取引所の二段階認証をすでに認証アプリに切り替えているなら、SIMスワップ攻撃をもう完全に心配しなくてよいのですか？
認証アプリへの切り替えは、攻撃者が番号を奪って認証コードを取得することを効果的に防ぐが、これは攻撃連鎖の一つの部分を解決するだけであり、全体的なリスクがゼロになるわけではない。攻撃者がSIMスワップに成功した後、認証アプリを迂回しようとする以外にも、番号を利用してアカウントのパスワードリセットプロセスをトリガーしようとする可能性がある——一部のサービスのパスワード復旧メカニズムは、紐づけられた携帯電話やSMSにリセットリンクを送信する。もしあなたのパスワード復旧経路がたまたまその携帯電話に依存している場合、二段階認証自体は認証アプリを使っていても、攻撃者は「パスワードを忘れた」という経路を通じて迂回的にアカウントに侵入する機会を依然として持つことになる。
より完全な保護は、アカウント復旧プロセスがどの経路を使っているかも併せて確認し、その復旧経路が二段階認証の経路と同じ、攻撃者に容易にコントロールされ得る電話番号ではないことを確保することだ。例えばパスワード復旧用のメールアドレスを、電話番号に紐づいていない独立したアドレスに設定すれば、たとえ番号が奪われても、攻撃者はパスワードリセットを通じて認証アプリの保護を迂回できなくなる。
出金ホワイトリスト機能は実際にどう設定すればよいですか？取引がかえって不便になりませんか？
ほとんどの主要取引所はアカウントセキュリティ設定内に出金アドレスホワイトリスト機能を用意している。設定方法は通常、まず長期的に使用し信頼できるアドレス（自分のハードウェアウォレットアドレスなど）をホワイトリストに追加し、その後すべての出金はホワイトリスト内のアドレスにのみ送金できるというものだ。新しいアドレスを追加する場合、システムは通常追加の確認プロセスを要求し、有効になるまで一定の待機期間（例えば24〜48時間）が設けられることもある。
これは確かに、急に新しいアドレスに資産を送りたいときに、余分な待ち時間がかかることを意味するが、この「不便さ」こそがこの機能の保護価値の核心だ——攻撃者があなたのアカウントのコントロールを奪っても、この待機期間と追加の確認プロセスにより、攻撃者は即座に資産を自分のアドレスに移せなくなり、あなたはその待機期間中に異常に気づき対処する機会を得られる。実務上より良いやり方は、自分がよく使ういくつかのアドレスを事前にホワイトリストに追加しておき、急に新しいアドレスを追加する必要が生じる頻度を減らすことだ。これによりセキュリティを保ちながら、日常の利便性を過度に損なうこともない。
個人的な保護対策以外に、取引所自体にSIMスワップ攻撃のリスクをさらに下げられる仕組みはありますか？
一部の取引所は、アカウントのログインデバイスや所在地域に異常な変化を検知すると、追加の人手による審査プロセスを能動的にトリガーする。たとえ攻撃者がすでにSIMスワップを完了させ、認証コードの段階を通過していても、異常なログインパターン自体がシステムによってフラグされる可能性があり、大口出金を完了させるにはさらなる本人確認が求められる。この種のリスク管理メカニズムは完璧ではないが、攻撃連鎖の後半段階に確かに一層の阻止機会を追加する。
取引所を選ぶ際には、「異常な行動の検知と人手による審査メカニズムを備えているか」を評価基準の一つに組み込む価値がある。通常、規模が大きく、コンプライアンス要件がより厳格な取引所の方が、この分野への投資が充実している傾向がある。また取引所が「アカウントアクティビティ通知」機能を提供しているかも確認する価値がある——見慣れないデバイスからのログインや出金申請があった瞬間、メールなどの経路で即座に通知してくれる。これにより、資産がすでに転出された後で気づくのではなく、攻撃が発生した最初の瞬間に介入する機会が得られる。
もし実際にSIMスワップ攻撃に遭ってしまったら、最初に何をすべきですか？
携帯電話が突然完全に信号を失い（画面に「サービスなし」または「緊急通話のみ」と表示される）、自分で番号移転を申請していない場合、これは通常SIMスワップが発生している、あるいはすでに発生した明確な兆候である。最初にすべきことは、別のデバイスを使うか他人の携帯電話を借りて、直接通信キャリアのカスタマーサービスに連絡し、番号の緊急凍結を要求し、未承認の移転申請があるかを確認することだ。同時に、その番号に紐づけられたすべての金融口座と暗号資産口座に連絡し、凍結または出金機能の一時停止を積極的に申請し、攻撃者が資産の転出を完了させる前に時間を稼ぐ。
