SIMスワップ攻撃とは？暗号資産保有者が狙われる仕組み

SIMスワップ攻撃とは、犯罪者によってあなたの電話番号が彼らが管理するSIMカードに移管される手口です。2024年には、FBIのインターネット犯罪苦情センター（IC3）に982件のSIMスワップ関連の苦情が寄せられました。番号が移ると、通話やテキストメッセージは攻撃者へ届き、すべてのSMSログインコードとパスワード再設定リンクも同様になります。

FCC（米連邦通信委員会）は2023年11月、米国の無線通信事業者に対し、番号を新しいSIMまたはキャリアへ移す前に顧客の本人確認を求める規則を採択しました。2026年10月中旬、つまり1,065日が経過した時点でも、事業者はまだ遵守する必要がありませんでした。コンプライアンス期限はFederal Register（官報）に掲載されておらず、両規則のeCFR条文には依然として、期限が定められるまで遵守は猶予されると記されていました。

SIMスワップ攻撃はどのように機能するのか？

SIMスワップ攻撃は、通信事業者の担当者を欺くか、買収することで成立します。FBIの2022年2月の一般向け注意喚起では、その経路が示されています。犯罪者は被害者を装って番号の切替を引き出したり、キャリア従業員に賄賂を渡して実行させたり、あるいはキャリアスタッフをフィッシングして不正な切替を行うマルウェアを導入させたりします。

切替が完了すると、被害者の通話とテキストメッセージは犯罪者の端末に届きます。その後、犯罪者はメールや金融アカウントで「パスワードをお忘れですか」による再設定を依頼し、一回限りの認証コードは、もはや被害者が制御できない番号へ短信として到着します。

ポートアウト詐欺は異なる入り口から同じ結果に至ります。攻撃者は被害者の名前で別のキャリアに契約を開設し、そこへ番号を移管させるため、被害者自身のキャリアではSIMの変更は一切発生しません。

SIMスワップ詐欺は、キャリアへの連絡よりはるか以前、攻撃者があなたになりすますために必要な個人情報の収集から始まります。FINRAの例では、あなたがSNSに投稿した情報が、発信者が本人であるとプロバイダーを納得させるために利用されます。

トレーダーもキャリアスタッフと同様のフィッシングを受けます。偽メールや模倣ログインサイトを通じて行われます。Phemex Academyでは、暗号資産におけるフィッシングの手口と防止策について解説しています。

なぜSIMスワッパーは暗号資産保有者を狙うのか？

FBIの警報は、SIMスワッピングを「法定通貨および仮想通貨アカウント」からの窃盗手段として位置づけていました。FINRAは、携帯電話番号が金融サービスのログインにおいて「顧客本人確認の鍵となっている」ため、電話番号が侵入経路になると説明しています。SMSコードで口座を開け、短信経由のリセットリンクからは、他のすべての再設定が届くメール受信箱へアクセスできます。

また、ブロックチェーン送金にはチャージバック（取消し）がないため、攻撃者が引き出したコインは取引が確定した時点で失われます。

一方、セルフカストディ・ウォレット内の秘密鍵には、SIMスワップでは直接到達できません。鍵はウォレット内に存在し、SIM上にはないからです。ビットコインの公開鍵と秘密鍵では、なぜその鍵こそがコインを動かすのかを解説しています。危険なのは、メールやクラウドメモに保存された秘密鍵やシードフレーズのコピーであり、ハイジャックされた電話番号を通じてパスワードリセットによりそこにアクセスされる可能性があります。

SIMスワッピングはどれほど一般的なのか？

IC3は2022年からSIMスワップを独自の犯罪類型として集計しており、年次報告書には以下の系列データが含まれています。

2024年IC3年次報告書の3年間の表によると、苦情件数は2022年のベース値2,026件から51.53%減少し、報告された損失額は7,265万ドル超から64.24%減少しました。

これらは人々が自主的に提出することを選んだ苦情であるため、実際の被害はこれを下回ることはありません（下限値となります）。IC3に届けられなかった攻撃はカウントに含まれません。

FBIの2022年の警報では、このカテゴリが存在する以前の数字も示されていました。2018年から2020年にかけて320件の苦情があり、調整後損失は約1,200万ドル、続いて2021年には1,611件の苦情と6,800万ドル超の損失が記録されました。これらの数値は別の集計に基づいており、年次系列には組み込まれていません。

