Category: Mobile Life

最近話題になっているSIM swap 詐欺については，数年前に書かれた「オンラインだけで手続きをするMVNOが危険」と考察する記事が多数見つかります．

SIM再発行のための情報だけを抜き取るならばたしかにそうかも知れませんが，犯罪者にとっての最終目的であるネットバンキングによって不正に預金を送金して奪うためには，同じ人から銀行の口座情報もフィッシングによって抜き取らなければなりません．

それを考えると，実店舗で偽造免許証によって人間の店員をだますという手段をとれば，フィッシングで抜き取るべき情報は銀行口座情報だけで済むことになります．

一度のフィッシングによって抜き取れるであろう情報は，

• 銀行名，本支店名，口座の種類，口座番号
• 口座名義
• 生年月日
• 連絡先電話番号

が，だます場合無難なところ😓 ですが，さらにメールアドレスがあれば便利ですし，運転免許証の画像まで得られれば後の作業はかなり楽でしょうね．もし免許証の画像の入手ができない場合は住所も得て適当な免許の日付と番号を付けた免許証を偽造するのでしょう．

次にSIM をだまし取るわけですが，まずは携帯の電話番号からどこのキャリアか下調べをしますが，MNPが一般的になった今日，番号が初期に割り振られた時のキャリアと今契約しているキャリアが同じとは限りません．

そこで，ターゲットに一度電話をかけてみて，呼び出し音からキャリアを割り出すことになります¹つまり，不審な不在着信が予兆としてあるのかも知れません．．それで闇バイトに応募した人に偽造免許証を持たせてキャリアの実店舗に出向かせます．

たぶん，こんな手順でしょう．

だとすると，MVNOは安全と言うことになります．まずどこのMVNOに契約しているか，呼び出し音を聞いたところで解らないでしょう²そもそもMVNOなのかどうなのかさえも．．相手がどこのMVNOと契約しているか解らない状態で，SMSによってフィッシングを仕掛けてもさすがに有効な情報は得られないと思います．

それでももしSMSで送りつけた巧妙なフィッシングにかかり，MVNO名😓とID/パスワードを抜かれたらアウトかも知れません（登録メールアドレス（IDと兼用の場合が多い）だけだと，メールアカウントまでハックしないと，パスワードを変更できません）．

まただます側にもせっかく銀行口座情報を得ているのに，このおかしなSMSによって相手を警戒させて使えなくするリスクがあります．

ということで，一人の人が相当巧みであるとはいえフィッシングに2度引っかかる可能性を考えると，MVNOの方が安心と言えます．それもマイナーな会社ほど安全である確率が高そうです．

数年前に一度話題になりましたが，最近またニュースになり関心を持ちました．

一般消費者として一番の関心事は，「どうすればSIM swap詐欺に遭うリスクを減らせるか」でしょう．

報道によると，最近の事件の例では，

1. 銀行のパスワードを含む口座情報がフィッシングで抜かれる
2. 免許証を偽造され，別人¹闇バイトなどで雇われたと推定されます．がなりすましてキャリアの窓口に行く（免許証の写真は当然その “別人” ）
3. SIMを紛失したと届け出て新たなSIMカードを発行してもらう（それと同時に被害者が持つ正しいSIMカードは無効になる）
4. 犯行グループは，新しいSIMとフィッシングで得た情報から，ネットバンキングにより被害者の預金を不正に送金する

というような手順だそうです．3から4までは数十分以内だそうで，被害者のSIMが使えないと気がついてからキャリアに連絡を取ってもたいてい手遅れだそうです．

また，金融機関が「不審な取り引き」として検知し被害者に電話をして確認しても，電話は交換したSIMのスマホ，つまり犯行グループのスマホにかかるので，「たしかに私が送金しました」と答えられると，不正な送金を抑止できないそうです．

この例で一番驚き呆れるのは，キャリアの窓口で別人が偽の免許証を提示しても本人確認ができてしまうことです．新規契約のときに免許証など本人確認書類のコピーを取られますが，後の手続きで参照はしないのですね．

それと，いくら精巧に作られているとはいえ，免許の番号の構成や交付年月日，免許の条件などに矛盾があるはずなのですが，そういうあたりは全く何も確認していないということでしょう．いや，フィッシング時に，「本人確認書類」として免許証画像をuploadさせているのかもしれません．そうなると，顔写真以外については窓口の本人確認の甘さを責めるわけにはいかなそうです．

SIM swap詐欺について検索すると，何年か前，たぶん最初にSIM swap詐欺が話題になった頃の記事が多くヒットしますが，これらは窓口に出向かないで手続きができるMVNOが危険だと指摘するものが多いですが，実際は逆で窓口の方がざるなようです．

ちょっと考えれば解りますが，実店舗のないMVNOの場合，SIM再発行の手続きをする場合，MVNOのサイトのログイン情報（少なくともメールアドレス）まで抜かなければなりません．銀行の情報に加えて，です．それに引き換え実店舗であれば偽造であれ何であれ免許証を “本人” が持参してくればSIMの再発行は可能です．

で，どうすればよいのか．そもそもフィッシングにひっかからないようにするしかなさそうですが，どんな賢人でもプロのだましに100%引っかからないとは言い切れないと思います．そしてフィッシングは引っかかってもすぐには引っかかったと気がつかないから始末が悪いです．

スマホを複数台持ち，メインのスマホと違う番号を銀行に届け出る．しかし，フィッシングに引っかかった際銀行に届け出た番号まで抜かれているとそれも効果ないですね．

eSIMにすればよいかも，と思いましたが，お間抜けな窓口にeSIMの番号を告げて紛失したと言ったら，SIMを再発行されてしまうかも知れません．

それはともかくeSIMについてはキャリアによって再発行の手順が異なるようで，いまのところリスクの検証のしようがありません😓