二段階認証を無力化する「SIMスワッピング（SIM Swapping）」と携帯電話番号認証のリスク
SMSを使う認証は、SIM変更や番号移行などのリスクを考慮して運用する必要があります。利用できる場合はパスキーやセキュリティキーなど、フィッシング耐性のある認証手段も検討してください。
【背景と概要】
二要素認証・多要素認証（MFA）の手段として、広く利用されてきた「SMS（ショートメッセージ）によるワンタイムパスワード（OTP）」の送信。しかし、このSMS認証の仕組みを根本から無効化する「SIMスワッピング（SIM Swapping）」と呼ばれるフィッシング・詐欺手口が世界中で被害を広げています。
携帯電話番号を乗っ取ることで、被害者のスマートフォンに届くはずの認証コードを攻撃者の端末で直接受信してしまうため、オンライン銀行口座の不正送金や、クラウドサービスのアカウント奪取（乗っ取り）に悪用される事例が報告されています。
【SIMスワッピングの手口とメカニズム】
サイバー空間でのハッキングと、物理的なソーシャルエンジニアリングを組み合わせた手法です。
- 事前情報の収集（フィッシングやOSINT）
攻撃者はあらかじめフィッシング詐欺や闇市場（ダークウェブ）を通じて、標的の「氏名」「生年月日」「住所」「携帯電話番号」「暗証番号」などの個人情報を特定しておきます。
- 携帯キャリア（ショップ・サポート）での偽装手続き
携帯キャリアの店舗やオンラインサポート窓口に対し、偽造した身分証明書を持参するか、盗み出した個人情報を提示して「スマホを紛失したので、新しいSIMカードを発行してほしい」と偽りの手続き（SIM再発行）を行います。
- 通信の完全乗っ取りとSMSの横取り
キャリア側で新しいSIMカードが有効化されると、被害者の手元にあるスマートフォンの通信は突然不通（圏外）になります。一方、攻撃者の端末に挿入された新SIMカード宛に、被害者宛の電話やSMS（ワンタイムコード）がすべて届くようになります。
【なぜSMS認証は「安全なMFA」と言えなくなったのか】
米国NIST（標準技術研究所）をはじめとするセキュリティ機関は、SMS認証を「通信の盗聴やSIMスワッピングに対して脆弱な認証方式」と位置づけ、重要システムでの利用の廃止・見直しを勧告しています。
【企業における脱・SMS認証と代替アプローチ】
通信キャリアや電話番号に依存しない、強力な認証手段への切り替えが求められます。
- タイムベースワンタイムパスワード（TOTP）アプリへの移行
SMS認証を廃止し、`Google Authenticator` や `Microsoft Authenticator` などの認証アプリ（TOTP）によるコード生成方式へ移行します。端末内のアプリで生成されるため、SIMを交換されてもコードは流出しません。
- FIDO2 / パスキー（Passkey）の導入
公開鍵暗号技術に基づくパスキーやセキュリティキー（YubiKey等）を導入します。端末とWebサイトのドメインが強固に紐付くため、SIMスワッピングやフィッシング攻撃を根本的に無効化できます。
- アカウントリカバリープロセスの厳格化
「パスワードを忘れた場合の再設定手段」としてSMSコード送信のみを設定している場合、それが弱点（単一障害点）となるため、複数の認証要素や管理者承認を必須とするプロセスへ見直します。