本記事にはアフィリエイト広告（PR）を含む場合があります。
電話番号は、いまや本人確認の中心に置かれています。取引所へのログイン、パスワードの再発行、出金時の承認。その多くが、SMSで届く数桁の数字によって守られています。一方で電話番号は端末に固定されたものではなく、契約者情報の手続きによって別のSIMカードへ移せる仕組みになっています。SIMスワップ詐欺は、この構造上の隙をそのまま突く攻撃です。
この記事では、攻撃者が電話番号を奪うまでの流れ、SMS認証が他の方法より弱いとされる理由、そして今日のうちに設定できる対策を優先順に並べます。読み終えるころには、自分の口座で最初にどこを直せばよいかがはっきりし、「圏外になった」という不可解な瞬間に固まらずに動けるようになります。
携帯各社が公開している契約変更の手続き要件と、主要な取引所が案内している二段階認証の設定項目を突き合わせ、利用者側だけで完結できる対策に絞りました。順に見ていきましょう。
SIMスワップ詐欺とは何か
SIMスワップ詐欺は、攻撃者が契約者本人になりすまして携帯会社にSIMカードの再発行や他社への乗り換えを申請し、電話番号を自分の手元のSIMへ移してしまう手口です。番号が移った瞬間から、本来の契約者の端末は圏外になり、SMSと通話は攻撃者側に届くようになります。
この攻撃が成立するのは、多くのサービスが電話番号を本人であることの証明として扱っているためです。パスワードを忘れた場合の再設定、二段階認証、出金先の追加。これらの関門がすべてSMSで守られていると、電話番号を一つ奪うだけで、口座全体の鍵を渡したのと同じ状態になります。
なりすましに使われる材料は、氏名、生年月日、住所、電話番号、契約時の暗証番号といった情報です。過去の情報漏洩で流通しているデータや、SNSに書かれた誕生日や実家の地名などが組み合わされ、窓口での質問に答えられるだけの内容が準備されます。技術的に高度な侵入というより、手続きの穴を通す社会工学的な攻撃だと理解しておくとよいでしょう。
被害はどう進むのか、時系列で見る
被害者から見えるのは、ほとんどが第三段階以降です。それより前は、いつもと変わらない日常が続きます。
| 段階 | 攻撃者の行動 | 利用者から見える現象 |
|---|---|---|
| 1 | 漏洩データやSNSから個人情報を集める | 変化なし |
| 2 | 携帯会社へSIM再発行や乗り換えを申請する | 変化なし（通知が届く場合もある） |
| 3 | 番号が攻撃者のSIMへ切り替わる | 突然圏外になる、通話とSMSが届かない |
| 4 | SMS認証を突破し、パスワードを再設定する | 身に覚えのない通知メールが届く |
| 5 | 出金先を追加し、資産を移す | 残高が減っている |
三段階目の「突然の圏外」は、単なる通信障害と区別がつきにくい現象です。しかし、周囲の人の端末は通じているのに自分だけ圏外が続く場合、それは電波の問題ではなく回線そのものが手元から離れた合図かもしれません。ここで数時間放置してしまうかどうかが、被害額を大きく左右します。
SMS認証だけでは危ないとされる理由
二段階認証は「知っているもの」に「持っているもの」を足す仕組みです。ところがSMSで受け取るコードは、厳密には端末という物理的なモノに結び付いておらず、契約に結び付いているにすぎません。契約情報が書き換われば、持ち主が変わってもコードは届きます。ここが認証アプリや物理キーとの決定的な差です。
| 認証の方法 | 何に紐づくか | SIMスワップへの耐性 |
|---|---|---|
| SMSで届くコード | 回線契約 | 弱い（番号が移れば突破される） |
| 認証アプリの数字コード | 設定した端末内の秘密情報 | 強い（端末を持たない限り生成できない） |
| 物理セキュリティキー | 手元の鍵デバイスとサイトの組み合わせ | 非常に強い（偽サイトでは反応しない） |
加えて、認証アプリでも偽サイトに数字を入力させられれば突破され得ますが、物理セキュリティキーはアクセス先のドメインが違うと署名そのものを行いません。偽サイトへの入力という人為的なミスを、仕組みの側で吸収してくれる点が大きな違いです。
今すぐできる対策（優先順）
携帯会社側にロックをかける
最初に手を付けるべきは、取引所ではなく回線契約のほうです。多くの携帯会社は、契約内容の変更やSIM再発行に必要な暗証番号の設定、他社への乗り換えを一時的に制限する設定、店頭手続きに追加の確認を求める設定などを用意しています。名称や提供状況は会社ごとに異なるため、契約中の会社の公式ページで現在の申し込み画面を確認してください。ここを締めておくと、攻撃の入口そのものが塞がります。
