2024.07.12 (Fri)
いま企業に求められる情報セキュリティ対策(第23回)
知らぬ間にスマホが乗っ取られる「SIMスワップ」の恐怖
何者かがSIMカードを乗っ取る「SIMスワップ」の被害が発生しています。急にスマホが使えなくなった場合、SIMスワップの予兆かもしれません。防ぐ手立てはあるのでしょうか?
スマートフォンに欠かせない「SIM」が狙われている
スマートフォンをはじめとする携帯電話には、必ず「SIM」(シム)というものが入っています。
SIMはスマートフォンを契約する際に携帯電話会社から発行されるもので、ユーザーの識別番号や電話番号など、個人を識別するための情報が含まれています。これらの情報と電話番号を結び付けることで、通話や通信が可能になります。
SIMは基本的には小さいカード状の形をしており、「SIMカード」と呼ばれることもあります。スマホ端末を新しいものに切り替える際は、SIMカードを交換するだけで、新しい端末でも従来の契約プランのままで利用が継続できます。
SIMは言うなれば、スマートフォンにおける「身分証」のようなものです。しかしこのSIMが、本人が気づかないうちに何者かに乗っ取られてしまう「SIMスワップ」という詐欺が存在します。
SIMスワップのターゲットに公人が選ばれるのには理由がある?
SIMスワップは、悪意のある第三者が他人のSIMを乗っ取り、不正送金など悪用する詐欺行為のことです。「SIMハイジャック」や「SIM分割」、「SIMスプーフィング」などと呼ばれることもあります。
犯罪者がSIMスワップを完了するまでには、いくつかのステップが存在します。以下、SIMスワップを仕掛ける側である犯罪者の手順を順番に紹介します。
【1】犯罪者がターゲットとなる人物(被害者)の個人情報を入手する
【2】犯罪者は個人情報をもとに、偽の身分証明書(運転免許証やマイナンバーカード)などを作成
【3】犯罪者はターゲットになりすまし、「スマホを紛失した」などと偽り、携帯電話ショップの店頭にて、SIMカードの再発行を依頼する。
【4】犯罪者は再発行されたSIMカードを、犯罪者自身のスマートフォンに入れて使用する。この時点で、犯罪者は被害者のSMSが利用できるため、ネットバンクや電子マネーなど、携帯電話と紐づけされたサービスは突破されやすい状況にある。
【5】犯罪者は不正にログインした被害者のネットバンクから、犯罪者自身の口座に送金したり、被害者の電子マネーを不正利用する。
SIMスワップが成立するポイントは、【3】の「携帯電話ショップの店員を騙す」点にあるといえます。ここで本人確認が失敗すれば、SIMは発行されません。携帯電話ショップの店員を騙すという点では、なりすまし詐欺の一種といえるかもしれません。
このSIMスワップ詐欺の特徴のひとつに、ターゲットに公人が選ばれやすいという点があります。実際、2024年4月には東京都議会議員が、同5月には大阪の八尾市議会議員が、それぞれSIMスワップの被害に遭っています。顔写真が手に入りやすいうえ、誕生日や住所などの個人情報も入手しやすく、身分証明書が偽造しやすいことから、ターゲットに選ばれている可能性は十分に考えられます。
店員の本人確認の徹底と、急な通信の切断に気付くことが重要
こうしたSIMスワップの被害から身を守るためには、どうすれば良いのでしょうか?
被害者がSIMスワップに早期に気付くためのポイントとしては、SIMスワップによってスマホが乗っ取られた後は、被害者側のスマホは通話も通信もできなくなる点にあります。先の【1】~【5】の手順でいえば、【3】と【4】の間で、被害者側のスマホの通信がプッツリと途絶えます。この時、通信障害を疑うのはもちろん、SIMスワップも疑い、通信障害が発生していないのであれば、携帯電話会社に速やかに連絡を取るべきでしょう。
しかしながら、実際のところは被害者自身がSIMスワップを防ぐ手立てはあまりなく、身分証明書が偽造された後は、携帯電話ショップの本人確認で、店員がなりすましに気付けるか否かに懸かっています。
2024年に発生したSIMスワップ事件を受け、偽の証明書を受け入れてSIMを発行してしまった携帯電話会社では、マイナンバーカードの原本の確認と本人確認の二重チェックを徹底し、SIMスワップが起きないように注意すると、決算発表会にて言及しています。
今やスマートフォンには、ネットバンキングや電子マネーなど、お金に関する情報が集積されています。そのため、一度SIMスワップの被害に遭えば、その被害は甚大なものになりかねません。
SIMスワップの鍵となる、SIM再発行時における店舗での本人確認の徹底、およびSIMスワップの予兆である通信の切断に早く気付くことが、SIMスワップの被害を抑えるための重要な要素といえそうです。
連載記事一覧
- 第1回 クラウド時代のサイバー犯罪「なりすまし」をどう防ぐ?2023.11.10 (Fri)
- 第2回 社外で使用するPCやスマホをどうやって管理する? MDMのススメ2023.11.10 (Fri)
- 第3回 "サイバー攻撃は防げない"が前提のセキュリティ対策「EDR」とは2023.11.10 (Fri)
- 第4回 クラウドに潜む情報漏えいの危険は「CASB」で守る2023.11.10 (Fri)
- 第5回 ゼロトラストとは何か?導入のメリットを解説2023.11.17 (Fri)
- 第6回 新たな詐欺「スミッシング」を防ぐ方法とは2023.12.21 (Thu)
- 第7回 便利だけど危険!?「フリーWi-Fi」を安全に使う方法2024.01.17 (Wed)
- 第8回 ウイルス感染の警告は嘘?「サポート詐欺」が増加中2024.02.09 (Fri)
- 第9回 「スマート工場」に求められるセキュリティとは?2024.03.29 (Fri)
- 第10回 すべての通信を信用しない「ゼロトラスト」とは何なのか2024.03.29 (Fri)
- 第11回 未解決の脆弱性を狙った「ゼロデイ攻撃」を防ぐ方法とは2024.03.29 (Fri)
- 第12回 「IoTボットネット」にご注意。総務省の資料を読み解く2024.03.29 (Fri)
- 第13回 フィッシング詐欺はどうやって防げば良いのか?2024.03.29 (Fri)
- 第14回 「遠隔操作ソフト」が詐欺に使われている!その手口とは2024.03.29 (Fri)
- 第15回 過去15年で最悪の被害件数「特殊詐欺」の防ぎ方2024.03.29 (Fri)
- 第17回 Gmailにメールが届かなくなる?ガイドラインが変更2024.03.29 (Fri)
- 第16回 パスワードが無くても認証はできる!「パスキー」とは2024.03.29 (Fri)
- 第18回 IPAが選出、2024年の「情報セキュリティ10大脅威」とは2024.03.29 (Fri)
- 第19回 返金されない?オンラインゲームの無断課金にご注意2024.05.22 (Wed)
- 第20回 その動画、本物?偽物?ディープフェイクの脅威2024.07.11 (Thu)
- 第21回 攻撃を察知し先手を取る。「能動的サイバー防御」とは2024.07.12 (Fri)
- 第22回 悪質な通販サイトを見分けるポイントとは2024.07.12 (Fri)
- 第23回 知らぬ間にスマホが乗っ取られる「SIMスワップ」の恐怖2024.07.12 (Fri)