「身に覚えのないSIM再発行の通知が届いた」「突然スマホが圏外になり、気づいたら銀行口座からお金が消えていた」——SIMスワップ（SIMスワップ詐欺、電話番号乗っ取り）は、利用者の電話番号を攻撃者のSIMカードに移し替え、SMSで届くはずの認証コードを丸ごと奪う手口です。SMS認証を当たり前に使ってきた人ほど、その番号が乗っ取られた瞬間に本人確認の砦が崩れます。
この記事は、まず個人が今日すぐ着手できる対策をチェックリストで示し、続いてSMS認証がなぜ狙われるのか・何に切り替えればよいのかを整理します。そのうえで、自社サービスのログインや本人確認がSMS認証に頼っていて不安な事業者に向けて、SMS認証の穴を塞ぐ手段まで踏み込みます。
まず対策から確認できるよう、手口の詳しい解説は記事の後半で扱います。自分がやるべきことから読み進めてください。
SIMスワップ対策は、個人か事業者かで柱が変わります。まずは全体像を確認してください。
目次
一括ダウンロードする
今すぐできるSIMスワップ対策チェックリスト（個人）
ここからは、個人がSIMスワップの被害を避けるために今日から実行できる対策を、優先度の高い順にまとめます。SIMスワップは、攻撃者が携帯電話会社になりすまして番号を新しいSIMへ移し替える攻撃です。したがって効くのは「番号を移し替えられても被害が広がらない備え」と「なりすましの入口を塞ぐ備え」の2種類になります。
- SMS認証（SMSで届くワンタイムパスワード）への一本足を避ける：銀行・証券・暗号資産・主要SNSは、SMSではなく認証アプリ（ワンタイムパスワード）やパスキー（FIDO2）に切り替えます。SIMスワップで番号を奪われても、電話番号に依存しない認証はそのまま突破されません（後述の認証方式の違いを参照）。
- SNSや公開プロフィールに電話番号・生年月日・メールアドレスをむやみに載せない：攻撃者はなりすましに使う個人情報を、SNSやフィッシングで集めます。公開範囲を見直し、心当たりのないリンクや添付は開かないようにします。
- フィッシングを警戒し、パスワードの使い回しをやめる：ログイン情報が漏れると、番号乗っ取りと組み合わせて悪用されます。パスワードは定期的に見直し、サービスごとに変えます。
- 携帯電話会社のアカウント保護を設定する：各社が提供する暗証番号やアカウントロックを設定し、契約情報の変更やSIM再発行の受付段階で本人確認が働くようにします（各社の具体的な設定はキャリア別の設定で解説します）。
- SIMカードにPIN（暗証番号）を設定する：これはSIMを物理的に抜き取られて別の端末で使われるのを防ぐ設定です。攻撃者が携帯電話会社に「新しいSIMを再発行させる」タイプのSIMスワップそのものは止められないため、あくまで補助的な備えと位置づけてください。
- 金融口座やカードの利用明細を定期的に確認する：早期に異常へ気づけるほど被害を抑えられます。不審な取引を見つけたらすぐ金融機関へ連絡します。
これらの対策の多くは、欧州刑事警察機構（Europol）が公開しているSIMスワップの注意喚起でも推奨されています。SIM PINについても、Europolは「SIMカードへのアクセスを制限するために設定する」と、その目的を物理的な悪用防止として説明しています。SIMスワップ本体を止める中心は、SMS認証からの脱却と携帯電話会社側の本人確認強化にあると理解しておくと、対策の優先順位を間違えません。
出典・参考資料（1件）
- 出典：SIM SWAPPING – A mobile phone scam（Public awareness and prevention guide）｜Europol（Europol）
SMS認証はなぜ狙われる？認証アプリ・パスキー・トークンとの違い
SIMスワップ対策の核心は、「SMS認証をやめて何に替えるか」にあります。SIMスワップが狙うのは、まさにSMSで届く認証コードそのものです。番号を乗っ取れば認証コードも受け取れるため、SMS認証は電話番号という一点に安全を預けている構造だと言えます。
米国国立標準技術研究所（NIST）は、認証に関するガイドライン「SP 800-63B」で、公衆電話網（PSTN）を使ったワンタイムパスワード送達、つまりSMSや音声通話によるコード送信を「restricted（制限付き）」の認証方式に分類しています。禁止ではありませんが、代替手段の提供や利用者への通知が求められる位置づけです。
あわせてNISTは、SIMの交換や番号ポーティングをリスク指標として確認するよう促してもいます。
