# SIMスワップ攻撃 ## 定義 SIMスワップ攻撃とは、攻撃者が被害者になりすまして携帯通信事業者(MNO)を説得し、被害者のアカウントに紐づく新しいSIMカードを発行させることで、被害者の電話番号宛のSMS・通話を乗っ取る攻撃である。電話番号がパスワードリセットや二要素認証(2FA)の受信先として広く使われているため、SIMスワップに成功した攻撃者は被害者のオンラインアカウント(メール、銀行、暗号資産取引所、SNSなど)を連鎖的に乗っ取ることができる。*Security Engineering* 第22章は、この攻撃がSMSベースの二要素認証というMNOの外部にある設計を悪用する点、そして多くの場合MNOの内部関係者(insider)が関与する点を強調する。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] ch.22 §22.3.5) ## 横断的知見 - **第12章(Banking and Bookkeeping)が報告する具体的な詐欺事件と、第22章が示すMNO側の構造的な対策不備は、同じ現象を「被害の実例」と「対策が普及しない理由」という相補的な角度から描く**。第12章は2007年に南アフリカで銀行が電話を第二要素として使い始めた直後に発生した、ヨハネスブルグの犯罪者が慈善団体CFOの電話番号のSIMを不正再発行させ9万460ランドを盗んだ事件と、2020年にKevin Leeらが米国の主要携帯キャリア5社でSIMスワップを試みたところ大手キャリアでは常に成功したという実証研究を報告する。第22章はこれを補って、なぜこの種の脆弱性が長年放置されるのかという構造を説明する——SIMスワップ対策(第二SIMによる承認、IMSIハッシュ通知など)を導入したMNOの多くはそれを**任意加入**にとどめており、任意である限り会社は「対策を使わなかった顧客」の損失を免責しやすくなるだけで、被害の総量を減らす強いインセンティブが働かない。米国の主要MNOでSIMスワップ対策を強化したのはVerizonのみとされる。両ソースを合わせると、SIMスワップは技術的対策(第二SIMのような仕組み)が存在するにもかかわらず、MNOの経済的インセンティブの欠如ゆえに普及しないという「技術で解決可能な問題が、経済構造によって未解決のまま放置される」典型例であることが分かる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 12 Banking and Bookkeeping]] ch.12 §12.7.4, [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] ch.22 §22.3.5) - **最初にSIMスワップ対策を導入したMNO自身が、最初のSIMスワップ詐欺事件の舞台になったという皮肉な符合が、両章を突き合わせて初めて明確になる**。第22章は、2003年に南アフリカのMTNが第二SIMによる承認という対策を業界で最初に導入したMNOであると述べるが、同じ第22章はこのMTNが2007年の(第12章が詳述する)最初のSIM-swap詐欺事件の舞台でもあったと注記する。対策の導入と被害事件の発生が同じ企業で数年の間隔を置いて起きたという事実は、対策の導入だけでは不十分であり、運用の徹底(対策への強制加入、内部関係者の統制)が伴わなければ再発を防げないことを示唆する。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] ch.22 §22.3.5, [[@2020__Wiley__Security Engineering 3e - Chapter 12 Banking and Bookkeeping]] ch.12 §12.7.4) ## 未解決の問い - [[鍵配送プロトコル]]が扱うSIM認証(HLR/VLRを介したTTP方式)自体は暗号的に健全だが、SIMスワップはこの認証プロトコルの外側(顧客サポート・本人確認プロセス)を突く攻撃である。プロトコルの暗号強度をいくら高めても防げないこの種の「業務プロセス上の認証」の脆弱性を、[[認証プロトコルの失敗モード]]の分類体系にどう位置づけるべきかは、本ページの範囲では未整理。 - 米国の携帯キャリア5社のうちVerizonのみが対策を強化したという第22章の記述は2020年時点のものであり、他キャリアやEU圏のMNOがその後どう対応を変えたか、GDPR等の規制がSIMスワップ対策の義務化に与えた影響は未確認。 - SIMjacking(over-the-air update機能を悪用したSIM乗っ取り。2013年にKarsten Nohlが警告)は本ページが扱うSIMスワップ(顧客対応窓口を騙す社会的攻撃)と混同されやすいが、攻撃経路(顧客対応 対 OTA更新プロトコル)が異なる別の攻撃であり、両者の関係整理は本ページでは未着手。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]](§22.3.5) / [[@2020__Wiley__Security Engineering 3e - Chapter 12 Banking and Bookkeeping]](§12.7.4) - 概念: [[認証プロトコルの失敗モード]](業務プロセス上の認証という周辺攻撃面) / [[鍵配送プロトコル]](SIM認証プロトコル自体はTTP方式で健全) - 実体: [[GSM]](SIMの認証基盤) ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 22, §22.3.5. - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 12, §12.7.4.