SIMスワップ詐欺は、あなたの電話番号そのものを乗っ取り、SMSで届く認証コードを横取りして銀行・SNS・暗号資産のアカウントを奪う攻撃です。狙われるのは端末でもアプリでもなく「番号」。本記事は、手口の仕組み、被害の実態（米FBIの統計）、なぜ暗号資産が特に狙われるのか、eSIM時代に何が変わるのか、日本の制度、そして今日からできる具体的な防御までを、一次情報をもとに整理します。結論を先に言えば、最大の対策はSMS認証への依存をやめ、キャリア側の番号ロックを使うことです。
米連邦通信委員会（FCC）の規則、米FBIインターネット犯罪苦情センター（IC3）の年次統計、米国立標準技術研究所（NIST）の認証ガイドライン、日本の本人確認制度など、公的な一次情報をもとに編集部が解説しています。手口の詳細は防御の理解に必要な範囲にとどめ、悪用方法は記載しません。海外eSIMの比較メディアとして、旅行用eSIMとの関係も誤解なく整理します。
01SIMスワップ詐欺とは何か
SIMスワップ（SIM swap、番号乗っ取り）は、攻撃者が通信事業者をだまして被害者の電話番号を自分の手元のSIM（物理SIMまたはeSIM）へ移し替える攻撃です。番号が移った瞬間から、被害者の端末は圏外になり、SMSや音声通話は攻撃者の端末に届くようになります。多くのサービスが本人確認に「SMSで送る認証コード」を使っているため、番号を握られると、パスワード再設定やワンタイムコードが次々と突破され、メール、SNS、ネット銀行、暗号資産取引所まで連鎖的に乗っ取られます。
ポイントは、これが端末のハッキングでもアプリの脆弱性でもなく、「電話番号という本人確認の鍵」を奪う社会工学的な攻撃だということです。だからこそ、ウイルス対策ソフトだけでは防げません。守るべきは「番号と、それに紐づく認証の方法」です。
02手口の仕組み（3ステップ）
典型的な流れは大きく3段階です。防御の勘どころを理解するために、概要だけ示します。
| 段階 | 攻撃者がすること | 狙い |
|---|---|---|
| ①情報収集 | フィッシングやSNS、漏えいデータから氏名・生年月日・電話番号などを集める | 本人確認の突破材料を揃える |
| ②番号の移管 | 本人になりすまし、事業者の窓口やオンラインで「機種変更」「乗り換え（ポートアウト）」を申請する | 番号を自分のSIM/eSIMへ移す |
| ③乗っ取り | 移った番号に届くSMSコードでパスワードを再設定し、各種アカウントへ侵入 | 口座・資産・アカウントの奪取 |
※②では、事業者の本人確認の甘さを突くほか、内部関係者の買収という事例も海外では報告されています。いずれも「番号の移管手続き」を守ることが防御の核心になります。
03被害の実態と、なぜSMS認証が弱いのか
米FBIのインターネット犯罪苦情センター（IC3）の年次報告によると、SIMスワップの申告件数と被害額は次のように推移しています（米国・申告ベースの参考値）。
| 年 | 申告件数 | 申告被害額 |
|---|---|---|
| 2022年 | 2,026件 | 約7,265万ドル |
| 2023年 | 1,075件 | 約4,880万ドル |
| 2024年 | 982件 | 約2,598万ドル |
数字だけ見ると減少傾向ですが、注意が必要です。SIMスワップは多くの場合「侵入のための入口」で、最終的な被害は「不正送金」「なりすまし」など別の犯罪として申告されます。つまり統計はSIMスワップ被害の実像を過小評価している可能性があります。
そもそもSMSによるワンタイムコードは、認証手段として強くありません。番号は移管・転送が可能で、SS7という旧来の通信網の弱点を突く傍受も理論上存在します。NIST（米国立標準技術研究所）はデジタルID認証の指針で、SMSを使ったワンタイムコードを「制限付き（restricted）」＝将来的に推奨しない方向と位置づけ、より強い手段への移行を促してきました。SMSは「無いよりは良い」ものの、資産を守る最後の砦にすべきではないということです。