At the time of publication of these guidelines, there is one restricted authenticator: the use of the PSTN for out-of-band authentication.（本ガイドライン公開時点で、制限付き認証方式は1つ——公衆電話網を用いたアウトオブバンド認証である）
出典：NIST Special Publication 800-63B「Digital Identity Guidelines」§3.2.9｜National Institute of Standards and Technology
一方、パスキー（FIDO2）は、電話番号ではなく公開鍵暗号を使う仕組みです。FIDO Allianceは、パスキーが「常に強力でフィッシング耐性がある（phishing-resistant）」と説明しています。正規サイトのドメインにしか認証情報を出さないため、偽サイトに誘導されても資格情報が渡らず、SIMスワップのように電話番号を乗っ取る攻撃の影響も受けません。
Unlike passwords, passkeys are always strong and phishing-resistant.（パスワードと違い、パスキーは常に強力でフィッシング耐性がある）
出典：Passkeys（Passwordless Authentication）｜FIDO Alliance
主な認証方式を、電話番号への依存とSIMスワップ耐性の観点で並べると次のようになります。
| 認証方式 | SMS認証（SMS OTP） | 認証アプリ（TOTP） | パスキー／FIDO2 | ハードウェアトークン |
|---|---|---|---|---|
| 仕組み | SMSで届くワンタイムパスワードを入力 | アプリが端末内で生成する時間ベースのコードを入力 | 端末内の秘密鍵と公開鍵暗号で署名し、生体認証やPINで解錠 | 専用デバイスが生成・保持する鍵やコードで認証 |
| SIMスワップ耐性 | 弱い 電話番号に依存し、番号を奪われると突破される | 高い 電話番号に依存せず、乗っ取りの影響を受けない | 高い フィッシング耐性があり、電話番号に依存しない | 高い 物理デバイスが必要で、電話番号に依存しない |
| 導入・利用のしやすさ | 高い（電話番号だけで使える） | 中（アプリの導入・初期設定が必要） | 中（対応サービス側の実装が前提） | 低〜中（配布・管理コストがかかる） |
結論として、SIMスワップに強いのは電話番号に依存しない方式です。個人はまず、認証アプリやパスキーに対応しているサービスから優先的に切り替えると、番号を奪われても認証を守れます。
切り替えは、各サービスのアカウント設定やセキュリティ設定で二段階認証の方式を選び、認証アプリ（Google Authenticatorなど）を追加する、対応していればパスキーを登録する、といった手順で行えます。多くのサービスでは、SMS認証を残したまま認証アプリを併用する形から始められます。
出典・参考資料（2件）
- 出典：Digital Identity Guidelines: Authentication and Authenticator Management（SP 800-63B）｜NIST（https://pages.nist.gov/800-63-4/sp800-63b.html）
- 出典：Passkeys｜FIDO Alliance（https://fidoalliance.org/passkeys/）
キャリア別・SIMスワップを防ぐ設定（ドコモ／au／ソフトバンク／楽天モバイル）
携帯電話会社ごとに、SIMスワップ対策として実際に使える設定や手続きを見ていきます。「回線ロック」という共通名称の機能があるわけではないため、各社の実在する設定名で確認してください。共通して効くのは、契約情報やSIM再発行の受付で本人確認を強める設定と、乗っ取り時に自分でアカウントを止められる仕組みです。
NTTドコモ
ドコモには「緊急アカウントロック」があり、アカウントを乗っ取られた場合に、被害の拡大を防ぐためdアカウントを自分で利用停止できます。あわせて、各種手続き時の本人確認に使う「ネットワーク暗証番号」を推測されにくい番号に設定し、「おまかせロック」で紛失時に端末を遠隔ロックできるようにしておくと、受付段階と端末の両面で守りを固められます。
