電話番号を奪われメールやSNSのアカウントも丸ごと乗っ取られる「SIMハイジャック」

by Mike Yukhtenko

スマートフォンなどを使用するために必須のSIMカードを乗っ取る「SIMハイジャック」と呼ばれる攻撃が存在します。そんなSIMハイジャックを体験した人物が、その恐ろしい攻撃の詳細について告白しています。

'I Could Ruin Your Business Right Now': Listen to a SIM-Jacking, Account-Stealing Ransom - Motherboard
https://motherboard.vice.com/en_us/article/5984zn/listen-to-sim-jacking-account-ransom-instagram-email-tmobile

ある日、ジャレッド・ゲッツ氏の持つアメリカン・エキスプレスのクレジットカードを使い、何者かが不正に3万9000ドル(約440万円)のウェブドメインを購入しました。最初、ゲッツ氏はアメリカン・エキスプレスに取引内容が不正なものであったと連絡しますが、その頃はクレジットカードの不正利用が大きな問題になるとは考えていなかったそうです。

しかし、事態は急速に悪化していきます。ゲッツ氏の携帯電話で突然すべてのサービスが使用できなくなり、電話はおろか、テキストの送受信やオンラインサービスへのアクセスもできなくなってしまったそうです。ゲッツ氏は携帯キャリアに料金を支払い忘れていたためサービスが使えなくなってしまったのかと思ったそうですが、すぐに自分のキャリア・アカウントのパスワードが変更されていることに気づきます。続いて、自身のメールアカウントにもログインできなくなっていることに気づき、何者かから攻撃を受けていることを自覚したそうです。

ゲッツ氏は自分の身に何が起きているのかを理解するため冷静になろうと努めていたところ、自身の携帯電話が鳴り、知らない番号から電話がかかってきたそうです。電話に出ると、受話器の向こうから「3ビットコイン(約200万円)が欲しい」という声が聞こえてきて、ゲッツ氏を攻撃しているハッカーから、携帯電話やメールアカウントを使用したければ身代金を支払うよう要求されます。なお、電話をかけてきたハッカーによると、ゲッツ氏は3人目の犠牲者であるとのこと。

コンピューター内に保存されているファイルを暗号化して「ファイルを開きたければ身代金を支払え」と要求してくるランサムウェアと呼ばれるマルウェアが存在しますが、ゲッツ氏が受けたのはこれとは少し異なる、電話番号を奪われる「SIMハイジャック」と呼ばれる攻撃です。

電話番号が奪われてしまうSIMハイジャックの脅威とは？ - GIGAZINE

ゲッツ氏はこのハッカーとの電話をなんと1時間半も続けたそうで、その中でSIMハイジャックを仕掛けてきたのはドイツ在住の17歳のセバスチャンと名乗る青年であることがわかります。なお、セバスチャンによると、Cryptocurrency Newsでゲッツ氏のインタビューを見かけたため攻撃のターゲットに決めたとのこと。

セバスチャンと名乗るハッカーは、ゲッツ氏の使用するSIMカードをハイジャックし、各種サービスのパスワードをリセットして新しいパスワードを発行。SIMハイジャックに成功しているため電話番号はセバスチャンが握っており、二段階認証もバイパス可能となってしまっていたそうです。セバスチャンはどうやってSIMハイジャックを仕掛けたかについて詳細には語らなかったそうですが、海外メディアのMotherboardは以前の調査で比較的簡単にSIMハイジャックが可能と指摘しています。

実際、携帯キャリアで働く従業員に賄賂を渡すことでSIMハイジャックを成功させる事例もあります。ベライゾンの小売業者で働く女性スタッフは、過去にハッカーからSIMハイジャックを手伝って欲しいとコンタクトを受けたことがあるそうです。ハッカーはターゲットのアカウントのPINコードを要求し、それを伝えると賄賂を振り込んできたと女性は明かしています。

女性スタッフはInstagram経由でハッカーから連絡を受けたそうで、メッセージには「ビジネスアカウントの番号を知っているんだけど、アクセスのためのPINコードか秘密の質問がわからないんだ。もしも君がこれを教えてくれたら、25アカウントごとに2500ドル(約28万円)支払う用意がある」と書かれています。

Motherboardが複数の信頼筋から入手した情報によると、ゲッツ氏が使用していた携帯キャリアの「T-モバイル」は、従業員がハッカーに秘密裏に情報を流すという問題を抱えているそうです。ただし、MotherboardがT-モバイルにコメントを求めたところ、「我々はセキュリティを強化するために常に努力しており、詐欺行為に先立ち顧客を保護することができます。当社はワイヤレス業界全体の消費者をターゲットとした継続的かつ絶えず変化する攻撃を認識しており、顧客の安全を確保するために戦い続けるつもりです」という回答しか得られなかったそうです。

ゲッツ氏はハッカーのセバスチャンと交渉するため1時間以上にわたって対話を続けたそうですが、初めからビットコインを送金するつもりはなかったとしています。代わりに別の仮想通貨であるRippleを送金すると提案し、その中でなぜセバスチャンがお金を求めているのかを尋ねたそうです。セバスチャンは過去に犯した間違いを後悔しているようで、自身も過去に大きなミスをした経験があったため、ゲッツ氏はセバスチャンに融資を申し出たと話しています。

長いやり取りの中で、ゲッツ氏は最終的にセバスチャンから謝罪を受けることに成功。さらに、ゲッツ氏はセバスチャンのGoogle Voice番号をゲットし、後日チャットで再び話合う約束を取り付けています。

なお、ゲッツ氏がハッカーのセバスチャンと電話で話した内容の一部は、MotherboardのSoundCloudアカウント上にアップロードされており、「Ransom Audio」という名前で公開されています。

Joseph Cox, Motherboard | Free Listening on SoundCloud