リセットボタンではなく、まずキャリアへ
パスワードリセットとSIMスワップは、外から見ると似ています。ログインできず、以前はSMSで届いていたコードも使えない。違いは、どこで問題が起きているかです。パスワード忘れは1つのアカウント内の問題です。SIMスワップは電話番号そのものの問題で、その番号に依存するすべてのアカウントを一度に遮断しえます。
つまり最初の判断は「どのパスワードをリセットするか」ではなく、「この番号はまだ自分のものか」です。
パスワードではなく番号を示すサイン
どちらのチェックリストを実行するかは、単一の症状ではなく、失敗のパターンで判断します。
| 観察されること | より可能性が高い説明 | 最初の行動 |
|---|---|---|
| 1つのサービスだけパスワードを拒否されるが、通話とSMSは正常に届く | パスワード忘れ、または入力ミス | そのサービスで通常のアカウント復旧を行う |
| 通話・SMS・モバイルデータが同時に止まり、身に覚えのないSIM有効化通知が届く | SIMスワップの可能性 | 直ちにキャリアへ連絡する |
| 一部の送信者からのSMSは届くが、認証コードだけ届かない | 不明。サービス、番号、端末のいずれかが原因の可能性 | 何かをリセットする前に、キャリアに連絡して番号の状態を確認する |
| 自分が要求していないSIM変更についてキャリアからメッセージが届く | SIMスワップの可能性 | 直ちにキャリアへ連絡する |
通話・SMS・データが突然まとめて失われ、身に覚えのないSIM有効化通知が伴う場合、SIMスワップを示している可能性があります。出典
自分が要求していない有効化についてのキャリアからのメッセージは、電話をかける理由であって、攻撃の証拠ではありません。キャリアは正当な通知も送りますし、端末やプランの変更でサービスが中断することもあります。電話をかける目的は、攻撃者が同時にリセットしているかもしれないパスワードをリセットし始める前に、自分がどの状況にあるのかを確認することです。
キャリア優先のインシデントチェックリスト
次の順番で進めます。番号を他人が制御している間は、SMSで送られるパスワードリセットが役に立たず、逆効果になりかねないため、順序が重要です。
- すでに知っている番号でキャリアに電話する。 請求書、キャリアのアプリ、自分で保存した連絡先にある番号を使います。SIMの「確認」や「復元」を求める身に覚えのないメッセージに書かれた番号は使わないでください。
- 具体的な問題を伝える。 通話・SMS・データが同時に止まったこと、自分が要求していないSIM有効化通知を受け取ったことを伝えます。キャリアにSIMが変更されたかどうかを確認し、番号の制御を取り戻すよう依頼します。
- キャリアが提供する保護を確認する。 キャリアPINやアカウントロックは、再発のリスクを減らせます。これはリスクの低減であって、解決策ではありません。
- 番号の制御が戻ってから初めて、パスワードを変更する。 送金ができるアカウントや他のアカウントをリセットできるアカウントから始め、外側へ広げていきます。
- 可能な限りSMSのみの認証を置き換える。 サービスが対応していれば、認証アプリ、パスキー、ハードウェアキーへ移行します。自分で制御できる復旧方法を少なくとも1つ残しておきます。
- 空白期間中に行われた変更を確認する。 特に重要なアカウントについて、新しいログイン通知、変更された復旧先アドレス、新しい支払い方法、転送ルールがないかを見ます。
- 起きたことを記録する。 障害に最初に気づいた時刻、キャリアの参照番号、変更したアカウントを記録します。後で請求に異議を唱える必要が生じたときに役立ちます。
FTCは、直ちに携帯キャリアに連絡して番号の制御を取り戻し、その後で影響を受けたアカウントのパスワードを変更するよう勧めています。出典
この順序は、公式の手順（まず番号を取り戻し、次にパスワードを変更する）に基づく編集上の助言です。番号がまだ他人に制御されている間にパスワードをリセットすると、攻撃者に新しいコードを渡してしまう可能性があります。
アカウント依存関係の台帳を作る
SIMスワップがパスワード忘れより厄介なのは、依存関係があるからです。多くのアカウントが同じ番号をログイン名、復旧経路、第二要素として使っています。必要になる前に、それを整理しておきましょう。
| 列 | 記録する内容 | なぜ重要か |
|---|---|---|
| アカウント | サービスの名前 | リストを具体的に保つ |
| 番号の役割 | ログイン名、復旧経路、SMS第二要素、通知のみ | 番号を失ったときに何が壊れるかがわかる |
| より強固な選択肢の有無 | 認証アプリ、パスキー、ハードウェアキー、バックアップコード | SMS依存を減らす箇所がわかる |
| 自分で制御できる復旧方法 | バックアップ用メール、印刷したコード、第二の端末 | 番号の喪失に耐えられる必要がある |
| 優先度 | お金、メール、その他すべて | パスワード変更の順序を決める |
台帳を役立つものにするルールは2つあります。第一に、電話番号に依存しない復旧方法を少なくとも1つ確保し、電話なしでアクセスできる場所に保管します。第二に、別の方法でサインインできることを確認するまで、復旧方法を削除しないことです。自分で制御する最後の経路を削除すると、永久に締め出される可能性があります。
SMS認証はSIMスワップで侵害されうるため、キャリアPINやより強固なアカウント認証はリスクを減らせますが、保証ではありません。出典
キャリアPINや認証アプリはリスクの低減であって、保証ではありません。SMSにフォールバックするサービスもあれば、電話でアカウントをリセットしてくれるサポート担当者もいます。台帳には、そうしたフォールバックがどこにあるかを示しておくべきです。
SIMスワップでない可能性が高い場合
すべての障害が攻撃とは限らず、特定の人物や場所を疑ってもアカウントの復旧には役立ちません。インシデントをスワップとして扱う前に、ありふれた原因を除外しましょう。
- 1つのサービスだけ： 通話とSMSがまだ機能しているなら、問題はそのアカウント内にある可能性が高く、通常の復旧が当てはまります。
- 端末やプランの変更： 新しい電話、eSIMの移行、プラン変更でサービスが中断することがあります。キャリアが何が起きたかを確認できます。
- キャリアの障害： 詐欺だと決めつける前に、キャリアが地域的な障害を報告していないか確認します。
- 認証コードだけ届かない： 友人からのSMSは届くのにコードが届かない場合、原因は不明です。何度もリセットするのではなく、キャリアに番号の状態を確認してもらいましょう。
自分が要求していないSIM変更をキャリアが確認した場合は、サービスがすぐに戻ったとしてもセキュリティインシデントとして扱います。攻撃者がその空白期間を使ってアカウントをリセットした可能性があり、そのリセットは自然には元に戻りません。
自分で維持できる復旧経路
パスワード忘れはそれだけで復旧できます。SIMスワップは多くのアカウントが共有する復旧経路を奪うため、実用的な目標は、すべてを単一の番号に依存しないようにすることです。
どのサービスが自分の番号を使っているかを整理しているなら、電話番号に紐づくすべてのアカウントを見つける方法のガイドが次の一歩として適切です。作成したリストは自分の確認の出発点として扱い、完全な一覧とは考えず、各アカウントはそのアカウント自身の復旧手続きで確認してください。
TruthsSeekが紹介するアプリTraceSeekは、3,000+のプラットフォームでユーザー名を検索し、最初のスキャンは無料で20-30秒かかります。その最初のスキャンには登録もログインも不要です。これはユーザー名に紐づく公開プロフィールを見つけるのに役立ちますが、電話番号を復元するものではなく、公開プロフィールの一致は手がかりであって、アカウントの所有者の証明ではありません。