SIMスワップ詐欺は、攻撃者があなた本人になりすまして携帯電話会社にSIMの再発行をさせ、あなたの電話番号を自分の端末へ移してしまう攻撃です。番号を奪われると、銀行やSNSがログイン確認に使うSMS認証コードが攻撃者の端末に届くようになり、パスワードを盗まれていなくてもアカウントごと乗っ取られます。日本でもキャリアのオンライン手続きやショップでの本人確認を突破する手口が報告されており、「気づいたら自分のスマホが圏外になっていた」というのが典型的な被害の入り口です。
SIMスワップ詐欺はどう進むのか
この攻撃は、技術的にスマホをハッキングするのではなく、携帯電話会社の「本人確認」の隙を突く点が特徴です。流れはおおむね次の4段階で進みます。
- 個人情報を集める：氏名、生年月日、住所、電話番号、契約者情報などを集めます。SNSの投稿、過去の情報漏えいデータ、フィッシングメール、なりすまし電話などが情報源になります。SNSに電話番号や個人情報を載せるリスクを軽く見ていると、攻撃者に「なりすましの材料」を無償で渡すことになります。
- 本人確認を偽装してSIMを再発行させる：集めた情報を使い、「スマホを紛失した」「機種変更したい」などと称してキャリアに連絡し、あなたのSIM（またはeSIM）の再発行を申請します。暗証番号や本人確認書類を偽装・入手して確認をすり抜けます。
- 番号が攻撃者の端末に移る：SIMが再発行された瞬間、あなたのSIMは無効になり、電話番号は攻撃者の端末に紐づきます。これ以降、その番号あての通話とSMSはすべて攻撃者側に届きます。
- SMS認証を突破する：攻撃者はあなたのメールアドレスや利用サービスにアクセスを試み、「パスワードを忘れた」手続きやログイン時のワンタイムコードをSMSで受け取ります。SMSを使った二段階認証が乗っ取られる仕組みのとおり、SMS認証は番号を奪われた時点で防御になりません。こうして銀行の送金、SNS、クラウドサービスが次々に乗っ取られていきます。
乗っ取りの兆候に早く気づく
SIMスワップの怖いところは、被害が始まる最初のサインが「スマホの不調」に見えることです。故障や電波障害と思い込んで放置すると、その間に攻撃が進みます。次のような変化が突然起きたら、単なる不具合ではなくSIMを奪われた可能性を疑ってください。
- 使っていた場所なのに、急に自分のスマホが圏外・通話不可になった。「SIMなし」「圏外」の表示が出て回復しない。
- 普段届くSMSや電話が急に届かなくなった。特に銀行やサービスからの認証コードが来ない。
- 心当たりのない「機種変更」「SIM再発行」「パスワード変更」の通知メールが届く。
- SNSや銀行から「新しい端末でログインがありました」という通知が来る。
圏外が続くこと自体が最大の警告サインです。Wi-Fiにつなぎ替えて確認できる場合は、放置せずすぐに次の行動へ移ってください。
今すぐできる対策
被害を受ける前の備えが、そのまま被害の抑止力になります。以下は今日のうちに着手できるものばかりです。
- キャリアの暗証番号と本人確認を強化する：携帯電話会社のマイページや契約情報で、暗証番号（ネットワーク暗証番号や契約用PIN）を推測されにくいものに変更します。誕生日や電話番号の並びは避けます。各社が用意している「本人確認の追加設定」「機種変更・SIM再発行の追加認証」があれば有効化してください。
- SMS認証より認証アプリやパスキーを使う：重要なアカウント（銀行、メール、SNS）の二段階認証を、SMSから認証アプリ（TOTP）やパスキー／セキュリティキーに切り替えます。これらは電話番号に紐づかないため、SIMを奪われても突破されません。SMS認証しか選べないサービスでは、そのアカウントの重要度に応じて残高や連携を見直します。
- 個人情報を安易に出さない：氏名・生年月日・住所・契約情報の組み合わせは、なりすましの材料になります。SNSでの公開範囲を絞り、電話やメールで本人確認情報を求められても即答しない習慣をつけます。不審な着信やSMSは電話番号を検索して素性を確かめ、少しでも怪しければ折り返さないでください。
「自分の情報がどこまで漏れているか」を把握するのも有効です。過去に受けた不審な連絡や手続きは、被害メモの取り方を参考に日付と内容を記録しておくと、いざというときの通報や相談で証拠になります。
乗っ取られたと感じたら
SIMを奪われた疑いがあるときは、スピードが被害額を左右します。次の順序で動いてください。
- すぐにキャリアへ連絡してSIMを停止する：手元のスマホが圏外でも、別の電話やWebのマイページからキャリアのサポートやSIM停止・回線利用停止を申請します。SIM再発行が不正に行われた旨を伝え、回線を止めてもらうことで攻撃者の手元の番号を無効化できます。
- 銀行やSNSのパスワードを変更する：別の安全な端末から、まずメール、次に銀行・決済・SNSの順でパスワードを変更し、二段階認証の設定を確認・再設定します。心当たりのないログインセッションや連携アプリがあれば解除します。金銭被害が疑われる口座は、金融機関にも連絡して取引停止を相談してください。
- 警察に相談・通報する：緊急性の判断に迷う段階や、被害を防ぐための相談は警察相談専用電話#9110へ。すでに不正送金や乗っ取りが進行中で被害が広がっている場合は、ためらわず110に通報してください。相談の際は、圏外になった日時、届いた通知、キャリアとのやり取りなどを時系列で伝えられるよう整理しておくと話が早く進みます。
SIMスワップは「番号さえ奪えば認証を突破できる」という現代の弱点を突いた攻撃です。圏外という小さな異変を見逃さず、SMS頼みの認証を早めに卒業し、疑わしい番号や連絡はその場で確かめる。この3つを習慣にするだけで、乗っ取りの成功率は大きく下げられます。