事後には、完全なタイムラインの記録（番号が異常になった正確な時刻、通信キャリアや各プラットフォームへの連絡の時刻と会話記録）を保存しておくことも推奨される。これらの記録はプラットフォームや法執行機関のその後の調査に役立つだけでなく、将来通信キャリアに対して法的請求を行う必要が生じた場合の重要な証拠にもなる——Michael Terpin氏のAT&Tに対する訴訟が示すように、通信キャリアの過失責任の認定は、しばしば詳細な事件記録に大きく依存する。
ほとんどの人が取引所アカウントのセキュリティを設定する際、パスワードの強度や二段階認証が有効かどうかといった目に見える設定に自然と重点を置くが、一つのことにほとんど気づいていない——その二段階認証がSMSに依存している場合、あなたのアカウントの本当のセキュリティ境界は取引所側にあるのではなく、通信キャリアの手の中にあるのだ。SIMスワップ攻撃が迂回するのは、あなた自身が設けた防御線ではなく、この防御線全体の最も上流にある、あなたがまったくコントロールできない部分である。
資金に関連するすべてのアカウント（取引所、ウォレットアプリ、さらには紐づけられたメールアドレス）を一つずつ確認し、二段階認証がSMS認証コード、認証アプリ（Google AuthenticatorやAuthyなど）、あるいはハードウェアセキュリティキーのどれを使っているかをチェックする。まだSMSを唯一の認証方法として使っているアカウントが見つかれば、優先的に認証アプリまたはハードウェアキーに切り替える——この二つの方法が生成する認証コードは完全に自分自身のデバイス上で計算され、通信キャリアのネットワークを一切経由しないため、たとえ攻撃者に番号を奪われても、この認証コードを手に入れることはできない。ほとんどの主要取引所ではアカウントセキュリティ設定ページでこの切り替えができ、通常は数分の作業だが、SIMスワップ攻撃に対して最も直接的で効果的な一歩である。
ほとんどの通信キャリアは高度なアカウント保護機能を提供しているが、通常はデフォルトで無効になっており、ユーザーが積極的にカスタマーサービスに連絡して有効化する必要がある。一般的な保護には、番号移転にはすべて本人だけが知る追加のPINコードの入力を必須とすること、「ポートアウトロック」を有効にして追加の確認なしに番号が他の通信キャリアやデバイスに移されるのを防ぐこと、システムが番号の変更を検知した瞬間に元のメールアドレスや別の連絡手段に通知するアカウントアラートを設定することが含まれる。これらはどれも追加料金は不要だが、積極的に電話をかけて申請する必要がある——アカウントがデフォルトで保護されていると想定してはいけない。
SIMスワップ攻撃の第一歩は通常、攻撃者が被害者の個人情報を収集して通信キャリアのカスタマーサービスを説得することだ。この段階で利用される材料を減らすには、SNSで誕生日や住所などの詳細を公開しないこと、暗号資産について議論するアカウントが本名と追跡可能な形で結びつかないようにすること、公開された身元によってすでに露出リスクが高まっている場合は、その身元と明確な関連のない別のアカウントやウォレットに大口資産を移すことを検討することが含まれる。この段階で攻撃者があなたの情報を収集する可能性を完全にゼロにすることはできないが、攻撃者が必要とするコストと時間を大幅に引き上げ、あなたを最も狙いやすい標的ではなくすることができる。
最初の3つのステップはすべてSIMスワップ攻撃が発生する確率を下げるものだが、本当に実用的な防御は、いずれ発生するかもしれないと想定した上で、たとえ発生しても資産が安全なままである構造を設計することだ。具体的な方法には、頻繁に取引する必要のない大口資産をハードウェアウォレットなどのオフライン保管に移すこと（オフライン保管はいかなるSMS認証にも依存しないため）、取引所アカウントに出金ホワイトリストを設定し、事前に登録したアドレスにのみ送金を許可すること（たとえ攻撃者がアカウントのコントロールを奪っても、見知らぬアドレスに資産を移せなくなる）、一部の取引所が提供している「新しく追加した出金アドレスは一定期間経過後にのみ有効になる」という遅延メカニズムを積極的に有効にすることが含まれる。
SIMスワップ攻撃が特に危険なのは、それが迂回するのがあなた自身が設けた防御線ではなく、あなたがまったくコントロールできない通信キャリアのプロセスだからだ。これが「自分は注意深いから騙されない」という心構えだけでは十分な自己防衛にならない理由でもある——ほとんどの被害者は攻撃前にまったく異常な兆候に気づいていない。実際にできる調整は、この4つのステップを一度限りのアカウント健康診断として扱い、午後の時間を使って一つずつ確認し実施することであり、番号が実際に奪われたその瞬間になって初めて、自分のすべての防御線が本当に自分のコントロール下になかった基盤の上に築かれていたことに気づくのではないようにすることだ。