電波を失い、一方で攻撃者のデバイスは本来被害者に届くはずだった全てのSMSと着信を受信し始める。

電話番号の管理権限を得た後、攻撃者の行動は通常非常に迅速である。SMS認証コードを利用して、被害者のメールパスワード、SNSアカウントのパスワード、暗号資産取引所のアカウントパスワードを次々とリセットしていく。標的となるサービスがSMSをアカウント復旧や二段階認証の資格情報として許容している限り、次々と突破されていく。多くのサービスは「異常なデバイスからのログイン」を検知すると、標準的な対応として本人確認のためのSMS認証コードを送信するが、これはまさに攻撃者が既に手にしている優位性に完全に合致してしまう。被害者の資産は、攻撃者が電話番号の管理権限を得てからわずか数分のうちに、全て移動されてしまう可能性があり、そのスピードは多くの利用者が反応できる時間をはるかに上回る。

SIMスワップ攻撃から自分自身をどう守ればよいですか？既に攻撃を受けていると疑われる場合はどうすればよいですか？

最も核心的な防御策は、二段階認証の方式を「SMS認証コード」から「アプリ型認証システム」（Google AuthenticatorやAuthyなど）またはハードウェアセキュリティキー（YubiKeyなど）へと全面的に切り替えることである。この種の認証方式が生成するコードはあなたのデバイス自体に紐づいており、通信キャリアのネットワークを経由しない。そのため電話番号が乗っ取られても、攻撃者はこのコードを入手できない。次に、通信キャリアに能動的に連絡し、「ポートアウトPIN」や追加のアカウントセキュリティパスワードを設定できるか尋ねることである。多くのキャリアはこの機能を提供しているが、デフォルトでは利用者に能動的に設定を促すことはなく、自分で申請して有効化する必要がある。設定しておけば、いかなる電話番号移行リクエストも、このパスワードを追加で提示しなければ確認を通過できなくなる。さらに、生年月日や住所といった個人情報をSNS上でできるだけ公開しないようにすること。これらはまさに攻撃者がカスタマーサポートの確認を通過するために使う材料である。

もし自分が現在攻撃を受けていると疑われる場合（スマートフォンが突然完全に電波を受信しなくなり、着信もSMSも一切受け取れない場合）、最初にすべきことは、他の経路（ウェブ版、家族のデバイスなど）を通じて直ちに影響を受けうる重要な全てのアカウントにログインすることである。暗号資産取引所とメールアカウントを優先的に対応する（メールは通常、他のアカウントのパスワードリセットの要となるため）。二段階認証をSMS以外の経路に切り替え、同時に通信キャリアに連絡して電話番号の状態を確認し、直ちに凍結または移行の取り消しを要求する。この反応速度が損失の規模を直接左右する。これが、SIMスワップ攻撃への対応手順を、平時から準備しておくべきインシデント対応計画に組み込んでおくことを推奨する理由でもある。実際に発生してからその場で対処法を考えるのではなく。