ベトナムのフートー省警察は、SIMカードを不正に再発行して携帯電話番号を乗っ取り、銀行口座や電子決済サービスを不正利用する巧妙な詐欺手口について警戒を呼び掛けた。
犯人は銀行システムや生体認証そのものを突破するのではなく、携帯電話番号の所有権を奪うことで本人になりすまし、口座を乗っ取るという非常に巧妙な手口を用いるとしている。
SIM乗っ取りから銀行口座を奪う3段階の手口
警察によると、犯行は主に次の3つの段階で進められる。
1. 個人情報を収集
犯人は氏名、身分証番号、生年月日、住所などの個人情報を収集する。
情報の入手先としては、
- 個人情報の売買グループ
- 偽サイトやフィッシングリンク
- SNSで本人が公開した情報
などが利用される。
2. SIMカードを不正に再発行
収集した個人情報を利用し、携帯電話会社へ本人になりすましてSIMカードの再発行を申請する。
また、「SIMのアップグレードが必要」などと偽り、被害者自身にSIM切り替え用のSMSコマンドを送信させるケースもある。
SIMの切り替えが完了すると、被害者のスマートフォンは突然「圏外（No Service）」となり、電話やSMSが利用できなくなる。一方で、犯人側のSIMが有効化され、電話番号を完全に支配される。
3. OTPを利用して銀行口座を乗っ取る
SIMを奪った後、犯人は被害者の銀行アプリや電子ウォレットを別のスマートフォンにインストールし、パスワードの再設定を行う。
本人確認用のワンタイムパスワード（OTP）は、すべて犯人が保有するSIMへ送信されるため、認証を突破できる。
さらに、一部の銀行アプリでは、新しい端末からのログイン時にOTP認証後、生体認証（顔認証・指紋認証）の再登録が可能となっている。
犯人は自分自身の顔を新たな生体認証として登録し、銀行口座の完全な支配権を取得してしまう。
スマホが突然圏外になったら最優先で確認を
警察は、屋外など通常電波が届く場所で突然「圏外」と表示された場合は、SIMカードが不正に再発行された可能性も考慮すべきだとしている。
その場合は、
- Wi-Fiや別の電話を利用して携帯電話会社へ直ちに連絡する
- SIMカードを停止し、再発行申請が行われていないか確認する
ことが重要だと呼び掛けている。
被害防止へSNS利用にも注意
警察は、被害防止のため次のような対策を推奨している。
- 身分証（CCCD）の表裏写真をSNSへ投稿しない
- 銀行口座と紐付いた電話番号やメールアドレスを安易に公開しない
- 「SIM交換」「SIMアップグレード」などを促す不審なSMSやリンクを利用しない
- SIMカードにはPINコードを設定する
- SMS認証だけに依存せず、Google Authenticatorなど認証アプリによる二要素認証（2FA）を利用する
SMS認証だけに頼らないセキュリティ対策が重要に
近年は銀行アプリや電子決済サービスの普及に伴い、SIMカードの乗っ取りを狙った詐欺が各国で確認されている。
ベトナム警察は、スマートフォンが突然圏外になった場合は通信障害と決めつけず、不正なSIM再発行の可能性も疑うことが重要だとしている。また、個人情報の管理や二要素認証の活用など、日頃から複数のセキュリティ対策を講じることが被害防止につながるとして注意を呼び掛けている。
詐欺の手口は年々巧妙化・複雑化しており、従来のように「怪しいメールに注意する」だけでは十分とは言えなくなっている。スマートフォンが突然圏外になるなど、普段と異なる異変が起きた際には、詐欺の可能性も視野に入れ、速やかに通信事業者や金融機関へ確認することが重要である。