04なぜ暗号資産・SNSが特に狙われるのか
SIMスワップの被害で目立つのが、暗号資産（仮想通貨）と著名なSNSアカウントです。理由は明確です。
暗号資産は「取り戻せない」から狙われます。銀行振込なら組戻しや凍結で取り返せる余地がありますが、暗号資産の送金は基本的に不可逆で、送ってしまえば取り戻せません。さらに取引所の多くがSMS認証やSMSによるパスワード再設定を採用しているため、番号さえ握れば、ログイン突破から出金までを一気に実行できます。高額・即時・追跡困難という条件が揃い、攻撃者にとって効率の良い標的になっているのです。
SNSや著名アカウントは「価値と拡散力」で狙われます。乗っ取った企業・インフルエンサーのアカウントから詐欺を投稿したり、アカウント自体を転売したり、なりすまして関係者をだましたりできます。フォロワーが多いほど被害は拡散します。
共通するのは、電話番号が「複数サービスの合鍵」になっていること。ひとつの番号を奪うだけで、その番号に紐づくメール、SNS、金融サービスが連鎖的に開いてしまう。だからこそ「番号に依存しない認証」へ移すことが、被害の連鎖を断つ最短の対策になります。
05eSIMはSIMスワップを増やすのか
eSIMは、物理カードの差し替えなしに遠隔で回線情報（プロファイル）を書き換えられるのが利点です。この「非接触で素早い」性質は、正規の機種変更を便利にする一方、悪用されれば乗っ取りも非接触で完結しうる、という懸念につながります。
ただし、eSIMの発行手順そのものは無防備ではありません。eSIMの民生向け規格（GSMAのSGP.22）では、端末と発行サーバーが相互認証し、プロファイルは暗号化して安全に届けられます。問題はいつも「規格の外」＝事業者の本人確認の運用にあります。なりすましを許す窓口手続きやオンライン申請の甘さが、SIMでもeSIMでも狙われるのです。
この弱点に制度で手を打ったのが米FCC（連邦通信委員会）です。2023年11月に採択し2024年7月8日に順守期限を迎えた新ルールでは、通信事業者に対して、番号の移管前に安全な本人確認を行うこと、SIM変更やポートアウトの申請があれば即座に利用者へ通知すること、利用者が番号移管をロックできる機能を備えること、従業員教育や記録保持を行うことなどを義務づけました。eSIMの安全性の仕組みそのものはeSIMのセキュリティは安全かでも詳しく解説しています。
06旅行用データeSIMは狙われるのか（誤解を解く）
ここはよく誤解される点なので明確にします。海外旅行用のデータ専用eSIM（Coral・Airalo・Holaflyなどの渡航者向けプラン）は、SIMスワップの標的にはなりません。理由はシンプルで、これらは電話番号を持たないデータ通信専用だからです。SMS認証にも使われず、あなたの本人確認の鍵にもなっていません。旅行用eSIMをインストールしても、乗っ取りの入口は増えません。
SIMスワップで狙われるのは、あくまであなたの「主回線の電話番号」（日本の携帯番号）です。守るべきは旅行用eSIMではなく、普段使いの番号と、その番号に紐づくアカウント認証の方法だと覚えておいてください。
07日本の状況と制度
本記事の統計は米国のものですが、SIMスワップは日本でも無関係ではありません。日本でもSMS認証やeKYC（オンライン本人確認）が広く普及しており、「番号を握られると認証が突破される」という構造は同じだからです。
制度面では、日本は携帯電話不正利用防止法により、契約時の本人確認が義務づけられています。さらに各キャリアは、SIMの再発行・eSIMの再発行・MNP転出といった「番号にかかわる手続き」で、本人確認を継続的に強化しています。具体的には、店頭での顔写真付き本人確認、ネットワーク暗証番号の確認、eKYCの厳格化などです。利用者側でも、キャリアが提供する暗証番号の設定や、各種手続きを制限する設定を有効にしておくと安全性が高まります。
一方で、米FCCのように「番号移管をロックする機能の提供」や「変更時の即時通知」を一律で義務化する枠組みは、国によって整備状況が異なります。だからこそ、制度に任せきりにせず利用者自身の自衛（後述の対策）が引き続き重要です。
