ミシガン州立大学と提携校3校の研究者チームは、Samsung Galaxy Z Fold 7を購入し、密封された箱に印刷された識別番号を書き写したうえで、その番号をキャリアに「紛失」として届け出ました。その後、発売日の購入者と同じ手順で箱を開けて端末をセットアップしましたが、ネットワークには接続できませんでした。端末は新品未開封のまま、ずっと研究室の作業台の上にあったにもかかわらずです。
研究チームは、キャリアが紛失・盗難端末を遮断する仕組みに、端末そのもの、届け出を受け付けるキャリア側のシステム、そしてキャリア同士がブロックリストを共有する仕組みという3つの領域にまたがる、合計6件の脆弱性を発見しました。米国の主要キャリア3社とその再販業者を対象にテストを実施したところ、所有していない端末を遮断するのにかかった費用は2.50ドルから4ドル、所要時間は約20秒から80秒でした。対象となるのはスマートフォンに限りません。住宅の警報パネルも標的になり得ます。
端末・キャリア・キャリア間の各領域にまたがる紛失・盗難端末報告エコシステムの全体像。脆弱性が露出する箇所を示している（出典：研究論文）
何が遮断され、どのような仕組みで動くのか
セルラー無線機能を備えた端末にはすべて、工場出荷時に書き込まれる15桁のシリアル番号「IMEI」が割り当てられています。これはSIMカードや電話番号、アカウントとは別個のものです。端末を紛失として届け出ると、キャリアはその番号を「Equipment Identity Register（機器識別レジスタ）」と呼ばれるデータベースに登録します。以降、ネットワークはその端末の登録を拒否します。誰が端末を持っているか、どのSIMが挿入されているかは関係ありません。
これは実際に盗難に遭った端末に対しては正しい挙動です。研究者たちが調べたのは、自分のものではない番号を入力する行為を何が防いでいるのか、という点でした。ミシガン州立大学工学部の准教授であるGuan-Hua Tu氏は、攻撃者はこれらの脆弱性を利用することで、「実際には紛失も盗難も売却もされていないにもかかわらず」端末を遠隔で遮断できると述べています。
本人確認の甘さ
対象となった3社のキャリアはいずれも、有効な契約を持つ人物からの届け出のみを受け付けており、これによって届け出者を追跡できる仕組みになっているはずでした。研究チームは3社すべてでアカウントを開設し、この仕組みがどこまで追跡性を担保できるのかを検証しました。その結果、いずれのキャリアもプリペイドアカウント開設時に社会保障番号や政府発行の身分証明書を確認しておらず、プリペイド契約者も他の利用者と同様に紛失端末の届け出を行えることが分かりました。プリペイドサービスは、Walmartの陳列棚で買える匿名のVisaギフトカードでも支払いが可能です。
2つ目のチェック項目は所有権に関するものですが、キャリアはこれを、その端末がアカウント上で稼働したことがあるかどうかで代用しています。このチェックでは、誰がその端末を所有しているかは確認できません。確認できるのは、その端末が一定期間ネットワーク上で稼働していたという事実だけであり、これは所有権とは別物です。しかも、なりすました端末であれば、この稼働履歴を任意に作り出すことができます。あるキャリアでは、わずか1秒間の接続で十分でした。残る2社は1分間の接続を求めましたが、その最低条件さえ満たせば、3社とも、研究者たちが一度も使ったことのない端末について、通話やデータ通信の実績を一切求めることなく紛失届を受理しました。
3つ目の抜け穴は、そもそも何が「届け出対象の端末」とみなされるかという点です。研究チームは、スマートウォッチ、産業機器で使われるセルラー開発ボード、そしてそのキャリアの周波数では物理的に動作しないはずの端末について、それぞれ紛失届を提出しました。IoT向け契約を一切含まない通常のスマートフォンプランから提出したにもかかわらず、これらはすべて3社のキャリアで受理されました。一度届け出が受理されると、これらの端末は二度とネットワークに接続できなくなりました。
これを実行するには標的のIMEIを知る必要があり、ここで2つの実証攻撃が登場します。
警報パネルが沈黙しても、住人には知らされない
家庭用のセキュリティゲートウェイは通常Wi-Fiで動作し、セルラー回線をバックアップとして備えています。このバックアップ回線のコストを抑えるため、IoT機器向けに設計された低消費電力のセルラーチップが使われています。研究チームはこうしたボード4種とスマートフォン4機種を対象にテストを行い、それぞれに対して意図的に破損させた識別情報要求を送信しました。スマートフォンは規格が定める通りにこの要求を無視しました。しかしボードのうち2つは自らのIMEIを応答してしまいました。いずれも内部のチップセットに起因する脆弱性であり、これらのチップセットを供給する2社のベンダーは、この市場で合計40%を超えるシェアを持っています。