2024年には、60歳以上の人々が982件中205件の苦情を提出し、634万2,000ドルの損失を報告しました。これは同年の総額2,598万ドルの24.41%にあたります。

米国の通信事業者にSIMスワップ阻止の義務はあるか？

いいえ、2026年10月中旬時点ではありません。ただし、FCCは2023年11月15日に米国の無線通信事業者向けのSIMスワップおよびポートアウト規則を採択しました。建前上、Federal Registerの規則は、SIM変更やポートアウトの前に安全な方法で顧客の身元を確認し、いずれかが要求された際に直ちに顧客へ通知することを事業者に求めています。

免除措置がこのギャップを説明しています。2024年7月5日、FCCの有線競争局は、OMBが審査を終え、「委員会が遵守期限を発表するNoticeをFederal Registerに掲載する」までの間、「規則全体」の遵守を免除しました。OMBは2025年1月15日にSIM変更に関する情報収集とそのポートアウト対応物を承認しましたが、残る欠落ステップは官報での告知でした。

2026年10月中旬までに、その承認から638日、約21ヶ月が経過していました。SIM変更規則のeCFR本文には、依然として遵守は「本項が削除されるか、遵守期限が含まれるようになるまで」必要ないと記載されており、ポートアウト規則にも同じ文言があります。6つのSIM変更保護と4つのポートアウト保護は、引き続き「[Reserved]」のプレースホルダーのままです。

2024年以降にFederal Registerで公開されたFCC文書で、その期限を設定したものはありません。また、免除命令はFederal Registerを掲載が必要な場所として指定しています。2026年8月に公開された政府の統一アジェンダ内のFCC項目では、次のアクションは未定とされています。

遵守期限が現れるまで、有効な保護策は自分で設定するものに限られます。

SIMスワッピングは違法か？

はい、そして2025年の連邦事件は検察がいかにそれを起訴するかを示しています。2024年1月9日、誰かがSECのX（旧Twitter）アカウントを乗っ取り、同機関がスポットビットコインETFを承認したかのように投稿しましたが、実際には承認していませんでした。

SECは2024年1月22日、無許可の第三者が「明らかな『SIMスワップ』攻撃により、アカウントに関連付けられたSECの携帯電話番号の支配権を獲得した」と述べました。多要素認証は「スタッフの要請により、2023年7月に」オフになっていたため、番号の支配により攻撃者はアカウントのパスワードを再設定できました。

司法省は2025年5月、アラバマ州在住の男性が関与について禁錮14ヶ月の判決を受けたと発表しました。彼は、悪質な身元盗難およびアクセデバイス詐欺の共謀罪で有罪を認めました。

番号を取得するため、彼はIDカードプリンターを使用して被害者名義の偽造IDを作成し、その被害者を装いました。司法省によれば、虚偽投稿の直後にビットコイン価格は1,000ドル以上上昇し、訂正後には2,000ドル以上下落しました。

SIMスワップ被害にあったかどうかを見分ける方法は？

通常、最初の兆候は電話が不通になることです。FCCの2023年命令では、電話が「真っ暗になるか、911発信のみが可能になる」ことが、SIMスワップまたはポートアウト詐欺が発生した際の典型的な第一信号であるとされています。

FINRAはさらに多くのレッドフラグを挙げており、まず自分が追加していないにもかかわらず、新しいデバイスまたは番号がアカウント上でアクティブ化されたというアラートが挙げられます。突然失敗するログインや、予期しない通話・テキストメッセージの急増も同じリストに含まれます。

コードやシードフレーズの読み上げを求めるメッセージ自体が警告サインです。Phemex Safety Hubの4つのアカウントチェックまとめでは、Phemexスタッフが2FAコードやシードフレーズを決して求めないことを明確にしています。

SIMスワップ攻撃を防ぐ方法

盗まれた電話番号が空になった口座へとつながるのを防ぐための4つのステップがあります。

1. ログインからSMSを外す：二要素認証を、可能な限り認証アプリやハードウェアセキュリティキーへ切り替えます。FBIの警報は「生体認証、物理セキュリティトークン、またはスタンドアロンの認証アプリケーション」を推奨しています。NISTの2025年7月のデジタルアイデンティティガイドラインは、電話ネットワーク経由で送信されるコードを「制限付きオーセンティケーターのひとつ」としてリストアップしており、組織が付加的リスクを受け入れる場合のみ使用可能です。

