昼食時にスマホが「圏外」と表示する。腹立たしいが、喫茶店のWi-Fiは使えるので、メールに返信しながら仕事に戻る。夕食時までに、遠く離れた場所にいる何者かがあなたの電話番号を使ってメールのパスワードをリセットし、事業用当座預金口座からの送金を承認し、給与ポータルからあなたを締め出している。ハリウッド映画のようなハッキングは何も起きていない — マルウェアも、漏洩したパスワードもない。あなたの携帯キャリアが、丁寧に頼んできた見知らぬ他人にあなたの番号を渡してしまい、銀行が送ったSMSセキュリティコードはすべてその人物に届いたのだ。
これがSIMスワップであり、多くの事業主が信頼しているセキュリティを迂回するからこそ、中小企業の経営者を狙った損失額が最も大きい詐欺の一つである。FBIのインターネット犯罪苦情センター（IC3）は2024年に982件のSIMスワップ苦情を記録し、報告された損失額は約2,600万ドル — 被害者1人あたり平均26,000ドル超 — であり、2022年の7,260万ドルのピークに続くものだ。報告された数字は被害を過小評価している。盗難の多くが他の詐欺カテゴリに分類され、多くの被害者がまったく報告しないからだ。
良い知らせがある。この攻撃には、よく知られた対策の短いリストがあり、そのほとんどが無料で、ほとんどが10分以内に完了する。本ガイドでは、この詐欺の仕組み、なぜ事業用口座が特に狙われやすいのか、そしてこれを封じ込める4つの鍵 — キャリアレベルのポート保護、SMSベースの認証からの脱却、送金のコールバック検証、進行中の乗っ取りを察知するアラート — を順に解説する。
SIMスワップは4ステップでどう機能するか
仕組みを理解することが重要だ。以下のすべての防御策が、このいずれかのステップに対応しているからである。
ステップ1：攻撃者があなたの個人情報を収集する。 詐欺師は、キャリアのセキュリティ質問の答え — 生年月日、住所、口座情報 — を、データ漏洩、ソーシャルメディアのプロフィール、フィッシングメッセージ、情報ブローカーから収集する。事業主は一般人より多くを漏らす。あなたの氏名、事業所住所、電話番号は、ウェブサイト、請求書、州の事業体登記に載っているからだ。
ステップ2：攻撃者があなたになりすましてキャリアに連絡する。 これらの情報を手にした犯罪者は、あなたの携帯キャリアに電話をかけ（または店舗を訪れ、あるいは内部関係者を買収し）、あなた本人だと主張して、あなたの番号を自分が管理する新しいSIMカードに移すよう求める。ポートアウト詐欺と呼ばれる近縁の手口は、あなたの番号をまったく別のキャリアに移す。いずれにせよ結果は同じだ。あなたの番号は攻撃者の電話で鳴るようになる。
ステップ3：攻撃者があなたのパスワードをリセットする。 あなたの番号があなたのテキストを受信するようになったので、犯罪者はメール、銀行、給与、決済アカウントの「パスワードをお忘れですか」フローを起動する。ワンタイムコードは攻撃者の端末に届く。通常、メールが最初に落ちる。メールは合鍵であり、ほとんどのアカウント回復フローがそこを通るからだ。
ステップ4：資金が動く。 ビジネスメール、銀行、決済アプリを手中にした攻撃者は、資金を送金し、新たな受取人を追加し、給与の直接預金のルーティングを変更し、暗号通貨を購入する。事業用口座こそが獲物だ。残高が多く、送金上限が高く、そして決定的なことに、消費者口座よりも法的保護が弱い。
この一連の流れは数時間で実行されうる。被害者はしばしば最初の症状 — 自分の電話が使えなくなること — だけに気づく。
なぜ事業主が格好の標的になるのか
3つの事実が組み合わさり、中小企業の経営者をSIMスワップの理想的な被害者にする。
あなたの番号は公開されており、残高は大きい。 無名の消費者と、会社の問い合わせページに携帯番号が載り、公開登記から売上が推測でき、当座口座に給与資金を抱える事業主のどちらかを選ぶなら、詐欺師は必ず事業主を選ぶ。