出典・参考資料（1件）
- 参考資料：緊急アカウントロック／ネットワーク暗証番号／おまかせロック｜NTTドコモ（緊急アカウントロックほか）
au（KDDI）
auには、契約時に設定する「ロックナンバー」があり、そのリセットには契約者本人の来店が必要です。SIMカード・eSIMの再発行にも本人確認書類の提示が求められます。受付段階の本人確認が乗っ取りの入口を塞ぐため、ロックナンバーを設定し、他人に知られないよう管理しておくと安全です。
ただし、端末の他社利用可否を切り替える「SIMロック解除」はSIMスワップ対策とは別物です。混同しないよう注意してください。
出典・参考資料（1件）
- 参考資料：ロックナンバー／SIMカード・eSIMのご案内｜au（ロックナンバーほか）
ソフトバンク
ソフトバンクでは、契約時に決める4桁の「交換機用暗証番号」を各種手続きの本人確認に使います。推測されにくい番号へ変更し、My SoftBankのセキュリティ設定を見直しておくと安全です。紛失・盗難に気づいたら、まず回線を止めてから店頭で本人確認書類を提示してUSIMカードを再発行する流れになります。
出典・参考資料（1件）
- 参考資料：USIMカード再発行／暗証番号の設定｜ソフトバンク（セキュリティ設定ほか）
楽天モバイル
楽天モバイルはSIM・eSIMの交換や再発行の手続きを用意しています。過去に身に覚えのないeSIM再発行のリスクが指摘されるなか、2024年5月下旬に再発行手続きの本人確認がSMSのワンタイムパスワード認証に必須化され、6月に複数のメディアで報じられました。
まずは「my 楽天モバイル」にログインするための楽天会員のパスワードを推測されにくいものにし、再発行後にやるべき設定として公式が案内する手順を確認しておくと安全です。
出典・参考資料（3件）
SIMスワップの兆候と、被害に気づいたときの緊急対応手順
ここからは、乗っ取りが起きているサインと、気づいたときに上から順に実行する対応手順を示します。SIMスワップは、番号が攻撃者のSIMに移った瞬間に自分の端末が使えなくなるため、兆候に早く気づけるかどうかが被害の大きさを左右します。
兆候チェックリスト
- 理由もなく突然圏外になり、通話やSMSが使えなくなった
- 身に覚えのないSIM再発行や機種変更の通知が届いた
- 普段使っているアカウントに突然ログインできなくなった、ロックされた
- 身に覚えのない着信・SMS・決済通知、SNSへの見覚えのない投稿がある
- 金融口座に覚えのない取引や残高の減少がある
Europolも「理由もなく携帯電話の受信ができなくなったら、すぐに通信事業者へ報告する」よう促しています。突然の圏外は、単なる通信障害ではなくSIMスワップのサインである可能性を疑ってください。
気づいたらすぐやる緊急対応手順
- 携帯電話会社に連絡し、回線を止める：SIMが乗っ取られた可能性を伝え、回線停止と状況確認を依頼します。別の電話や家族の端末から連絡します。
- 金融機関・カード会社に連絡する：口座やカードの利用を止め、不正な取引がないか確認します。ネットバンキングのパスワードを変更します。
- 主要アカウントのパスワードと認証設定を変更する：メール・SNS・クラウドなど、乗っ取りの起点になりやすいアカウントから順に、SMS以外の認証へ切り替えます。
- 警察に相談する：SIMの乗っ取りが確認できたら、最寄りの警察やサイバー犯罪相談窓口に届け出ます。金銭被害があれば被害届の提出を検討します。
出典・参考資料（1件）
- 参考資料：SIM SWAPPING – A mobile phone scam｜Europol／サイバー事案に関する相談窓口｜警察庁（警察庁 相談窓口）
事業者・企業が取るべきSIMスワップ対策（SMS認証の穴を塞ぐ）
ここからは、自社サービスのログインや本人確認にSMS認証を使っている事業者に向けて、SIMスワップに備えるための対策を整理します。個人の自衛だけでは防ぎきれない部分を、サービス提供側の設計で塞ぐ視点です。
一括ダウンロードする
従業員・役員の乗っ取りが企業アカウント侵害へ波及する経路
SIMスワップは個人の被害にとどまりません。従業員や役員の電話番号が乗っ取られると、その番号に届くSMS認証を突破口に、業務システムやクラウドサービス、社内アカウントへの侵入につながります。特に、経理・財務の担当者や決裁権を持つ役員は標的にされやすく、一人の乗っ取りが組織全体の被害へ波及します。自社の認証がSMS任せになっていないかを点検することが出発点です。
