電話番号の口コミ・評判を調べる
実用・知識

二段階認証のSMSコードが盗まれる4つの手口と守り方

公開日 | 更新日

銀行やSNSのログインで使うSMSのワンタイムコード（認証コード）は、パスワードだけの認証より安全ですが、「SMS認証だから絶対に安全」とは言えません。この記事では、SMSのコードが第三者に渡ってしまう代表的な4つの手口（偽サイトへの入力、SIMスワップ、偽SMSからの不正アプリ、電話網の弱点を突く横取り）と、認証アプリやパスキーへの切り替えなど今日からできる守り方、乗っ取られたときの連絡先を、警察庁・国民生活センター・フィッシング対策協議会・国際電気通信連合（ITU）・米国CISAの公開情報をもとに説明します。

コードが盗まれる主な手口

1. 偽サイトにコードまで入力させる

よく知られているのが、本物そっくりの偽のログイン画面を使う手口です。警察庁によると、偽のメールやSMSは「個人情報の漏えい」「不正アクセス検知」「取引の停止」など切迫感をあおる文面でログインさせようとするものが多く、携帯電話会社・宅配業者・銀行をかたって偽サイトへ誘導する事例が多数確認されています。日本サイバー犯罪対策センター（JC3）は、偽サイトがIDやパスワードだけでなくワンタイムパスワードや秘密の合言葉まで入力させる手口を紹介しています。

コードは本物のサービスが正規に発行したものなので、届いたSMSを見ても不審点に気づきにくいのが厄介な点です。全国銀行協会も、使い捨てのワンタイムパスワードでも「場合によっては犯人側に盗まれて不正利用されることがあります」と注意しています。

2. SIMスワップで電話番号ごと奪う

SIMスワップは、携帯電話の販売店で偽造した本人確認書類を使って本人になりすまし、MNP（携帯電話番号ポータビリティ）やSIMカードの再発行の手続きをして、携帯電話番号そのものを乗っ取る手口です（警察庁）。番号を奪われると、その番号あてのSMSのコードは攻撃者側に届くことになり、SMS認証は役に立たなくなります。

警察庁によると、SIMスワップによるネットバンキングの不正送金が増えたことを受け、令和4年（2022年）9月に総務省と連携して携帯電話会社に販売店での本人確認の強化を要請し、令和5年（2023年）2月までに大手携帯電話会社が対応を完了しました。その結果、令和5年上半期のSIMスワップによる不正送金の被害は激減しました。手口の流れはSIMスワップ詐欺の手口と対策の解説でも確認できます。

3. 偽SMSから不正アプリを入れさせる

宅配便の不在通知や携帯電話料金の未払いを装ったSMSのリンクから、不正なアプリをインストールさせる手口もあります。IPA（情報処理推進機構）は、宅配便業者に加えてau（KDDI）やドコモなど通信事業者をかたる偽SMSを確認しており、Androidを狙う手口では正規のセキュリティアプリを削除させる場合もあるとしています。

国民生活センターには、不正アプリを入れた結果、自分のスマホから同じ偽SMSが多数の宛先に自動送信されて通信料を請求されたケースや、偽サイトで入力したID・パスワード・暗証番号・認証コードなどがキャリア決済で不正利用されたケースが寄せられています。警察庁も、マルウェアに感染するとスマホの電話帳の情報が盗まれたり、自分のスマホが偽SMSの発信源になったりすることがあると説明しています。

4. 電話網の弱点（SS7）を突いてSMSを横取りする

利用者の操作ミスがなくても、携帯電話網の側の弱点が狙われることがあります。国際電気通信連合（ITU）の2019年の報告書によると、SS7（信号方式No.7）は世界中の携帯電話会社を相互につなぐ古い信号網です。かつては免許を持つ携帯電話会社しか入れない「閉じた庭」とみなされていましたが、大量のSMSを配信する事業者やIoT、位置情報サービスの広がりで免許を持たない事業者も接続するようになり、接続の権利がダークウェブで売られています。報告書は、150〜2,500ドルでSS7網に不正に接続できると指摘しています。

同じ報告書によると、SS7などで使われる識別子は認証されておらず、なりすましが可能です。攻撃者は電話番号から相手の居場所を割り出したり、加入者の位置や設定の情報を書き換えて通話やSMSを自分の側で受け取ったりできます。SMSは二段階認証によく使われるため、攻撃者がSMSを盗み見て二段階認証をすり抜けることがあるとしています。報告書は、ITUとGSMAが通信事業者向けの対策の指針を以前から出しているものの、実施率は極めて低いとしています。報告書をまとめた作業部会と欧州ネットワーク情報セキュリティ庁（ENISA）の調査では、対策を実施していた通信事業者はEUで30%未満、途上国で0.5%未満でした。

米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）も2024年12月の指針で、「SMSは暗号化されておらず、通信事業者の網に入り込んだ攻撃者が傍受すれば読める」として、SMSを二段階認証に使わないよう勧めています。この手口への備えとしては、次の対策にある「SMS以外の方式への切り替え」が中心になります。