事業用銀行口座は詐欺に対する保護が弱い。 消費者口座はレギュレーションEの対象であり、不正な電子送金に対するあなたの責任が上限で制限され、銀行に調査義務が課される。事業用口座は一般に対象外だ — 商業送金やACHの係争は州の商法（UCC第4A条）と口座契約書の定めに従い、通常、銀行のセキュリティ手続きが「商業的に合理的」でなかった場合にのみ銀行が責任を負う。実際には、不正な事業用送金の回収は、消費者のZelle詐欺を覆すよりはるかに難しい。出て行った資金は通常、戻らない。
1つの番号が多くの扉を守っている。 あなたの携帯番号に紐づくすべてを考えてみてほしい。事業用銀行のログインコード、メールの回復、給与プロバイダーへのアクセス、決済処理業者、そしてしばしば認証アプリのバックアップそのもの。SIMスワップは1つの鍵を選ぶのではなく、マスターキーを複製するのだ。
警告サインを見極める
全米銀行協会（ABA）は、直ちに対応すべき4つの危険信号を挙げている。
- 携帯サービスの突然の喪失。 通常は電波が問題ない場所で、電話もテキストも送れない。これが典型的な症状であり、あなたの番号はすでに別の場所で鳴っている。
- アカウントアクセスに使うアプリが動かなくなる一方で、それ以外は正常に見える。
- あなたが承認していない設定変更に関するセキュリティアラート — パスワードのリセット、新規端末からのログイン、回復用メールの変更など。
- メール、金融、携帯キャリアのアカウントにおける異常なログイン活動。
最初の症状が現れたら、サービスが戻るかどうかを待ってはいけない。そうでないと証明されるまでは進行中の攻撃として扱い、本記事末尾の対応チェックリストを実行せよ。
鍵1：キャリアアカウントを強化する
キャリアはこの攻撃の玄関口であり、米国の三大キャリアはすべて、これ専用の無料ロックを提供している。2024年7月発効のFCC規則は、キャリアに対しSIM変更やポートの前に顧客を安全に認証し、そのような要求があった際に直ちに通知することを義務付けている — しかし任意のアカウントレベルのロックはさらに進み、そもそも移行を拒否する。
Verizon：ナンバーロックとSIMプロテクション。 ナンバーロックは、あなたがロックを解除するまで、あなたの番号が他キャリアにポートされるのを阻止する。別のSIMプロテクションのトグルは、既存回線のSIM変更を防ぐ。My Verizonアプリのアカウントセキュリティで両方を有効にせよ — 片方だけでは隙間が残る。
T-Mobile：アカウント乗っ取り保護とSIMプロテクション。 アカウント乗っ取り保護は、あなたの回線の不正な移行を阻止し、別途ポートアウト保護とSIMプロテクションの設定が並んでいる。T-Lifeアプリのアカウント内で管理する。T-MobileのSIMプロテクションは、通常、回避するには店舗での本人確認を要する。これは電話ベースのなりすましに対してまさに望ましい摩擦である。
AT&T：ワイヤレスアカウントロック。 AT&Tは両方の役割を単一のワイヤレスアカウントロックに統合し、番号移行とSIM変更を阻止する。myAT&Tアプリで管理する。また、電話でアカウント変更を行う前にAT&Tが要求する別途のアカウントパスコードも設定せよ。
どこでも当てはまる3つのキャリアのルール：
- 誕生日、住所、社会保障番号の下4桁ではないキャリアPINまたはパスコードを設定せよ。 攻撃者はそれらすべてを承知でやって来る。このコードはスマホのロック解除コードとは別物だ — キャリアがアカウントに触る前に要求するパスワードである。
- 番号移行PINは、実際にキャリアを切り替えるときだけ生成せよ。 移行PINは単回使用の資格情報であり、常設の防御ではない。常設の防御はアカウントロックだ。
- 対面限定の注記について尋ねよ。 多くのキャリアは、SIMやポートの変更には写真付きIDによる店舗訪問での確認を要求するようアカウントにフラグを立てられる。なりすましが起きるのは電話サポートだ。変更を、IDを確認する人間を通すことで、攻撃者の経路を断てる。
あなたの事業用回線が他人 — オフィスマネージャー、IT請負業者 — が管理するキャリアアカウントにあるなら、そこでもこれらのロックが有効になっていることを確認せよ。銀行の認証テキストを受信する番号こそ守るべき番号であり、誰が請求を払っていようと関係ない。