SMS一本足のログイン認証をやめる
NISTがSMS認証を「制限付き」に位置づけているのは前述のとおりです。事業者としては、SMS認証を唯一の砦にせず、認証アプリやパスキー（FIDO2）による多要素認証を選べるようにし、SMSはあくまで補助チャネルとして扱う設計に移すのが基本方針になります。
加えて、ログインの状況（普段と違う端末・地域・時間帯）から不審さを判定するリスクベース認証や、SIMの交換を検知する仕組みを組み合わせると、番号乗っ取りを前提にした防御ができます。
認証アプリやパスキーによる多要素認証を、実際にどの製品で実現するかは、対応する認証方式・料金・自社システムとの連携によって向き不向きが分かれます。主要な多要素認証システムを認証方式やタイプ別の選び方から比較したい場合は、以下の記事で詳しく解説しています。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
SMS認証に代わる方式のひとつに、着信電話認証があります。利用者が指定番号へ発信して発信元番号を照合する方式で、SMSのように盗み取れるコードが存在しない分、フィッシングやリアルタイムの詐取には強くなります。
ただし電話番号そのものに依存する点はSMSと同じで、番号を丸ごと奪うSIMスワップ本体を、単独で防げるわけではありません。
SIMスワップまで見据えるなら、番号に依存しない認証アプリ・パスキーへの移行を軸に、SIM交換の検知やリスクベース認証を組み合わせる前提で認証手段を選ぶことが重要です。この章の後半では、SMS認証を補強・代替できるサービスを整理します。
本人確認（eKYC）受付段階の強化
SIMスワップの多くは、攻撃者が携帯電話会社の受付でなりすまし、本人確認をすり抜けることで成立します。国内では、偽造したマイナンバーカードや運転免許証で店頭の本人確認を突破された事例が報じられました。
携帯電話不正利用防止法は契約時・譲渡時の本人確認を義務づけていますが、偽造身分証への対抗として、ICチップの読み取りによる公的個人認証など、受付段階の本人確認を厳格にする流れが進んでいます。ユーザーを預かる事業者も、なりすましを受付で止める視点を持つことが重要です。
受付段階の本人確認をオンラインで厳格に行う手段が、ICチップ読み取りや公的個人認証に対応したeKYC（オンライン本人確認）です。導入費用・本人確認方式・偽造身分証への不正対策といった観点から自社に合うサービスを見極めたい場合は、以下の記事で選び方まで整理しています。
【2027年法改正対応】eKYCサービス比較おすすめ14選｜導入費用・本人確認方式・不正対策から失敗しない選び方を解説
eKYCサービスの選定にあたり、「選択肢が多く最適解が見えない」「法令対応と不正対策を両立させたいが、導入スケジュールが限られている」といった課題に直面する担当者は少なくありません。 選定の難しさは、単なる機能比較では結論が出ないといった点…
出典・参考資料（1件）
- 参考資料：携帯電話の犯罪利用の防止（携帯電話不正利用防止法）｜総務省（総務省）
従業員へのセキュリティ教育
SIMスワップの入口は、フィッシングやSNSからの個人情報収集です。従業員が不審なメールやSMSのリンクを開かない、業務アカウントの電話番号をむやみに公開しない、といった基本行動の徹底で、なりすましに必要な情報を攻撃者に渡さずに済みます。
事業者としては、こうした基礎教育に加えて、標的にされやすい経理・財務担当や役員といった特権者を重点的に保護する運用（重要アカウントの認証強化・利用状況の監視）が有効です。あわせて、標的型メールを模した訓練や、突然の圏外・不審な再発行通知に気づいた従業員がためらわず情報システム部門へ報告できる連絡フローの整備まで踏み込むと、被害の早期発見につながります。
SMS認証を補強・代替する主なサービス
ここからは、SMSでコードを送るだけの方式から一歩踏み出せるサービスを整理します。対象は、SMSのように盗まれるコードが無いコードレスの電話番号認証（着信認証）や、複数チャネルを束ねた多要素認証、一部にリスクベース認証やSIM交換検知を備えたサービスです。
前述のとおり電話番号を使う方式はSIMスワップ本体を単独では防げないため、番号に依存しない認証アプリ・パスキーとの併用を前提に、SMS一本足から抜け出す第一歩として比較してください。