今すぐできる対策

フィッシング対策協議会は、SMS認証も含めた多要素認証の利用は不正ログインを防ぐのに有効だとしています。SMS認証を「やめる」のではなく、使えるサービスではより強い方式へ一段引き上げるのが基本です。

  • パスキーや認証アプリへ切り替える。CISAは、FIDO方式の認証（セキュリティキーやパスキー）を最も強い多要素認証とし、それほど重要でないアカウントでは、Google AuthenticatorやMicrosoft Authenticatorなどの無料の認証アプリを使うよう勧めています。ただしCISAは、認証アプリのコードは「SMSよりは良いが、フィッシングには弱い」とも書いています。偽サイトに入力すれば盗まれる点はSMSと同じなので、パスキーを選べるサービスではパスキーを優先しましょう。
  • 切り替えたら、SMSの登録を外す。CISAによると、認証アプリを登録してもSMSの登録は自動では外れません。残しておくと弱い抜け道になるため、各サービスの設定で外します。なお、アカウントの復旧手続きではSMSが使われるサービスもあります。
  • コードやパスワードを人に教えない。全国銀行協会は、銀行が電話でパスワードなどを聞き出すことはないとしています。警察庁も、金融機関がIDやパスワードをメールやSMSで問い合わせることはないと明記しています。電話やメッセージでコードを聞かれたら、応じずに切りましょう。
  • メールやSMSのリンクからログインしない。警察庁は、公式サイトをブックマークしておくか公式アプリを使って、正しいサイトに接続するよう勧めています。カード情報を狙う似た手口はクレジットカード不正利用の最新手口にまとめています。
  • 提供元の分からないアプリを入れない。国民生活センターは、SMSのURLにアクセスしてしまっても提供元不明のアプリはインストールしないよう呼びかけています。フィッシング対策協議会も「不必要な権限を要求されたらインストールしない」としています。
  • 携帯電話会社のアカウントも守る。CISAは、SIMスワップ対策として携帯電話会社のアカウントに暗証番号（PIN）と多要素認証を設定するよう勧めています。契約内容を管理するサイトのパスワードを使い回していないかも確認しましょう。

乗っ取られたかもと思ったら

フィッシング対策協議会は、要求した覚えのない認証コードが届いたときは認証情報が不正利用されたおそれがあるとしています。次の順で動いてください。

  1. パスワードを変える。入力してしまったパスワードは必ず変更します（フィッシング対策協議会）。同じパスワードを別のサービスでも使っていれば、そちらも変えます。警察庁はIDとパスワードをサイトごとに変えるよう勧めています。
  2. ログイン履歴と明細を確かめ、事業者に連絡する。ログイン履歴の確認は不正利用の痕跡を見つけるのに有効です。盗まれた情報に応じて、金融機関・カード会社・ショッピングサイトなどに連絡し、アカウントの利用停止などを依頼します。電話番号と認証コードを偽サイトに入力した場合は、身に覚えのないキャリア決済の請求がないか携帯電話会社に確認してください（IPA）。SIMスワップが疑われるときも、すぐ携帯電話会社に連絡します。
  3. 不正アプリを入れてしまったら。国民生活センターは、スマホを機内モードにしてからアプリをアンインストールするよう案内しています。
  4. 偽SMS・偽サイトを報告する。被害メモの残し方を参考に日時・送信元の番号・画面を記録したうえで、フィッシング対策協議会（info@antiphishing.jp またはWebフォーム）へ情報提供します。報告するときはリンクをクリックせず、メールはそのまま転送し、SMSは直接転送できないのでスクリーンショットをメールに添付して送ります。フィッシングサイトのURLは、警察庁が案内する「フィッシング110番（インターネット・ホットラインセンター）」にも通報できます。
  5. 警察に相談する。金銭的な被害が確認されたら、住んでいる都道府県警察のサイバー犯罪相談窓口や最寄りの警察署に連絡してください。急ぎでない相談は#9110（警視庁は「110番の前に『#9』をつけて」と案内しています）、たった今被害に遭ったときは110番です。

SMS認証はあったほうが安全な「追加の壁」ですが、絶対ではありません。パスキーや認証アプリへ切り替え、コードは誰にも教えず、リンクからはログインしない。この3つを守ったうえで、コードを聞き出そうとする電話やSMSが来たら、その場で応じずに番号検索で送信元の番号を調べてください。

参考

この記事は2026年9月に、以下の公開情報をもとに書きました。

※SS7の対策実施率（EUで30%未満・途上国で0.5%未満）は2019年のITU報告書が作業部会とENISAの調査として示した時点の数字で、日本の携帯電話会社の現在の対策状況を示すものではありません。CISAの指針は主に政府高官など標的になりやすい人向けに書かれたものですが、CISA自身がすべての人に当てはまるとしています。各サービスで選べる認証方式は、それぞれの公式の案内で確認してください。

関連記事

← コラム一覧へ戻る

携帯・IP電話

固定電話（主要市外局番）

特番・その他

便利なページ

サイト情報