SIMスワップ詐欺とは？電話番号が乗っ取られる手口
画像出典: 写真: User:Georgy90（CC BY-SA 3.0 / Wikimedia Commons）
SIMスワップ詐欺は、盗まれた個人情報をもとに本人確認書類を偽造し、契約者になりすましてSIMの再発行やMNP転出を行い、電話番号そのものを奪う手口です。番号を握られるとSMSのワンタイムパスワードが相手に届くため、ネットバンキングの不正送金につながります。防御の要は、SMS以外の2段階認証への切り替え、契約への暗証番号設定、そして「突然圏外になった」ときに即キャリアへ連絡することです。
手元の端末が無事でも、電話番号は奪われることがあります。狙われるのは端末ではなく「契約」のほうだからです。契約者になりすましてSIMカードを再発行させれば、犯人の手元にあるSIMがあなたの番号として動き出します。
正直なところ、この手口が怖いのは「自分が何もしていないのに起きる」点です。パスワードを推測されたわけでも、アプリを入れさせられたわけでもありません。だからこそ、しくみを知っておくと防ぎ方も見えてきます。
SIMスワップ詐欺とは？どういう順番で乗っ取られるのか
SIMスワップ詐欺とは、犯罪者がフィッシングなどで手に入れた氏名・住所・生年月日といった個人情報をもとに運転免許証などの本人確認書類を偽造し、携帯電話販売店などで契約者になりすまして「SIMカードを紛失した」と装い、SIMの再発行やMNP（番号ポータビリティ、電話番号を他社へ持ち運ぶ手続き）を行って被害者の電話番号を乗っ取る手口です。
番号を奪う目的は、SMSで届くワンタイムパスワードを受け取ることにあります。そこを突破してネットバンキングにログインし、不正送金する——これが典型的な流れです。
犯人側から見ると、電話番号は「本人確認の鍵束」に近い存在です。銀行、決済アプリ、SNS、メールのパスワード再設定——どれもSMSに届く番号ひとつで通れてしまう場面が多くあります。ひとつの番号を握れば複数のサービスへ横に広がれるので、割の合う手間だと判断されているわけです。
乗っ取りまでの5ステップ
- 個人情報を集めるフィッシングのSMSやメールで、氏名・住所・生年月日・契約情報などを入力させて詐取します。
- 本人確認書類を偽造する集めた情報をもとに運転免許証などを作り、契約者本人に見せかけます。
- SIMを再発行させる携帯電話販売店などで「SIMを紛失した」と申し出て、再発行やMNP転出の手続きを行います。
- SMS認証を突破する電話番号が犯人側のSIMに移り、ワンタイムパスワードが犯人に届きます。
- 不正送金するネットバンキングなどにログインし、預金を送金します。
この流れで重要なのは、被害者の側にはステップ4まで何の通知も来ないことです。異変として現れるのは「急に圏外になった」「SIMが認識されませんと表示された」という、一見すると故障にしか見えない症状だけです。
本人確認の強化で被害はどう変わった？
警察庁は総務省と連携し、令和4年（2022年）9月に携帯電話事業者へ「携帯電話機販売店における本人確認の強化」を要請しました。主要な携帯電話事業者は令和5年（2023年）2月までに対応を完了しています。
| 期間 | 発生件数 | 被害額 |
|---|---|---|
| 2022年1月〜6月 | 15件 | 約1億2,000万円 |
| 2022年7月〜12月 | 63件 | 約2億7,000万円 |
| 2023年1月〜6月 | 4件 | 約3,400万円 |
警察庁公表資料（日本経済新聞まとめ）の公表データをもとに作成
上の表のとおり、2022年後半に急増した不正送金被害は、本人確認強化のあと大きく減りました。2023年5月以降、SIMスワップによる不正送金被害は確認されていないとされています。
本人確認をすり抜けるSIMスワップ的な手口は、マルウェア感染などほかの不正送金手口と並んでその後も断続的に確認されており、警察庁は継続して注意を呼びかけています。統計が落ち着いたのは対策が効いた結果であって、狙われなくなったからではありません。
SMS認証はもう使ってはいけない？
結論から言うと、使ってはいけないのではなく、SMS認証「だけ」に頼る状態をやめるのが要点です。SMS認証は電話番号に紐づくため、番号を奪われた瞬間に丸ごと持っていかれます。認証の材料が電話番号から独立していれば、SIMを再発行されても突破されません。
SMSより強い認証手段
- 認証アプリ（TOTP＝スマホの中で30秒ごとに数字が変わる方式）。番号ではなく端末内の秘密情報から生成されます
- パスキー。端末内の鍵で署名する方式で、電話番号を経由しません
- 物理セキュリティキー。USBやNFCの小さな鍵を挿す／かざす方式です
銀行や証券、主要なSNSの多くは、設定画面の「2段階認証」「セキュリティ」から認証アプリやパスキーへ変更できます。優先順位をつけるなら、お金が動くサービスから順に切り替えるのが現実的です。