08今すぐできる対策チェックリスト
難しい知識は不要です。次の順で手を打てば、SIMスワップの実害はかなり防げます。
①重要アカウントのSMS認証をやめる。銀行・メール・SNS・暗号資産は、SMSコードではなく認証アプリ（TOTP）かパスキー（FIDO）に切り替える。
②キャリアの番号ロック・暗証番号を使う。SIM/eSIM再発行やMNP転出を保護する設定、ネットワーク暗証番号を有効化する（米国では事業者に番号ロック提供が義務化、日本でも本人確認や手続き制限が強化）。
③急な圏外に警戒する。理由なく長時間圏外になったら、SIMスワップの兆候。すぐに別回線から携帯会社へ連絡し、状況を確認する。
④個人情報を出さない。SMSやメールのリンクから本人情報を入力しない。電話番号・生年月日・住所をSNSで安易に公開しない。
※認証アプリやパスキーへ移す際は、必ずバックアップコードを安全に保管してください。番号に頼らない認証ほど、復旧手段の管理が大切になります。
09これからの展望：番号認証からの脱却
大きな流れは明確です。「電話番号で本人確認する」時代から、「パスキー（FIDO）で本人確認する」時代への移行です。パスキーは端末の生体認証と公開鍵暗号を使い、フィッシングにも番号乗っ取りにも原理的に強いため、主要なプラットフォームが採用を進めています。事業者側でも、FCCの新ルールのように番号移管の本人確認が制度的に厳格化されつつあります。
とはいえ、SMS認証が一夜で消えるわけではありません。当面は「番号に依存しない認証へ自分で移し替える」自衛が最も効きます。SIMスワップは高度なハッキングではなく、手続きの隙を突く攻撃です。だからこそ、利用者側の小さな設定変更が、そのまま大きな防御になります。
旅行用データeSIMは電話番号を持たず、乗っ取りの入口になりません。行き先・日数・用途から選べます。
10よくある質問
SIMスワップされたら、まず何をすればいい？
別の電話やネット回線から、すぐに携帯会社へ連絡して回線を停止・保護してもらってください。並行して、メールと主要アカウントのパスワードを変更し、SMS認証を認証アプリやパスキーへ切り替えます。金銭被害があれば金融機関と警察にも連絡を。
SMS認証は今すぐ全部やめるべき？
銀行・メール・暗号資産など「乗っ取られると致命的なもの」から優先的に認証アプリやパスキーへ移してください。SMSしか選べないサービスは、番号ロックなど他の対策と併用します。SMSは「無いよりは良い」が最後の砦にはしない、が原則です。
なぜ暗号資産が狙われやすい？
送金が不可逆で取り戻せず、取引所がSMS認証を使っていることが多いためです。番号を握られると出金やパスワード再設定まで一気に進むため、高額・即時・追跡困難な標的として狙われます。
eSIMは物理SIMよりSIMスワップに弱い？
規格上の安全性（相互認証・暗号化）はeSIMでも担保されています。弱点は「事業者の本人確認手続き」にあり、これはSIMでもeSIMでも共通です。むしろeSIMは遠隔管理や通知と相性が良く、制度面の対策が進んでいます。
海外旅行用のeSIMを入れるとリスクは増える？
増えません。旅行用データeSIMは電話番号を持たず、SMS認証にも使われないため、SIMスワップの標的になりません。守るべきは普段使いの「主回線の番号」です。
日本でもSIMスワップは起きている？
本記事の統計は米FBIのものですが、SMS認証やeKYCは日本でも広く使われており、リスクは普遍的です。各キャリアは本人確認や手続きを強化していますが、利用者側でも番号に依存しない認証への移行が有効です。
参考・一次ソース：FCC（米連邦通信委員会）SIMスワップ規則の順守期限告知 ／ FBI IC3 2024 Internet Crime Report ／ FBI IC3 SIMスワップ注意喚起 ／ NIST SP 800-63B Digital Identity Guidelines（いずれも英語・2026年6月時点）。