2. キャリア側で番号をロックする：FINRAが助言するように、無線アカウントにPINまたはパスコードを設定し、キャリアが提供している場合はSIM変更またはポートアウトのロックを依頼します。FCCの規則はキャリアにそのロックを提供させるものですが、遵守期限が来るまでは、依頼することが現状で可能なすべてです。

3. 保有状況をソーシャルメディアに公開しない：FBIの警報における最初のヒントです。公的な自慢話は、攻撃者に誰の番号を狙えばよいかを教えてしまうことになります。

4. シードフレーズをオフラインで保管する：紙や金属などに保存し、ハイジャックされた電話番号がリセット可能なメールやクラウドノートから遠ざけます。Academyのシードフレーズとウォレットのバックアップ方法では、安全な保管方法を扱っています。

Phemexは重要なアカウント操作に対して2FAを必須としており、コードはデバイス上の認証アプリから生成されます。これは、Phemexが高度なアカウント保護をどのように実装しているかを説明するPhemexの高度なアカウント保護と暗号資産の安全性の記事に記載されています。同じログインチェックはPhemex先物にも適用され、BTCUSDT永久先物は最大150倍のレバレッジで運用されます。先物取引はレバレッジを使用し、損失が証拠金に達した場合、レバレッジポジションは自動的に決済されます。

SIMスワップ後にすべきことは？

素早く行動してください。番号が攻撃者のものになっている間、彼らはあなたのパスワードリセットを次々と処理しています。FBIの警報とFINRAのガイダンスは同じ手順を指しています。

5. 他の電話からキャリアに連絡し、番号を取り戻してください。

6. パスワードを変更してください。まずはメールから始め、次に番号に関連付けられた取引所や銀行口座を行います。

7. 銀行や取引所に、不審なログインや出金に対してアカウントにフラグを立てるよう依頼してください。

8. 攻撃をIC3および地域の法執行機関に報告し、FINRAが提案するようにFTCにも申し立てを行ってください。

シードフレーズがメールやクラウドストレージに置かれていたウォレットは、露出したものとみなすべきです。そのため、新しいフレーズを持つ新しいウォレットへコインを移動させてください。IC3に提出したすべての報告は、この問題を追跡する年間統計にも反映されます。

よくある質問

SIMスワッピングとは何ですか？

SIMスワッピングはSIMスワップ攻撃の別名です。犯罪者がキャリアを説得または買収してあなたの電話番号を自分たちが持つSIMカードへ移管し、着信テキストを利用してパスワードをリセットし、SMSログインチェックを通過します。

SIMスワッピングは今も起きていますか？

はい。IC3は2024年に982件のSIMスワップ苦情を受け取り、報告された損失額は2,598万ドルでした。これらの数値は苦情を提出した被害者のみをカバーしているため、攻撃件数の下限にとどまります。

SIMスワッピングは違法ですか？

はい。2024年1月のSECのハイジャックされたXアカウントの背後でSIMスワップを実行した男性は、悪質な身元盗難およびアクセデバイス詐欺の共謀罪で有罪を認め、2025年5月に連邦刑務所で14ヶ月の刑を受けました。

eSIMでもSIMスワッピングは起こり得ますか？

はい。FCCの規則はSIMを「物理的または仮想的なカード」と定義しており、FINRAは、プロバイダーを騙して本人だと信じ込ませた攻撃者がeSIMを自分のデバイスへ移動させ得ると警告しています。

結論

SIMスワップ攻撃に対するあらゆる防御策は、スワップをより困難にするか、無価値にするかのどちらかです。困難にするのはキャリアの仕事であり、上記のカレンダーはその仕事がどれだけ長く待たされているかを示しています。無価値にするのはあなたの仕事です。午後一度かけてログインをテキストメッセージから移行すれば済みます。そうすれば、盗まれた電話番号が攻撃者にもたらすものは、電話回線以外ほとんど何もなくなります。

免責事項：この記事は情報提供のみを目的としており、金融アドバイスではありません。暗号資産取引には重大なリスクが伴います。投資判断を行う前に、必ずご自身で調査を行ってください。