SIMスワッピング：盗まれた電話番号があなたの写真に届く仕組み

SIMスワッピングとは

SIMスワッピングとは、通信会社レベルで行われる乗っ取りです。誰かがあなたの電話会社を説得し、あなたの端末には一切触れずに、あなたの電話番号を自分が管理するSIMカードへ移してしまいます。その瞬間から、あなたの通話やメッセージ――攻撃者とApple IDのようなアカウントの間に立つはずの確認コードも含めて――は相手に届くようになります。盗まれた電話番号が、iCloud写真のようなごく個人的な場所にまで届いてしまうのは、こうした仕組みによるものです。

実際の仕組み

狙われるのは端末ではなく通信会社

攻撃者はフィッシングや過去の情報漏えい、あるいは単純なソーシャルエンジニアリングによって個人情報を集めます。その上で通信会社に連絡し、電話をなくした、あるいは壊れたと申告して、新しいSIMであなたの番号を有効化するよう求めます。担当者がそれを信じてしまえば、あなたの番号はもう相手のものです。ワンタイムパスコードを含め、すべての通話とメッセージはあなたではなく相手の端末に届きます。

なぜそれがApple IDにまで届くのか

Apple Accountの二要素認証は通常、信頼できる電話番号に依存しています。パスワードしか知らない相手に対してはこれが強みになります。しかし、誰かがあなたの番号を掌握した途端、それは弱点に変わります。パスワードのリセット要求は、まさに乗っ取られたばかりのその番号を通じて確認できてしまうからです。ここは正確に言っておく価値があります――これは端末の紛失とは異なる脅威です。盗難デバイスの保護についてのガイドでは、実際に端末を手にされた場合に何が起こるかを解説しています。SIMスワップにはそのどれも必要ありません。

決して珍しいことではない

SIMスワッピングは著名な標的にも及んでいます。2019年にはTwitter CEOだったJack Dorsey自身のアカウントが被害に遭いました。実際の金銭被害も出ており、投資家のMichael Terpin氏は2018年の一件で2,380万ドルを失いました。FBIへの通報件数は2018年の約400件から2021年には1,600件に増加し、同年の被害額は6,800万ドルに達しています。

プライバシーにとって重要な理由

2023〜2024年のFCC(米連邦通信委員会)の新規則により、通信会社は番号のポート(移管)前に安全な本人確認手続きを行い、SIM変更やポートアウト要求があった際には即座に顧客へ通知し、さらなる保護策を講じることが義務付けられました。すでに自分で設定できる機能を提供している通信会社もあります。例えばAT&TのWireless Lockは、ロックを解除するまでポートやアカウント変更をブロックします。これらは助けにはなりますが、あくまで通信会社側の対策であり、導入状況もさまざまで、リスクを減らすものであって、なくすものではありません。

電話番号そのものが目的なのではありません。番号は、それを復旧手段として扱っているあらゆるもの――メール、銀行口座、クラウド写真ストレージ――への「マスターキー」なのです。重要なアカウントをSMSベースの復旧から切り離すことは、身につける価値のある習慣のひとつです。全体像については本当に大切なデジタルプライバシー習慣もあわせてご覧ください。

FTC(米連邦取引委員会)のガイダンスは具体的です。携帯電話アカウントにPINを設定し、SMSベースの二要素認証から、利用可能な場合は認証アプリやハードウェアセキュリティキーへ切り替えることが推奨されています。Apple IDについては、復旧キーを設定することで、標準の電話番号ベースの復旧手順が置き換わります。番号だけを掌握した攻撃者は、オフラインの復旧キーも必要になるため、もうパスワードをリセットできません。

Privaraによる対策

SIMスワップは、あなたのアカウント復旧経路を乗っ取ることで成立します。アカウント不要のボルトには、そもそも乗っ取る経路がありません。Privaraはアカウントを必要とせず、デフォルトでは保存した内容がどこにもアップロードされません。そのため、電話番号に対するSIMスワップが成功しても、ボルトの中身には何の影響もありません。そもそもその番号に紐づくクラウド復旧の仕組みが存在しないからです。

ボルト内のすべてはAES-256暗号化で保護されており、アプリの見た目も動作も普通の電卓そのものです。開くのはPINを入力したときだけで、必要であればFace IDやTouch IDを追加の層として使えます。ひとつのボルトに写真、動画、書類、連絡先がまとめて収められているので、写真を守るのと同じ保護が、あなたが人に見せたくないその他のものも守ります。App StoreからPrivaraをダウンロードして、写真、動画、書類、連絡先を電話番号では触れられないボルトの中に置いてください。

よくある質問

SIMスワップで本当にiCloud写真を見られてしまうことはありますか？

はい、Apple IDの復旧がまだ電話番号に依存している場合はあり得ます。番号を掌握した攻撃者は、パスワードのリセットを要求し、確認コードを傍受して、写真を含むiCloudに侵入できてしまいます。

自分がSIMスワップの被害に遭ったかどうか、どうすればわかりますか？

最もわかりやすいサインは、通常なら電波が入るはずの状況で、突然圏外表示になり、通話もメッセージもできなくなることです。通信会社から「新しい端末でSIMが有効化されました」という予期しない通知が届く場合もあります。どちらかに該当したら、別の電話からすぐに通信会社へ連絡してください。

強力なパスコードを設定すればSIMスワップから守られますか？

いいえ。SIMスワップは端末のパスコードにはまったく触れません。通信会社レベルであなたの番号を乗っ取ることで端末そのものを迂回し、その番号を使って確認コードを傍受します。

SIMスワップがアカウントに届くのを防ぐために、まず何をすべきですか？

SMSベースの二要素認証をやめて、認証アプリやハードウェアセキュリティキーに切り替え、Apple IDの復旧キーを設定してください。どちらも、攻撃者とあなたのアカウントの間に立つ唯一のものとして電話番号が使われる状況を取り除きます。

まとめ

SIMスワップが狙うのは端末ではなく通信会社であり、その影響範囲はあなたの電話番号が及ぶ範囲そのものです。今週中に、重要なアカウントをSMSベースの二要素認証から切り離し、Apple IDの復旧キーを設定してください。アカウント復旧が電話番号に依存する度合いが小さいほど、SIMスワップの被害範囲は小さくなります。そして、その被害範囲から完全に外しておきたいものについては、アカウントも電話番号との紐づけも持たないボルトが、盗まれた番号を盗まれた写真に変えないための一つの方法です。