今日からできる4つの防御策
セキュリティ専門家やキャリア各社が案内している対策は、大きく4つに整理できます。上から順に効果が高い並びです。
- SMS以外の2段階認証へ切り替える認証アプリ・パスキー・物理セキュリティキーを優先します。番号が奪われても認証が成立しません。
- 契約にパスワード・暗証番号を設定するキャリアの契約者情報に暗証番号を設定しておくと、他者が窓口やオンラインで契約変更を進めにくくなります。設定済みでも、推測されやすい番号なら変更しておきます。
- 突然の圏外を「故障」で片づけない身に覚えなく圏外になった、「SIMが認識されません」と出た——このとき、乗っ取りの兆候として直ちにキャリアへ連絡します。別の電話やWi-Fi経由で連絡する必要がある点も、あらかじめ頭に入れておきます。
- フィッシングに個人情報を入力しない手口の起点はここです。SMSやメールのリンクから開いた画面に、氏名・住所・生年月日・契約情報を入力しないこと。用がある通知なら、公式アプリか公式サイトを自分で開いて確認します。
ドコモも公式アカウントで、SIMスワップ詐欺をフィッシングのSMSやメールで詐取した個人情報からSIMカードを再発行し、契約者になりすまして財産を盗み取る犯罪だと説明し、身に覚えのないSMSやメールへの注意を呼びかけています。起点を断つのがいちばん静かで確実な防御です。
「急に圏外」に気づいたら何をする？
圏外の原因の大半は通信障害や端末の不調で、その場合は時間をおけば戻ります。判断に迷ったときの分かれ目は、同じ場所にいる家族や同僚のスマホが正常につながっているかどうかです。自分の回線だけが落ちているなら、確認を急ぐ理由があります。
- 機内モードのオン・オフ、再起動を試す（ここで戻れば端末側の問題）
- 同じ場所の別の人の回線が生きているか確かめる
- キャリアの障害情報をWi-Fi経由で確認する
- どれにも当てはまらないなら、別の電話からキャリアへ連絡する
- 並行して、銀行・決済アプリのログイン履歴と残高を確認する
ここで扱ったのは電話番号を奪う手口への備えです。端末そのものを盗まれた場合や、不正なアプリを入れてしまった場合は別の対処が必要になります。また、キャリアの窓口対応や追加の認証機能は各社で運用が異なるため、契約中のキャリアの公式サイトで最新の手続きを確認してください。
しくみを知っておくと、判断が早くなる
SIMスワップ詐欺の本質は、電話番号が「本人確認の代わり」として広く使われすぎていることにあります。番号は住所や氏名と違って簡単には変わらないため信頼されやすい一方で、契約手続きひとつで別の人の手に渡ってしまう性質を持っています。
だから防御も二段構えになります。番号を奪われにくくする（暗証番号の設定・フィッシング対策）と、奪われても損害が出ないようにする（SMS以外の認証）。片方だけでは穴が残るので、両方を少しずつ進めておくのが現実的です。
今日できるいちばん小さな一歩は、いちばん大事な口座の2段階認証の設定画面を開いて、いま何が有効になっているかを見てみることです。それだけで、自分がどのくらいSMSに依存しているかが分かります。
よくある質問
SIMスワップ詐欺とは何ですか？
犯罪者が盗んだ個人情報をもとに本人確認書類を偽造し、携帯電話販売店などで契約者になりすましてSIMカードの再発行やMNP転出を行い、被害者の電話番号を乗っ取る手口です。奪った番号でSMSのワンタイムパスワードを受け取り、ネットバンキングなどから不正送金します。
SIMスワップの被害に遭うとどんな兆候が出ますか？
身に覚えのないタイミングで急に圏外になる、「SIMが認識されません」と表示されるといった通信断が起きます。端末の故障や通信障害と見分けがつきにくいため、同じ場所の他の人の回線が正常なら、乗っ取りの兆候として直ちに契約中のキャリアへ連絡してください。
SMS認証はやめたほうがいいですか？
SMS認証だけに頼る状態をやめるのが要点です。電話番号を奪われるとSMSは丸ごと相手に届くため、認証アプリ（TOTP）、パスキー、物理セキュリティキーなど電話番号に依存しない手段へ切り替えます。すべてを一度に変えられない場合は、お金が動くサービスから優先します。
日本でSIMスワップ詐欺の被害はどのくらい起きていますか？
警察庁の公表資料によれば、不正送金の被害は2022年1月〜6月が15件・約1億2,000万円、2022年7月〜12月が63件・約2億7,000万円と急増しました。総務省・警察庁の要請を受けた本人確認強化のあと、2023年1月〜6月は4件・約3,400万円に減り、2023年5月以降はSIMスワップによる不正送金被害が確認されていないとされています。
※記事で使用した内容・数値は変更される場合があります。最新情報は公式サイトをご確認ください。