SIMスワッピング：賄賂でAT&Tのセキュリティを突破した手口

SIMスワッピングとは、犯罪者が被害者のスマートフォンに触れることなく、電話番号を自分たちが管理するSIMカードに移し替えて乗っ取る詐欺の手口です。

Stickler Filesのこのエピソードは、暗号資産（仮想通貨）投資家マイケル・ターピン（Michael Terpin）氏の事件を追っています。第9巡回区連邦控訴裁判所の説明によると、2018年、10代の少年がAT&Tの認定販売店の従業員に賄賂を渡し、ターピン氏の電話番号が乗っ取られました。

主なポイント

• FBIに寄せられたSIMスワッピングの被害届は、2021年に1,611件でした。2018年、2019年、2020年の3年間の合計320件の約5倍にあたります。
• 米司法省は、SIMハイジャックは電話会社の従業員への賄賂によって行われることが多く、被害者になりすましてカスタマーサービスに電話する手口も使われていると説明しています。
• ターピン氏は、2017年に発生した前回のSIMスワップの後、AT&Tが4桁ではなく6桁のコードという「追加のセキュリティ」を約束したと主張しています。
• 2019年、デトロイトの検察当局は、「The Community」と呼ばれるグループのメンバー6人と、賄賂と引き換えにグループを支援したとされる元通信会社従業員3人を起訴しました。
• 2023年11月、FCC（米連邦通信委員会）は、SIMの変更や番号ポーティングの前に通信事業者が顧客を安全に認証し、直ちに通知することを義務付ける規則を採択しました。

動画：Stickler Files · SIM Swapping: How a Bribe Got Around AT&T’s ‘Extra Security’ · 2026-10-25。Stickler Filesのその他の動画。

FCCは、番号を新しいSIMに移す「SIMスワッピング」と、新しい通信事業者に移す「ポートアウト詐欺」をひとまとめに扱っています。どちらの場合も、端末は被害者の手元にあるまま、番号への着信だけが別の場所で受けられてしまいます。検察当局によると、The Communityは被害者の番号を掌握すると、それを足がかりにメール、クラウドストレージ、暗号資産取引所のアカウントへ侵入していました。ターピン氏のケースでは、ハッカーがパスワードリセットのメッセージを受け取り、2,400万ドル相当の暗号資産を奪ったと裁判所は認定しています。

Q&A

マイケル・ターピン氏はAT&Tとの裁判に勝ったのですか？

このエピソードが扱う記録の範囲では、勝訴していません。第9巡回区連邦控訴裁判所が公表した要旨によると、2024年9月の判断では、同氏の詐欺の主張は認められず、過失の主張は退けられ、契約によって請求できる損害賠償額にも上限がありました。ただし裁判所は、通信法（Communications Act）第222条に基づく1件の請求については、事実審理で判断すべき争点があると認めました。なお同氏は、別途、2人のハッカーに対して2,200万ドルと7,500万ドルの判決を勝ち取っています。

2023年以前、通信事業者に顧客を守る義務はなかったのですか？

義務はありました。通信事業者には以前から、顧客の専有情報の機密性を保護する法的義務がありました。2023年のFCC命令は、この義務を新たに設けたのではなく、既存の規則を見直したものです。FCCは、問題は事業者ごとに保護措置の運用にばらつきがあったことと、業界全体で統一性を欠いていたことにあり、そのために一部の顧客が無防備な状態に置かれていたと指摘しています。

資料と出典

盗まれた1組のログイン情報が、大規模なアカウント乗っ取りにつながる仕組みについては、クレデンシャルスタッフィングに関する記事をご覧ください。一次資料は、連邦官報に掲載された2023年のFCC命令、The Community事件に関する司法省の発表（2019年の起訴と2021年の量刑言い渡し）、そしてAT&Tを相手取ったターピン氏の訴訟に関する第9巡回区連邦控訴裁判所の2024年の判決です。

YouTubeで全編をご覧いただけます：SIM Swapping: How a Bribe Got Around AT&T’s ‘Extra Security’