SIMスワッピング詐欺とは｜電話番号を乗っ取りSMS認証を突破する新しい手口

スマホの電源を入れたら、なぜか「圏外」のまま電話もSMSも使えない——そう思っていたら、気づかないうちにネット銀行や暗号資産口座からお金が消えていた。原因はパスワードの流出ではなく、電話番号そのものを乗っ取られたことです。この手口は「SIMスワッピング詐欺（SIMスワップ）」と呼ばれ、SMSで届く確認コードに頼った認証をまるごと素通りしてしまいます。2026年に入り、日本でも闇バイトを使った摘発事例や大手決済サービスの注意喚起が相次いでいます。この記事では仕組みと対策をやさしく整理します。

SIMスワッピングとは何か

電話番号は、もはや単なる連絡先ではありません。多要素認証（MFA）の記事でも触れたとおり、多くのネット銀行やSNS、暗号資産取引所は「SMSで届く確認コード」を本人確認の一要素として使っています。SIMスワッピングは、この"持ち物"としての電話番号を丸ごと奪い取ってしまう点が特徴です。

なぜSMS認証が突破されるのか

海外の実態：FBIが警告する被害額

SIMスワッピングは目新しい手口ではありませんが、暗号資産の普及とともに被害が拡大してきました。米FBIのインターネット犯罪苦情センター（IC3）は2022年2月、SIMスワップ詐欺の急増を警告する注意喚起を発表しています¹。

件数・被害総額が近年は減少傾向にある背景には、米国で2023年11月に発効したFCC（連邦通信委員会）の新ルールがあります。通信事業者にSIM交換や番号ポーティングの前に追加の本人確認を義務づけた結果、被害が一定程度抑えられたとみられています²。ただし、1件あたりの被害額は依然として大きく、「件数が減った＝脅威が消えた」わけではない点に注意が必要です。

日本でも再燃：闇バイトとPayPayへの注意喚起

キャッシュレス決済の分野でも警戒が強まっています。PayPay（PayPay銀行）は2026年1月、SIMスワップ詐欺によってPayPayアプリへ不正ログインされ、意図しない決済・送金や、クレジットカード・銀行口座の不正な連携が行われる事例を確認したとして、利用者に注意を呼びかけました⁴。

こうした被害の背景には、携帯電話の契約や番号の管理に関する法制度・運用の問題もあります。日本では携帯電話不正利用防止法にもとづき契約時の本人確認が義務づけられており、本人確認が不十分だった通信事業者・販売代理店に対して総務省が是正命令を出した例もこれまで複数あります⁵。近年は非対面契約での本人確認をマイナンバーカードによる公的個人認証に一本化する方向で制度の見直しも進められています。

今日からできる防御策

まとめ

• SIMスワッピング詐欺は、電話番号そのものを乗っ取ってSMS認証を横取りする手口
• SMS認証は「持っているもの」である電話番号が前提。番号ごと奪われると認証の意味がなくなる
• FBI IC3には2021年に1,611件・約6,800万ドルの被害相談が寄せられ、2024年も982件・約2,600万ドルの損失が報告されている
• 日本でも闇バイトを使った摘発事例やPayPayの注意喚起があり、「海外だけの話」ではなくなっている
• 対策の基本は、SMS認証から認証アプリ・パスキーへの切り替えと、キャリア側での追加本人確認の設定

もう少し詳しく（背景）

SMS認証がこれだけ広く使われ続けている理由は単純で、スマートフォンさえあれば誰でも使える「もっとも手軽な所持要素」だからです。しかし、その手軽さは「電話番号を管理する携帯電話会社の窓口業務」という、技術的な脆弱性ではなく"人と手続き"に依存する弱点と表裏一体です。ソーシャルエンジニアリングの記事で扱った「人の心理や手続きの隙を突く」攻撃と同じ構造が、ここでも使われています。

また、SIMスワッピングは単独で成立する攻撃ではありません。攻撃者はまずフィッシングやSNSの投稿、あるいはインフォスティーラーのようなマルウェアで氏名・生年月日・契約キャリアといった個人情報を集め、それを使って携帯電話会社の窓口担当者を騙します。つまり、入口は別の手口であっても、最後の一押しとして電話番号の乗っ取りが使われる、という組み合わせ型の脅威です。根本的な対策としては、電話番号という"乗っ取り可能な資産"に依存しない認証方式——フィッシングにも強いパスキーのような仕組みへの移行が、個人・サービス提供者の双方にとって現実的な解になります。

つぎに読むなら

• 多要素認証（MFA）とは
• パスキーとは
• ワンタイムパスワード(TOTP)をPythonで実装
• フィッシングを見抜く
• ソーシャルエンジニアリング
• インフォスティーラーとは

Footnotes

1. FBI IC3（インターネット犯罪苦情センター）「Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public」（2022年2月8日発表、PSA番号I-020822-PSA）による。2018年1月〜2020年12月の3年間でSIMスワップ関連の相談は320件・被害額約1,200万ドルだったのに対し、2021年単年では1,611件・被害額約6,800万ドルに急増したと報告されている。 ↩

2. FBI IC3の年次統計を集計した業界データ（Efani「SIM Swap Fraud Statistics 2026」等）による。SIMスワップ関連の被害相談は2022年の約2,026件・約7,265万ドルから、2023年は1,075件・約4,880万ドル、2024年は982件・約2,598万ドルへと減少傾向。この間、米FCC（連邦通信委員会）は2023年11月、通信事業者にSIMカード交換・番号ポーティング前の追加本人確認を義務づける新ルールを発効させており、件数減少の一因とみられている。2024年の被害者1人あたり平均損失額は約4.38万ドルと報告されている。 ↩

3. 警視庁による摘発事例の報道（NHK、iPhone Mania等の報道に基づく）。SNSの「闇バイト」に応募した実行役が携帯電話販売店で被害者になりすまし、2022年9月頃にSIMカードの再発行を受けたうえで、被害者宛てのSMS認証（ワンタイムパスワード）を横取りしてネットバンキングから不正送金を行ったとされる。関係する口座には複数の被害者からあわせて数千万円規模の資金が送金されていたと報じられている。 ↩

4. PayPay銀行が2026年1月26日付で公表した注意喚起による。SIMスワップ詐欺によりPayPayアプリへ不正ログインされ、意図しない決済・送金や、銀行口座・クレジットカードの不正な連携が行われる事例が確認されたとして、不審なSMS・メール・Webサイトに個人情報や認証情報を入力しないよう呼びかけている。被害の兆候として、通話・SMSが突然できなくなる「圏外」状態や、身に覚えのない送金・カード利用通知、SIM再発行通知などが挙げられている。 ↩

5. 携帯電話不正利用防止法は、契約者の本人確認を義務づける法律で、総務省はこれまで本人確認手続きの不備を理由に複数の通信事業者・販売代理店へ是正命令を出している（例：2021年9月、ソフトバンク株式会社に対する是正命令）。また、デジタル社会の実現に向けた重点計画に基づき、非対面契約における本人確認方法をマイナンバーカードによる公的個人認証に原則一本化する省令改正も進められている。 ↩