What Is SIM Swapping?

多要素認証(MFA)の成長に伴い、スマートフォンは組織のサイバーセキュリティリスク管理戦略の重要な部分になっています。 MFAを実装する最も一般的な方法の1つは、SMSを介してスマートフォンにワンタイムコードを送信することです。

SIMスワッピング攻撃は、SMSベースのMFAシステムに深刻な脅威をもたらし、 モバイルセキュリティ特に、リモートワークやBYOD(Bring Your Own Device)ポリシーの増加に伴い、 攻撃者は、ユーザーの電話番号を盗むことで、ユーザーのIDの信頼できる部分にアクセスします。

モバイルセキュリティレポートをダウンロード デモのスケジュール

What Is SIM Swapping?

SIMスワッピングとは?

加入者識別モジュール(SIM)カードは、携帯電話番号を特定のデバイスに関連付ける物理カードです。 電話番号は特定のSIMカードにリンクされているため、ユーザーはカードをあるデバイスから別のデバイスに移動するだけで、電話を変更またはアップグレードできます。

SIMスワッピング攻撃では、攻撃者は携帯電話のアカウントと電話番号を新しいSIMカードに転送します。 この新しいSIMカードは攻撃者の制御下にあるため、攻撃者はそれをデバイスに挿入し、被害者に向けられたSMSメッセージや電話を送受信できます。

SIMスワッピング攻撃は、被害者とその友人、家族、同僚のセキュリティに大きな影響を与える可能性があります。 SIMスワッピング攻撃の潜在的な影響には、次のようなものがあります。

  • MFAバイパス: MFA に SMS メッセージを使用するアカウントの場合、SIM スワッピングにより、攻撃者はアカウント アクセスに使用される 2 番目の要素を制御できます。 攻撃者がアカウントに関連付けられているパスワードを推測したり、リセットリンクをテキストで送信したりできる場合、攻撃者はユーザーのアカウントを乗っ取ることができます。
  • ものまね: 金融機関などの一部の組織では、信頼できる電話番号を使用してユーザーの身元を確認します。 たとえば、新しいクレジット カードは、特定の電話からのみ有効になる場合があります。 SIMスワッピング攻撃により、攻撃者は被害者になりすまし、詐欺や盗難の機会が生まれる可能性があります。
  • スミッシングとビッシング: SIMスワッピング攻撃の後、攻撃者は被害者の番号から電話をかけたり、テキストを送信したりできます。 これは、スミッシング攻撃やビッシング攻撃で使用され、同僚を騙して機密情報を漏洩させたり、悪意のあるファイルを開かせたりする可能性があります。

SIMスワッピングの仕組みは?

ユーザーのモバイルアカウントは特定のSIMカードにリンクされているため、そのSIMカードを所有することは、そのアカウントを制御することと同等です。 ただし、デバイス(およびSIMカード)の紛失または盗難や電話のアップグレードの可能性があるため、モバイルプロバイダーはアカウントを別のSIMカードに移行することを許可します。

モバイルアカウントを新しいSIMカードに転送する前に、携帯電話プロバイダーはいくつかの本人確認を実行する必要があります。 これには、運転免許証の提示、アカウントの暗証番号、所有者の社会保障番号(SSN)の下4桁、またはその他の個人情報の要求が含まれる場合があります。

However, sometimes this verification is not performed by a trained specialist. A story about forgetting the account PIN number and asking for an alternative form of verification is likely to succeed. Since the last four digits of a person’s SSN, their past addresses, and other identifying information have likely been leaked in a data breach, the attacker can presumably answer the question and successfully authenticate as the user.

After identity verification, the mobile provider will swap the victim’s account over to a new SIM card. Once the attacker has inserted this card into their mobile phone, they now own the victim’s phone number.

スワップされたかどうかはどうすればわかりますか?

SIMスワッピング攻撃の後、被害者の電話番号が攻撃者に転送されます。 これは、その番号への電話やテキストを受信しなくなることを意味します。

この通話やテキストメッセージの欠如が攻撃を明らかにするのに十分でない場合は、変更されたアカウントに関する電子メールに基づいてSIMスワッピング攻撃が検出される可能性があります。 攻撃者は、交換されたSIMを利用してMFAをバイパスし、オンラインアカウントのパスワードをリセットする可能性が高く、これらのアカウントは電子メールで通知を送信する可能性があります。

SIMスワッピングを防ぐ方法

モバイルプロバイダーは、SIMスワッピング攻撃に対する保護を実施している場合があります。 これらの攻撃から保護する最善の方法は、プロバイダーに電話して、利用可能なソリューションや既に実施されているソリューションを尋ねることです。 多くの場合、アカウントの変更に必要なPINを設定できます。

Beyond protecting against the SIM swapping attack itself, it is also possible to mitigate the effects of these attacks. Some ways to do so include:

  • 代替 MFA: SMS-based MFA has many security issues that are not limited to its vulnerability to SIM swapping attacks. When possible, choose an MFA option that does not rely on SMS messages.
  • より強力なパスワード: SIMスワッピングは、攻撃者がSMS経由で送信されたワンタイムコードを傍受するのに役立つだけです。 ランダムで一意のパスワードを使用すると、攻撃者がワンタイムコードを持っていてもアカウントを侵害することが難しくなります。
  • 安全なソーシャルメディア: SIMスワッピング攻撃中に尋ねられた質問に対する回答は、ソーシャルメディアで公開される可能性があります。 ソーシャル メディアの共有設定をロックダウンし、オンラインで公開される公開情報を制限します。

Harmony Mobileでモバイルデバイスを保護する

SIMスワッピングは 数ある脅威の1つ 個人的および職業的 モバイル・デバイス・セキュリティ.モバイル脅威の現状の詳細については、チェック・ポイントの Mobile Security Report.

モバイルセキュリティソリューションは、組織のモバイルデバイスに対するリスクを軽減するのに役立ちます。 このソリューションで何を探すべきかを見つけてください Buyer’s Guide to Mobile Security.そうしたら 無料トライアルに申し込む チェック・ポイントの Harmony Mobile to learn how it can protect your organization’s mobile devices.

×
  Feedback
このウェブサイトは、機能性と分析およびマーケティングの目的でクッキーを使用しています。 このウェブサイトを引き続きご利用いただくことで、クッキーの使用に同意したことになります。 詳細については、 Cookie に関する通知をお読みください。
OK