はじめに

SMS認証の実装に伴い調査を行った所、予想以上な被害が出ていることを知ったので備忘録として残します。
（ただ単に、自分が認知していなかっただけなのです。。。）

SMS認証は本当に安全？今知っておくべきリスクと対策

昨今、オンラインサービスの認証手段として利用されることの多いSMS認証。一見便利で簡単に見えますが、その背後に潜むリスクが存在しています。
本記事では、SMS認証に潜む意外な危険性と実際の被害事例、そしてその対策について解説します。

2016年7月に米NIST（国立標準技術研究所）では、安全ではないという見解を示しています。

SMS認証が危険視される理由として、以下の3つが挙げられます

アメリカではスマホ普及とともにSIMスワップ詐欺が猛威を振るい、総被害額は膨大なもの(約100億円の被害)となりました。¹

2020年ごろから急増し、2022年には被害総額が約4億円に達しました。
事態を重く見た警察庁と総務省は携帯電話事業者に対して本人確認の強化を要請しました²

↑図：警察庁「キャッシュレス社会の安全・安心の確保に向けた検討会報告書」より抜粋³

徐々に被害件数が減少傾向にあるものの、2024年5月に日本の議員も被害に遭遇。
議員の携帯電話が不正に機種変更され、高額な商品購入に悪用されたケースがSNSで話題になりました。⁴

ターゲット情報の収集
不審なSMSやメールでウイルスを送り込み、個人情報を抜き取ります。
以下のようなメッセージが送られウィルス感染させられる

↑トビラシステムズ「詐欺SMSモニター」より抜粋⁵
本人確認書類の偽造
偽造された運転免許証やマイナンバーカードを使います。
SIMカード再発行
「スマホを失くした」と嘘をついて、携帯ショップでSIMを再発行。
アプリの不正利用
SMS認証を突破し、送金や高額商品購入などの犯罪行為を行います。

図解: SIMスワップ詐欺の全貌

デジタル庁は、より安全な認証手段としてマイナンバーカードを活用するアプリをリリースしました

アメリカでは、「番号ポータビリティ(LNP)」制度によって、SIMカードの移行が簡単に行えることから、対策が難しいとされており、SMS認証の代替として以下が提案されています。

SMS認証には確かにリスクがありますが、携帯キャリアが厳格な本人確認を徹底することで被害を防げる可能性があります。また、海外展開を視野に入れる場合、認証アプリや生体認証の導入がユーザー離れを防ぐ鍵となります。

不審なSMSのリンクをクリックしないでください！