SIM スワップ攻撃：電話番号はあなたの本人確認にならない

2024年1月9日、米国証券取引委員会（SEC）の公式 X アカウントが、ビットコインの現物 ETF が承認されたと発表しました。ビットコインはこの見出しを受けて急騰し、SEC が「その投稿は偽物だ」と表明すると下落しました。何が起きたのかは、後に当局自身が明らかにしています。X が侵害されたわけでも、SEC のネットワークが破られたわけでもありません。攻撃者が SIM スワップ――ごく普通のキャリアのサポート手続きを悪用する手口――によってアカウントに紐づく電話番号を奪い、それを使ってアカウントのパスワードをリセットしていたのです。本物の ETF 承認は、その翌日に訪れました。教訓のほうは、その場で訪れました。

あらゆる SIM スワップ攻撃は、同じ静かな前提の上に成り立っています。はっきり言葉にして退けておく価値のある前提です――「あなたの電話番号はあなた自身である」というものです。そんなことはありません。電話番号とは、キャリアから借りているルーティング用のラベルにすぎず、キャリアはそれを数分でどの SIM カードにでも付け替えられます――これは、あなたがスマホを失くしたその日のために作られた「機能」です。あらゆる SMS コード、あらゆる「リセットリンクを SMS で送ります」、あなたの番号を回復手段として登録しているあらゆるアカウントが、その機能を受け継いでいます。もしあなたの暗号資産がその下流のどこかに置かれているなら、あなたが決して耳にすることのないサポート窓口での会話が、あなたのセキュリティモデルの一部なのです。

SIM スワップとは、実際には何か

SIM スワップとは、モバイルキャリアを言いくるめる、あるいは買収することで、被害者の電話番号を攻撃者が支配する SIM カードへ移させる攻撃です。被害者のスマホは何一つハッキングされません。端末には一切触れられないのです。攻撃者はまず、データ漏洩、SNS、フィッシングから個人情報を集め、次に被害者になりすまして、スマホを失くした・壊したという筋書きでキャリアのサポート窓口に電話します。ほかにも記録に残る事例では、攻撃者が店舗の従業員に金を払って内側から移管を実行させたり、番号をまったく別のキャリアへポートアウトさせたりしています。

スワップが完了した瞬間から、被害者の端末には「圏外」と表示され、その番号に送られるすべての通話と SMS は攻撃者の端末が受け取ります。その後に続く手順は素早く、定型化されています。被害者のメールでパスワードのリセットを要求し、いまや攻撃者のスマホに届く SMS コードでそれを承認し、そこからそのメールが支配するあらゆるものへと外側へ広げていく――まずは取引所のアカウントから。SIM スワップによる窃盗は、夜間のうちに一気に実行されるのが常で、被害者が「なぜスマホが静かになったのか」を理解する前に終わっています。

2,400万ドルの窃盗、連邦機関、そして何年もの警告

これは何一つ机上の話ではなく、何一つ新しくもありません。2018年、暗号資産投資家のマイケル・ターピン氏は、自身の番号がスワップされたことで約2,400万ドル相当のトークンを失いました――本人の証言によれば、キャリア店舗の内部協力があったといいます――そして彼が AT&T を相手取って起こした訴訟は、その時代でもっとも広く報じられた SIM スワップ事件の一つになりました。裁判所はのちに、この窃盗の首謀者の一人に対し、約7,500万ドルの損害賠償を彼に認めています。

2024年1月の SEC の事件は、そのスペクトルの反対端を示しました――盗むべき資金など持たない、その「声」ゆえに狙われた標的です。当局の X アカウントに紐づく番号は新しい SIM へ移され、SEC 自身の説明によれば、アカウントの追加の多要素認証は数か月前にオフにされていた――だからこそ、番号を握るだけでパスワードをリセットし、投稿するのに十分だったのです。連邦検察は同年のうちに、このスワップの罪で男を起訴しました。サポート窓口での小細工が、規制当局を乗っ取ることでビットコイン市場を一瞬でも動かせるのなら、SMS で守られた取引所のアカウントなど、堅い標的ではありません。

FBI のインターネット犯罪苦情センター（IC3）は、この手口について何年も警告を発しており、2021年だけで報告ベースの SIM スワップ被害を6,800万ドル超記録しました――これは、その前3年間の合計の数倍にあたります。規制当局はその後、番号を移す前の本人確認をより厳格にするようキャリアに促してきており、それは端々では役立っています。しかし、構造的な事実は動きません。サポートのワークフローを通じて付け替えられる番号は、そのワークフローを悪用することでも付け替えられるのです。