これを踏まえた攻撃は2段階で構成され、各段階の間には数か月の間隔が空くこともあります。まず、ゲートウェイをWi-Fiから切断してセルラー回線へのフェイルオーバーを起こさせ、小型の不正基地局を立てて端末を誘い込み、IMEIを取得します。研究室での実験ではこの工程はわずか17秒で完了し、その後は不正基地局の電源を切ってしまえば、キャリア側が検知できる痕跡は何も残りません。後日、再びWi-Fiを妨害したうえで紛失端末の届け出を提出します。ゲートウェイは設計通り、Wi-Fi切断からおよそ15秒後にセルラー回線へフォールバックしますが、そこでネットワークへの接続を拒否されます。結果として、警報は住人にも監視センターにも届かなくなります。
研究チームは、米国最大手のアラーム事業者2社のうち1社からゲートウェイを購入し、その監視サービスにも加入したうえで、この一連の流れをエンドツーエンドで実際に検証しました。もう1社の大手事業者も同じ脆弱なチップセットを使用しています。この2社を合わせると、米国市場のシェアは41%を超えます。同じチップは、水道・電気メーターや産業用センサー、心臓モニターにも組み込まれていますが、研究チームはこれらの機器についてはテストを行っていません。
まだ販売すらされていないスマートフォンを遮断する
2つ目の攻撃は、発売直後のフラッグシップ端末を標的にしたものです。IMEIは端末の出荷前に割り当てられており、サプライチェーン向けに端末情報を検証する企業から、その情報へのアクセスを購入することができます。研究チームはこうした企業の1社から完全なデータベースを600ドルで購入し、さらに月額30ドルで更新情報も取得したところ、Z Fold 7のIMEIが、この端末の発売日である2025年7月25日より前の時点ですでに登録されていることを確認しました。
単一のプリペイドアカウントから10台の端末を届け出ても、何の警告も発生しませんでした。1台あたりの遮断コストは、キャリアによって2.50ドル、3.50ドル、あるいは4ドルでした。Z Fold 7を100台遮断する場合、必要なプリペイドアカウントは10個、費用は250ドルから400ドル、所要時間は33分から2時間強で済む計算になります。これに対し、遮断される端末の総額は20万ドル相当にのぼります。研究チームはキャリアのWebフォームを自動操作するスクリプトを作成しましたが、特に最適化は行っていません。
被害者には、こうした事態が起きたことを知らせる通知は一切届きません。ただサービスが停止するだけです。復旧するには、IMEIが記載された購入レシートと本人確認によって、その端末を自分が所有していることをキャリアに証明する必要があります。不正な届け出が別のキャリア経由で行われていた場合は、世界的なブロックリストを運用する業界団体GSMAへと問題がエスカレーションされることもあり、さらに時間がかかります。
もう一つ、別の角度から気になる発見がありました。こちらも決して安心できる内容ではありません。あるキャリアで紛失として届け出られた端末が、1週間後になっても他の2社のキャリアでは問題なく動作していたのです。つまり、3社のうち少なくとも2社は、顧客に説明しているグローバルなブロックリストとの同期を実際には行っていないことになります。
提案された対策
研究チームは4つの改善策を提案し、実際に動作するプロトタイプを構築しました。まず、端末の認証テストにおいて、認証されていない要求を受け取った際にスマートフォンやモジュールが自らのIMEIを開示しないことを確認すべきだとしています。これはまさに、例のボード2機種が情報を漏洩してしまった抜け穴です。また、届け出用のポータルサイトでは、連邦政府機関がすでに利用しているものと同じ第三者サービスを使い、届け出者に政府発行身分証明書による本人確認を求めるべきだとしています。
所有権の確認においては、その端末が届け出者の契約プランと一致しているかどうかを含む複数のシグナルを組み合わせて判断し、疑わしいケースは実店舗での確認に回すべきだとしています。さらに、キャリア間でやり取りされる記録には、届け出者が過去に本人確認を受けたことがあるかどうかなど、現在は省略されている安全性に関する詳細情報を含めるべきだとしており、これにより受け取る側のキャリアがそのブロック要求を信頼すべきかどうかを判断できるようになります。
研究チームは、影響を受けるキャリア各社、チップセットベンダー、端末メーカーに対してこの問題を通知しました。GSMAはこの調査結果を認め、傘下の端末セキュリティ部会に情報を伝えたとしています。Tu氏は、本当に端末を紛失した利用者向けの手続きはそのままにしつつ、攻撃を仕掛けるコストを引き上げることが目的だと述べています。
翻訳元: https://www.helpnetsecurity.com/2026/09/11/cellular-network-lost-phone-reporting/