SMS認証そのものの仕組みや本人確認の進め方、主要なSMS認証サービスの比較を基礎から押さえたい場合は、以下の記事で選び方まで解説しています。自社の認証をSMS一本足から見直し、SMSを補助的なチャネルとして併用する際の検討材料にもご活用ください。
SMS認証サービスとは？本人確認のやり方・メリットとおすすめ8選を徹底比較【2026年版】
「自社サービスへの不正ログインやなりすましを防ぎたいが、本人確認の手間を増やしてユーザーに離脱されたくない」。会員サイトやアプリ、基幹システムへの二段階認証の導入を検討する担当者から、よく聞かれる悩みです。 その有力な選択肢が、携帯電話番号…
| サービス名 | 電話認証サービス（TISI） | 二段階認証（ジンテック） | Vonage Verify | NTT CPaaS | i-dentify |
|---|---|---|---|---|---|
| 主な認証方式 | 着信認証（発信元番号を照合） SMS・システム発信はオプション | SMS認証／IVR／発番認証（着信認証）を 1つのAPIで選択 | SMS／音声（国内提供で確認） サイレント認証等はグローバル機能 | SMS／音声（IVR）／着信番号認証／ メール認証をAPIで選択 | 着信電話認証（発信元番号を照合） SMS認証はオプション |
| コードレス認証（OTP詐取耐性） | ●主方式はコード送受信なし | ●発番認証を選べばコード入力不要 | △サイレント認証はグローバル機能、国内提供は要確認 | ●着信番号認証を選べばコード入力不要 | ●主方式はコード入力・着信待ち不要 |
| SIM交換検知 | × | × | △SIM Swap Insightはグローバル提供、国内提供は要確認 | × | × |
| 提供形態 | クラウド型API | API | CPaaS（REST API） | CPaaS（SMS/音声/メール統合） | SaaS/ASP・API連携 |
| 料金 | 要お問い合わせ | 要お問い合わせ | 認証成功7.5円/回＋送信料 （初期・月額なし、国内KWC PLUS） | 認証API無料＋送信料は従量 （初期費用なし・60日無料トライアル） | 要お問い合わせ |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. 電話認証サービス（TISI株式会社）
TISI株式会社（旧インテック）が提供する電話認証サービスは、認証コードを送受信しない電話番号認証を軸にしています。利用者が指定の番号へ発信し、発信元の電話番号を登録済みの番号と照合する着信認証型が主な方式で、コードの送信・受信・入力という工程が存在しないため、SMSのワンタイムパスワードを盗み取るタイプの攻撃が構造的に成立しません。
2025年にはリアルタイムのフィッシング対策、2026年には取引ごとに認証を挟むトランザクション認証を追加しています。PayPay銀行での採用実績があり、金融サービスの本人認証に対応した設計です。料金は要お問い合わせです。
2. 二段階認証による不正アクセス対策支援（株式会社ジンテック）
株式会社ジンテックの「二段階認証による不正アクセス対策支援」は、SMS認証・IVR（自動音声）・発番認証（着信認証）を1つのAPIで選んで組み込めるのが特徴です。発番認証は前述の着信認証と同じくコード入力を伴わない方式で、SMSのコード詐取に強い代替手段です。
銀行・カード会社・保険会社・証券会社といった金融機関を含む導入実績があり、ISMS認証を取得した運用基盤で提供されています。用途に応じて認証方式を切り替えられるため、SMS一本足からの移行を段階的に進めたい事業者に向いています。料金は要お問い合わせです。
3. Vonage Verify（Vonage／国内提供：KDDIウェブコミュニケーションズ）
Vonage Verifyは、グローバルCPaaS大手のVonage（Ericsson傘下）が提供する電話番号認証APIで、国内では株式会社KDDIウェブコミュニケーションズが「KWC PLUS」ブランドで提供しています。電話番号を渡すだけで、複数チャネルにわたる本人確認を実装できます。
Vonageはグローバルでは、SIMの交換履歴を検知するSIM Swap Insightや、SIMを暗号的に検証するサイレント認証といった不正対策機能も展開しています。ただし、これらSIMスワップ関連機能の国内提供の有無は個別確認が必要です。
KWC PLUS経由の国内料金は初期費用・月額なし、認証成功1回あたり7.5円（2026年9月時点）と公開されています。導入時は国内提供窓口に対応範囲を確認してください。
