SIM Swap Attack

SIM 卡交換攻擊具體是怎麼執行的？攻擊者需要什麼條件才能成功？

最常見的執行路徑，是攻擊者先透過各種管道蒐集受害者的個人資訊（生日、地址、身分證件末幾碼、社群媒體公開的細節），接著聯繫受害者使用的電信商客服，假冒成受害者本人，聲稱手機遺失或損壞，要求把門號轉移到一張新的 SIM 卡上——如果電信商的身分驗證流程不夠嚴謹，光靠這些蒐集來的個資就可能通過驗證。另一種更直接的路徑，是攻擊者收買電信商內部員工，直接在系統後台完成門號轉移，完全繞過任何前台驗證流程。

一旦門號成功轉移，受害者原本的手機會立刻失去訊號（畫面顯示「無服務」或「緊急電話專用」），而攻擊者的裝置則開始接收所有原本要傳給受害者的簡訊與來電，包括交易所、錢包服務、銀行帳戶的簡訊驗證碼——這代表攻擊真正的門檻不在技術層面，而在於電信商的身分驗證流程有多容易被繞過。

為什麼加密貨幣持有者特別容易成為 SIM 卡交換攻擊的目標？

最直接的原因，是多數傳統網路服務（銀行、社群媒體、電商平台）就算帳號被入侵，能造成的實質損失通常有限、且事後有機會透過銀行凍結、爭議款項等機制部分挽回；但加密貨幣一旦被轉出，交易本身具有不可逆的特性，一旦攻擊者用簡訊驗證碼登入交易所帳號、完成提款，資產幾乎不可能追回，這讓加密貨幣持有人成為報酬率極高的攻擊目標。

另外，區塊鏈資料的公開透明性也讓攻擊者更容易挑選目標——如果攻擊者能透過鏈上分析工具或社群媒體上不經意的資訊，把某個真實姓名跟一個持有大量資產的錢包地址連結起來，就等於同時掌握了「這個人值不值得攻擊」跟「這個人是誰」兩項關鍵資訊，SIM 卡交換攻擊在這種情境下，變成一種針對已識別高價值目標、投資報酬率很高的犯罪手法，而不是隨機亂槍打鳥。

有沒有具體案例可以說明這類攻擊的實際規模跟法律後果？

加密貨幣投資人 Michael Terpin 對電信商 AT&T 提起的訴訟是這類案件中最受矚目的長期案例之一：2018 年 1 月，Terpin 遭遇 SIM 卡交換攻擊，損失約 2,400 萬美元的加密貨幣，這起訴訟纏訟多年，2026 年 3 月已排定進入陪審團審判，案件核心爭點是電信商未能落實身分驗證，是否構成《聯邦通訊法》第 222 條所規範的疏失責任。另一起案例是 T-Mobile，因 2020 年一起與加密貨幣竊盜相關的 SIM 卡交換事件，支付了 3,300 萬美元的和解金。

產業層級的數據也顯示這個問題持續惡化：部分身分保護機構回報，SIM 卡交換案件數量近年出現數倍成長，其中絕大多數案例受害者完全沒有察覺任何異常互動——換句話說，多數受害者不是因為自己做錯什麼、點了釣魚連結才中招，而是電信商內部的驗證流程本身就存在漏洞，這也是為什麼近年美國聯邦通訊委員會（FCC）開始對電信商的客戶資料保護疏失加重裁罰。

一般加密貨幣持有人實際上該怎麼防範這類攻擊？

最直接有效的做法，是徹底避免用簡訊作為雙重驗證的唯一方式——改用硬體安全金鑰（如 YubiKey）或驗證器 App（如 Google Authenticator、Authy）取代簡訊驗證碼，因為這兩種方式都不依賴電信商的門號控制權，即使門號被攻擊者奪走，也無法完成驗證。多數主流交易所跟部分錢包服務都支援這兩種進階驗證方式，只是預設選項通常還是簡訊，需要使用者自己主動去設定切換。

另外，部分電信商提供「額外 PIN 碼」或「port-out 鎖定」這類進階帳戶保護功能，能在門號要被轉移時額外要求一組只有本人知道的密碼，建議主動聯繫電信商開通這類保護（不要假設預設就有開啟）。更根本的原則是把大額加密資產轉移到不依賴手機驗證的離線儲存方式（如硬體錢包），因為即使攻擊者成功完成 SIM 卡交換，如果資產根本不在需要簡訊驗證才能動用的平台上，這整套攻擊路徑就會直接失效。