鍵2：SMS認証から脱却する
テキストメッセージのコードは、SIMスワップが悪用する単一の障害点である。認証経路から電話番号を外せば、攻撃が成功してもその見返りを失う。
提供されているあらゆる場所で認証アプリを使え。 Google Authenticator、Authy、Microsoft Authenticator、1Passwordなどのアプリは、携帯ネットワークを経由しないコードを端末上で生成する。FTCの指針は明確だ。SIMスワップが心配なら認証アプリかセキュリティキーを使え。テキストメッセージの認証はSIMスワップを止められない。まずメールでアプリベースの認証を有効にせよ — それは他のすべての回復経路だから — 次に銀行、給与、決済処理業者、そしてキャリアアカウント自体だ。
最重要のものにはハードウェアセキュリティキーにアップグレードせよ。 FBIは物理的なセキュリティキーを最強の選択肢として推奨している。ログインに物理的に立ち会う必要があるUSBまたはNFCキーだ。キーはフィッシングも転送もSIMスワップもできない。最低限、主要なビジネスメールと銀行ログインに1つ導入せよ。
SMSしか提供しない銀行に対処せよ。 一部の小規模銀行や古い事業用銀行プラットフォームは、今もテキストのみで認証する。そうした口座では、前節のキャリアロックが唯一の技術的防御だ — だからこそ有効にする理由がなおさら強まる — 加えて以下で扱う取引アラートである。銀行や給与プロバイダーを選ぶ際は、認証アプリやハードウェアキーに対応しているか尋ね、対応していないことを実際のセキュリティ上の欠陥として重く見よ。
認証アプリを適切にバックアップせよ。 SMSから脱却すると新たなリスクが生じる。コードを保持する端末を失うことだ。ほとんどの認証アプリは暗号化されたクラウドバックアップや複数端末同期を提供している — 有効にせよ。重要アカウントの回復コードを印刷し、泥棒には見つからず後任者には見つかる場所、たとえば貸金庫に保管せよ。
鍵3：すべての送金をコールバックで検証する
SIMスワップの攻撃者は送金を好む。送金は速く、覆すのが難しく、そして事業用口座では保護が弱いからだ。たとえあなた自身の番号がスワップされなくても、取引先や顧客の番号はスワップされうる。そうして、見覚えのあるアドレスから、もっともらしい文面の「銀行を変えました、ここに送金してください」というメッセージが届くのだ。1つの手続き上の統制が、そのほとんどすべてを無力化する。
初回または送金先が変更された支払いの前に、必ず既知の番号にコールバックせよ。 誰か — 取引先、顧客、パートナー、さらには自社の従業員 — が新しい口座情報への送金を求めてきたら、立ち止まり、メッセージに記載された番号ではなく、すでに手元にある電話番号にかけよ。ルーティング番号と口座番号を口頭で確認せよ。例外なく適用されるこの1つの習慣が、SIMスワップ主導の支払い詐欺と通常のビジネスメール侵害の両方を無力化する。
この習慣を英雄的なものではなく、仕組みにせよ：
- 送金と新規受取人には二重承認を要求せよ。 ほとんどの事業用銀行プラットフォームは二重統制に対応している。1人が支払いを入力し、2人目が承認する。あなたの資格情報を持つ単独の攻撃者は盗難を完了できない。
- 実際のニーズに見合った日次の送金・ACH上限を設定せよ。 月に8,000ドルしか送金しない口座の25万ドルの日次送金上限は、利便性ではなく攻撃者の予算である。上限を最大の正当な支払いをわずかに超える額まで下げよ。
- 給与変更の職務を分離せよ。 直接預金の変更先リダイレクトは、SIMスワップの好まれる換金手段だ。銀行情報の変更は従業員に口頭で確認することを要求し、要求者以外の誰かが入力せよ。
コールバックのルールを書面に明記し、取引先にそれに従っていると伝えよ。「今日中に、緊急で送金を」と迫る詐欺師が、「必ず折り返し電話します」という書面の手順を持つ従業員に直面すれば、手順が勝つ。
鍵4：乗っ取りを早期に察知するアラートを設定する
最初の3つの鍵が失敗したなら、スピードがすべてだ。数分で発見された詐欺は時に覆せる。月末の照合で見つかった詐欺はもう戻らない。トリップワイヤーの層を築け：