4. NTT CPaaS（NTTドコモビジネスX株式会社）
NTT CPaaSは、SMS・音声・メールといった複数チャネルをAPIで統合できるCPaaSで、認証の観点ではSMS認証・音声認証・着信番号認証・メール認証を1つのプラットフォームで扱えます。着信番号認証は、利用者が専用番号へ発信して発信元番号を照合する方式で、コード入力を必要としません。
ワンタイムパスワードの生成・送信・照合までを担う認証API機能は追加料金なしで提供され（通信チャネルの送信料は従量課金）、60日間の無料トライアルが用意されています。SMS一本足を避けて複数方式を併用したい事業者が、段階的に構成を見直す土台にできます。
5. i-dentify（株式会社スカラコミュニケーションズ）
i-dentifyは、株式会社スカラコミュニケーションズが提供する着信電話認証サービスです。利用者が指定番号へ発信し、その発信元番号を照合して本人確認を行うため、コードの入力や着信の待機が不要で、SMSのワンタイムパスワードに頼らない認証を実現できます。SMS認証のオプションも用意されています。
電話番号を持っていれば専用アプリなしで使える手軽さがあり、SMSコードの詐取を避けたい場面での代替手段になります。料金や導入実績の詳細は公開されておらず、要お問い合わせです。
SIMスワップの手口・国内事例・背景
最後に、対策の前提となる手口と背景を確認します。仕組みを押さえておくと、なぜSMS認証からの脱却と受付段階の本人確認が効くのかが腑に落ちます。
SIMスワップの仕組み（電話番号乗っ取りの流れ）
SIMカードは、電話番号と契約者情報を結びつける小さなカードです。SIMスワップは、この番号を攻撃者が用意した別のSIMへ移し替えることで、通話・SMSの受信を丸ごと奪う攻撃を指します。番号が移れば、SMSで届く認証コードも攻撃者の手元に届くようになります。
攻撃の多段フロー
典型的な手口は、複数の段階を踏みます。Europolも同様の流れを説明しています。
- フィッシングやSNS、情報漏えいなどから、標的の個人情報を集める
- 集めた情報で携帯電話会社になりすまし、SIMの再発行や番号ポーティングを申請して本人確認を突破する
- 攻撃者のSIMに番号が移り、通話・SMSを受け取れるようになる
- SMSで届く認証コードを使い、二段階認証を回避する
- 銀行口座・SNS・暗号資産ウォレットなどへ不正アクセスし、資金や情報を盗む
国内外の被害事例と被害統計
国内では、2024年に地方議員がSIMスワップの被害を公表し、偽造されたマイナンバーカードを使って店頭で機種変更されたと報じられました。2023年には、偽造した免許証でSIMを再発行させ、ネットバンキングから不正送金したとして女が摘発されています。海外では、旧Twitter（現X）の元CEOのアカウントが乗っ取られた事例が広く知られています。
出典・参考資料（2件）
SIMスワップ単独の被害額を集計した公式統計はありませんが、その入口となるフィッシングと、結果として起きる不正送金の規模は公表されています。
警察庁によると、令和6年（2024年）のフィッシング報告件数は171万8,036件にのぼります。インターネットバンキングに係る不正送金の発生件数は4,369件、被害総額は約86億9,000万円で、その手口の9割をフィッシングが占めています。SIMスワップは、こうしたフィッシングを入口に、SMS認証を突破して不正送金へつながる攻撃の一つとして位置づけられます。
まとめ
SIMスワップは、電話番号という一点にぶら下がったSMS認証の弱さを突く攻撃です。個人はまず、SMS認証を認証アプリやパスキーに切り替え、携帯電話会社のアカウント保護を設定し、フィッシングを警戒することから始めてください。SIMのPIN設定は物理盗難への備えであり、SIMスワップ本体はSMS認証からの脱却と受付段階の本人確認で防ぐ、という優先順位を押さえると迷いません。
事業者は、自社サービスの認証がSMS任せになっていないかを点検し、番号に依存しない認証アプリ・パスキーによる多要素認証への移行を軸に、コードレスの電話番号認証やリスクベース認証・SIM交換検知を組み合わせて、SMS認証の穴を塞ぐ設計へ移すことが求められます。SMS認証を補強・代替するサービスの資料を比較し、自社に合う方式を見極めるところから着手するとよいでしょう。
一括ダウンロードする
よくある質問（FAQ）
Q. SIMスワップ（SIMスワップ詐欺）とは何ですか？