なぜ暗号資産が格好の標的なのか

SIM スワップは暗号資産より前から存在し――銀行口座や SNS に対して何年も使われてきました――しかし暗号資産は、この攻撃の経済的な採算を変えました。不正な銀行送金は、フラグを立てられ、凍結され、多くの場合は取り消せます。暗号資産の出金は数分で確定し、そして最終的です。被害者が番号を取り戻すころには、資金はすでにチェーンをまたいでいるか、ミキサーに入っています。盗んだ番号を数時間だけ握る攻撃者にとって、SMS で守られた取引所のアカウントは、その番号が開けるもっとも価値の高い扉なのです。

公平を期すために、但し書きを付けておきます。SMS の二要素認証（2FA）は、それでもパスワード単体よりはましであり、リモートからのクレデンシャルスタッフィング攻撃の大半を退けます。取引所も改善してきました――アプリベースの認証コード、ハードウェアセキュリティキー、出金先アドレスのホワイトリスト、そして時間差のある出金は、主要なプラットフォームで広く利用でき、そのいずれも今日すぐ有効にする価値があります。問題は、SMS 2FA が何の役にも立たないということではありません。問題は、それがまさに「あなたの番号を奪った攻撃者」に対して破られるということ――そしてそれこそが、暗号資産が引き寄せる攻撃者だということです。

電話番号で回復できるアカウントは、突き詰めれば、あなたのキャリアが「あなただ」と信じた者に支配されている。

それでも番号に依存するアカウントを固める

サービスによっては、電話番号を紐づけたままにするよう頑なに求めてきます。目標は、その番号にできることを縮めることです。

1. 回復フローから番号を外す。まずはメインのメールアカウントから――ほかのあらゆるリセットが経由するハブだからです。アカウントが SMS で回復できるなら、あなたの番号を握る攻撃者に、あなたのパスワードは必要ありません。
2. SMS 2FA を認証アプリかハードウェアキーに置き換える。端末上で生成されるコードはキャリアのネットワークを一切通らず、FIDO2 のハードウェアキーはフィッシングそのものに耐えます。
3. キャリア側で番号をロックする。主要なキャリアの多くは、ポートアウト用の PIN、番号ロック、あるいはその両方を提供しています。どちらも無敵ではありませんが、サポート窓口を欺く詐欺のコストを大幅に引き上げます。
4. 取引所のアカウントには専用のメールアドレスを使う――どこにも公開されておらず、電話番号も一切紐づいていないものを。
5. 電波の突然の喪失をインシデントとして扱う。周囲のスマホは動いているのに自分のスマホが「圏外」に落ちたら、別の回線からキャリアに電話し、真っ先に――最後にではなく――取引所のアカウントを凍結してください。

こうした手立ては攻撃対象領域を縮めますが、なくすことはできません。根本の問題はアーキテクチャにあります――あなたが支配できないサポート窓口で終端する、回復の連鎖です。

構造的な解決策：借りている番号ではなく、自分が持つ鍵

セルフカストディは、問題の角を削るのではなく、問題の形そのものを変えます。セルフカストディウォレットには、回復すべきアカウントがありません。資金の支配とは秘密鍵の所有であり、どこのサポート窓口も秘密鍵を付け替えることはできないのです。Ownbit はまさにその前提の上に作られています――鍵はあなたの端末上で生成・保管され、電話番号に基づく回復経路はそもそも一切存在せず、そしてウォレットのセキュリティモデルは、Ownbit 自身のサーバーが資金に決して触れられないことを前提にしています。サーバーは署名を調整するだけで、鍵を保持することは決してありません。

正直であるためには、次の一文も欠かせません。セルフカストディは、キャリアのリスクを鍵管理のリスクと引き換えにするのです。すべてを守る単一のシードフレーズは、それ自体が単一障害点です――写真に撮られたバックアップが一つ、あるいはフィッシングで抜かれたフレーズが一つあれば、結末は「手間の増えた SIM スワップ」のようなものになります。答えは SMS に戻ることではありません。支配を分割することです。マルチシグウォレットでは、資金を動かすのに複数の独立した鍵による署名が必要になります――一般的には3つのうち2つ、私たちが個人カストディの最適解だと論じてきたしきい値です。いずれか一つのチャネルを突破した攻撃者――フィッシングで抜いたフレーズ一つ、盗んだスマホ一つ、あるいはそれこそ、署名者をソーシャルエンジニアリングするために使われたスワップ済みの SIM 一つ――でも、一人ではしきい値に到達できません。

SIM スワップ攻撃は、鍵の所有が始まるところで終わります。Ownbit のマルチシグにおけるすべての鍵は標準的な BIP39 シードフレーズなので、この構成は Ownbit のサーバーがなくても回復可能なままです。2つのモデルの対比こそが、この記事の主張のすべてです。一方は、第三者が数分で付け替えられる資格情報に支配を集中させる。もう一方は、あなたと、あなたが選んだ人々だけがこれまで所有してきた鍵に、支配を分散させる。

よくある質問