- すべての事業用口座に銀行取引アラートを。 送金、新規受取人、パスワード変更、新規端末ログイン、そして低く設定したしきい値を超える取引 — 送金なら1ドルでも — に対するプッシュまたはメールアラートを有効にせよ。これらのアラートは、SMSではなくアプリベースの認証で保護されたメールアドレスに届けよ。
- メールログインアラート。 あなたのメールプロバイダーは、新規端末や新たな場所からのサインインを通知できる。メールは合鍵だから、見覚えのないログインアラートは五 alarm（重大な火災）として扱え。
- キャリアアカウントのアラート。 キャリアのアプリをインストールし、セキュリティ通知を有効にして、SIM変更やポートアウトの通知が、攻撃者が管理しない経路で届くようにせよ。
- 監視だけでなく、信用情報の凍結を。 SIMスワップはしばしば、あなた名義での新規口座詐欺に先行する。3つの信用情報機関すべてで信用情報を凍結するのは無料で、数分で済み、有料の監視サービスより多くのことをする。事業主は、機関が許す場合は事業の信用プロフィールの凍結も検討すべきだ。
- 毎日の残高確認。 朝2分間の当座口座の活動の一瞥が、自動アラートが見逃すものを捉える。最低でも週次で照合せよ — 照合中に見つかった詐欺は遅いが、当座貸越通知で見つかるよりはましだ。
もし起きたら：最初の1時間のチェックリスト
電話が予期せず使えなくなったら、またはあなたが行っていない変更に関するアラートを受け取ったら、攻撃者が管理していない端末と接続から、このリストを順に実行せよ：
- 直ちにキャリアに電話せよ — 別の電話から — そしてSIMスワップの疑いを報告せよ。回線を凍結し、スワップを元に戻し、あなたの番号をあなたのSIMに復元するよう求めよ。
- まずメールにログインせよ — 信頼できる端末から — パスワードを変更し、次に回復用アドレス、転送ルール、アクティブセッションを確認せよ。攻撃者は、あなたが復旧した後もメールを読み続けるために隠し転送を追加する。
- 銀行、給与、決済のパスワードを変更せよ、そしてスワップが始まって以来のすべての取引、受取人、予定支払いを確認せよ。
- 銀行の詐欺部門に電話せよ — 支店ではなく — そして不正アクセスの疑いを報告せよ。最近の送金の取り消しについて尋ねよ。スピードは極めて重要だ。
- 詐欺アラートを届け出よ — Equifax、Experian、TransUnionに — そしてまだなら信用情報を凍結せよ。
- 報告せよ — FTCのIdentityTheft.govとFBIのインターネット犯罪苦情センター（ic3.gov）に。報告番号を銀行とキャリアに持参せよ — 係争を加速させる。
- すべてをタイムスタンプ付きで記録せよ — 単一のログに。サービスが途絶えた時刻、何を見つけたか、誰に電話したか。回復が法的紛争になれば、このログが証拠となる。
その後、1週間以内に事後検証を予定せよ。どの鍵が欠けていたのか、次の試みの前に何を変えるのか。攻撃者はsoft target（狙いやすい標的）のリストを共有する。一度楽だった事業は再び試される。
最悪の日のために財務記録を整えておく
詐欺対応は記録で動く。銀行の係争チームがどの送金が不正だったかを尋ねるとき、保険会社が損失の証明を求めるとき、会計士が年末に盗難を正しく計上する必要があるとき、散らばったログイン情報と曖昧な記憶は実際の金銭を損させる。クリーンな帳簿 — すべての口座が予定通り照合され、すべての受取人変更が記録され、すべての送金が請求書と突き合わされる — は、混沌とした1週間を文書化された請求へと変える。
口座周りのセキュリティを強化する一方で、明確な財務記録を維持することが、何が起きたかを証明し、より速く回復することを可能にする。Beancount.ioはプレーンテキスト会計を提供し、あなたの財務データに対する完全な透明性と統制を与える — ブラックボックスも、ベンダーロックインもない。無料で始めるそして、なぜ開発者と財務のプロフェッショナルがプレーンテキスト会計に移行しているのかを確かめよ。