A. SIMスワップとは、攻撃者が利用者の電話番号を自分が用意したSIMカードへ移し替え、SMSで届く認証コードごと乗っ取る詐欺です。携帯電話会社になりすまして番号を再発行・移管させることで、通話やSMSの受信を丸ごと奪い、SMS認証に守られていた銀行・証券・暗号資産・SNSなどのアカウントへ不正アクセスします。電話番号乗っ取りとも呼ばれます。
Q. SIMスワップとフィッシングはどう違うのですか？
A. SIMスワップは電話番号そのものを乗っ取る攻撃で、フィッシングは偽サイトやメールで個人情報をだまし取る手口という違いがあります。両者は対立するものではなく、SIMスワップの多くは、フィッシングで集めた個人情報を使って携帯電話会社の本人確認を突破する形で実行されます。フィッシングが入口、SIMスワップがSMS認証の突破口、という関係で組み合わさると理解しておくと、対策の全体像がつかめます。
Q. SIMスワップ対策として、SMS認証はもう使ってはいけないのですか？
A. SMS認証は禁止されているわけではありませんが、唯一の認証手段として頼るのは避けるべきです。米国国立標準技術研究所（NIST）は、SMSによるコード送達を「制限付き（restricted）」と位置づけ、使用は認めつつ代替手段の提供を求めています。
銀行・証券・暗号資産など重要なアカウントは、電話番号に依存しない認証アプリ（TOTP）やパスキー（FIDO2）へ切り替え、SMSは補助的なチャネルにとどめるのが安全です。
Q. 格安SIMやeSIMはSIMスワップに弱いのですか？
A. 格安SIMやeSIMが一律に危険なわけではなく、リスクは契約先の本人確認手続きの厳格さによって変わります。ただし、eSIMは物理カードの差し替えが不要でオンラインで再発行できる分、その手続きが乗っ取りの経路になりうる点には注意が必要です。
実際、楽天モバイルでは身に覚えのないeSIM再発行のリスクが指摘され、2024年に再発行手続きのセキュリティが強化されたと報じられています。どの回線でも、アカウント保護の暗証番号設定と再発行時の本人確認の仕組みを確認しておくことが大切です。
Q. SIMにPIN（暗証番号）を設定すればSIMスワップは防げますか？
A. SIMのPIN設定だけではSIMスワップは防げません。SIM PINは、SIMカードを物理的に抜き取られて別の端末で使われるのを防ぐための設定です。SIMスワップの主流は、攻撃者が携帯電話会社になりすまして「新しいSIMを再発行させる」手口のため、手元のSIMにPINをかけても阻止できません。
SIMスワップ対策の中心は、SMS認証からの脱却と、携帯電話会社側のアカウント保護・受付段階の本人確認の強化にあります。
Q. SIMスワップの被害に遭ったら、キャリアや銀行は補償してくれますか？
A. 補償されるかは状況によって異なり、必ず補償される保証はありません。ネットバンキングの不正送金については、預金者保護の観点から金融機関が補償に応じる場合がありますが、利用者側の過失の有無などを踏まえて個別に判断されます。
被害を最小化するには、乗っ取りに気づいた時点で速やかに携帯電話会社と金融機関へ連絡し、警察へ相談することが重要です。補償を当てにするのではなく、SMS認証からの切り替えなど事前の防御を優先してください。
Q. 個人と事業者では、SIMスワップ対策はどう違うのですか？
A. 個人は「自分のアカウントを守る自衛」、事業者は「顧客・従業員を守るサービス設計」という違いがあります。個人は、SMS認証を認証アプリやパスキーへ切り替え、携帯電話会社のアカウント保護を設定し、SNSでの個人情報の露出を減らすことが中心になります。
一方、事業者は、自社サービスのログインをSMS一本足にしない多要素認証やリスクベース認証の導入、SIM交換の検知、受付段階の本人確認（eKYC）強化、従業員教育まで、提供側の設計で穴を塞ぐ視点が求められます。従業員・役員の乗っ取りが企業アカウント侵害へ波及する経路も想定しておく必要があります。
SMS認証サービスの資料・料金を一括チェック
MCB FinTechカタログでは、SMS認証・電話番号認証サービスの最新資料をまとめて取り寄せられます。SMS認証の穴を塞ぐ代替・補強手段を比較検討したい事業者は、下記から複数サービスの資料を一括で請求し、自社の要件に合う方式を見極める材料にご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