二段階認証を認証アプリへ移す
次に、口座を持っているすべての取引所で、二段階認証の方式をSMSから認証アプリへ切り替えます。手順はおおむね共通で、設定画面から二段階認証を選び、表示された二次元コードを認証アプリで読み取り、生成された数字を入力して有効化します。ビットバンクやGMOコインなど、国内の主要な取引所は認証アプリでの設定に対応しており、設定画面の場所は各社の公式ヘルプに掲載されています。
切り替えの際に表示されるバックアップ用のコードは、必ず紙に控えて端末とは別の場所に保管してください。端末を紛失したとき、これが唯一の復旧手段になります。スクリーンショットで端末内に残すのは、端末ごと失う場面を想定すると避けたい方法です。
物理セキュリティキーを使う
資産額が大きい場合や、取引所に加えてメールアカウントも守りたい場合は、物理セキュリティキーの導入を検討する価値があります。主要なメールサービスや一部の取引所が対応しており、対応状況は各サービスのセキュリティ設定画面で確認できます。対応製品の一覧を見ると価格帯の幅が分かりますが、紛失に備えて二本を登録し、一本は自宅に保管するのが定石です。
電話番号を復旧手段から外す
見落とされがちなのが、パスワード再設定の経路です。二段階認証を認証アプリに変えても、「パスワードを忘れた場合はSMSで再設定」という抜け道が残っていれば、防御は迂回されます。取引所とメールサービスの両方で、登録済みの復旧用電話番号を確認し、削除できるものは削除してください。メールアカウントは口座の親鍵にあたるため、ここを守ることが最も効率のよい対策になります。
資産の置き場所を分ける
そもそも取引所に置いておく額を減らせば、乗っ取られたときの上限が下がります。日常的に売買する分だけを口座に残し、長期保有分は自分で鍵を管理するハードウェアウォレットへ移す。この分離は、SIMスワップに限らずあらゆる乗っ取りに効きます。口座と保管場所の役割分担は投資戦略のカテゴリでも扱っているテーマです。
「突然圏外になった」ときの初動
心当たりのない圏外が十分以上続き、周囲の端末は通じている。その状況では、次の順で動いてください。時間との勝負になります。
- Wi-Fiに接続し、取引所とメールに不審なログイン通知が来ていないか確認する。
- 家族の端末や固定電話など別の回線から携帯会社に連絡し、回線の状態と直近の手続き履歴を確認する。不正な手続きがあれば即時停止を依頼する。
- 取引所のサポートへ連絡し、出金の停止とアカウントの一時ロックを依頼する。
- メールアカウントのパスワードを変更し、ログイン中の端末をすべてログアウトさせる。
- 時刻、圏外になった時間、届いた通知のスクリーンショットを保存する。後の手続きで証拠になります。
- 被害が確認できたら、警察のサイバー犯罪相談窓口へ相談する。
やってはいけないのは、届いたメールに書かれたリンクから対応を進めることです。攻撃の最中には、混乱に乗じた偽の案内が同時に届くことがあります。手口の見分け方は詐欺の見分け方のまとめにも整理しています。
よくある質問（FAQ）
格安の通信会社を使っていると狙われやすいですか
会社の規模そのものより、手続きの本人確認がどれだけ厳格かによります。オンライン完結の手続きが多い場合は、書類の偽造だけで通ってしまう余地が相対的に大きくなるとされています。
契約中の会社が提供している変更制限や暗証番号の設定を有効にしているかどうかのほうが、実際の防御力を左右します。
認証アプリに切り替えれば完全に安全ですか
SIMスワップに対しては大きく強くなりますが、偽サイトに数字を入力してしまう手口や、端末そのものを乗っ取る不正アプリには依然として弱さが残ります。
物理セキュリティキーの併用と、パスワードの使い回しをやめること。この二つを足して、はじめて実用上十分な水準になります。
すでに被害に遭った資産は取り戻せますか
ブロックチェーン上の送金は取り消せないため、送られた分をそのまま戻すことは基本的にできません。ただし取引所を経由した資金が凍結され、返還につながる例もあります。
だからこそ、圏外に気づいた時点で出金停止を依頼する初動が重要になります。時間の経過とともに追跡は難しくなります。
これから口座を作る場合、最初に何を設定すべきですか
口座開設の直後に、二段階認証を認証アプリで設定し、復旧用の電話番号を登録しないところまでを一続きで済ませてください。あとから直すより手間がかかりません。手順の全体像は仮想通貨の始め方ガイドにまとめています。
免責事項：本記事は一般的な情報提供を目的としており、投資助言ではありません。最新の情報は公式情報をご確認ください。
