SIMスワップとは？携帯番号の乗っ取りでSMS認証が破られるしくみ、急な圏外などのサインと、気づいたときの連絡先・対策

01この記事でわかること（3行まとめ）

• SIMスワップは、本人になりすましてSIMを再発行させ、電話番号を乗っ取る手口です。番号を取られると、SMSや電話での本人確認を突破されるおそれがあります。
• 急に圏外になる、身に覚えのないSIM再発行の通知が来る、がサインです。気づいたら、Wi-Fiや固定電話、家族の電話を使って、すぐ携帯会社と金融機関に連絡します。
• 大事なアカウントは、SMS以外の二段階認証に切り替えます。パスキーや認証アプリです。携帯会社のIDとパスワードも、使い回しをやめて守ります。

アカウントの乗っ取り全体についてはアカウントの乗っ取りの用語ページで説明しています。

02SIMスワップとは？電話番号を乗っ取る手口

SIMは、スマホの中に入っている小さなカード（または本体に組み込まれたeSIM）で、「この端末はこの電話番号の持ち主のもの」と携帯会社に知らせる役目をしています。SIMが新しく発行されると、電話番号は新しいSIMのほうで使えるようになり、古いSIMは使えなくなります。機種変更や紛失のときに必要な、ふつうの手続きです。

福岡県警察は、SIMスワップを「正規の利用者になりすましてSIMカードの再発行手続きを行い、携帯電話番号などを乗っ取る手口」と説明しています。楽天証券も2026年4月6日の注意喚起で、第三者がフィッシングサイトやSNSなどで手に入れた個人情報を悪用し、利用中の携帯電話会社にSIMを再発行させて、電話番号を第三者の端末で使えるようにする手口だとしています。

つまり、スマホを盗まれたわけではありません。手元のスマホはそのままなのに、電話番号だけが他人の端末に移ってしまうのが特徴です。そのため、本人は「急に圏外になった」としか感じないことがあります。気づくのが遅れるほど、犯人がその番号で手続きを進める時間が長くなります。

03なぜ危ない？SMSの認証コードが相手に届いてしまう

ネット銀行、証券、決済アプリ、SNSなど、多くのサービスはログインやパスワードの再設定のときに、SMSで認証コード（ワンタイムパスワード）を送ります。電話番号が乗っ取られると、このコードは犯人の端末に届きます。

楽天証券は、電話番号を乗っ取られると、SMSや電話番号による追加の認証を突破され、不正ログインなどにつながるおそれがあるとしています。楽天銀行も、銀行のセキュリティ認証や本人確認を突破されるおそれがあるため「特に危険」だと書いています。楽天銀行の解説ページは、電話番号が犯人のSIMに移ると、パスワードの再設定や二要素認証を回避され、口座やSNSが悪用されると説明しています。

各社が発表している被害の例は次のとおりです。

• 楽天証券：乗っ取られた電話番号やメールアドレスを使って、複数の金融サービスで不正ログインや、サービスの申込み・変更が行われた例
• PayPay銀行：再発行されたSIMで電話番号を使い、PayPayアプリに不正ログインして身に覚えのない取引が行われた例
• 楽天銀行：楽天グループを装ったフィッシングメールで盗まれた「楽天会員ID」を悪用し、電話番号が乗っ取られる手口（2026年5月19日の注意喚起）
• 楽天モバイル：フィッシングサイトなどで楽天IDとパスワードを盗んだ第三者が、利用者のSIMを勝手にeSIMとして再発行し、通信サービスを不正に使う例（2024年4月23日の注意喚起）

04入口はフィッシング：どうやって個人情報が盗まれるのか

SIMスワップは、いきなり起きるわけではありません。先に、偽のメールやSMSで個人情報やログイン情報を集められていることがほとんどです。福岡県警察のチラシは、携帯会社を名乗る「【督促】料金未払い」といった偽メールのリンクから、携帯会社のIDとパスワードを入力させられる流れを例に挙げています。そのあと犯人は、カード会社の者だと名乗って電話をかけ、「不正利用を止めるためのワンタイムパスワードをSMSで送ったので読み上げてほしい」と言ってきます。

楽天証券が把握した例でも、「不正ログイン」を装った偽の通知メールのあと、カード会社の担当者を名乗る電話がかかってきて、メールの確認やリンク先での操作に誘導されたとしています。「本人確認」「手続き確認」を装い、認証情報や口座情報を入力させるメールもあり、送信元はフリーメール、URLはカード会社と違うフィッシングサイトだったといいます。

ここから分かる大事な点は2つです。

• 携帯会社のIDとパスワードも、狙われる情報です。銀行やカードだけでなく、携帯会社の会員ページのログイン情報も守る必要があります。
• 「SMSで届いた番号を教えて」と言われたら詐欺です。福岡県警察は、ワンタイムパスワードを絶対に教えないよう呼びかけています。

偽メール・偽SMSの見分け方はフィッシングの用語ページとスミッシングの用語ページにあります。

05よく似たほかの手口との違い

SIMスワップは、ほかの乗っ取りと混ざって語られることがあります。何を取られたかで、最初に連絡する先が変わるので、違いを整理しておきます。

実際には、フィッシングでログイン情報を盗まれたあとにSIMスワップが続く、というように組み合わさって起きます。LINEが乗っ取られた場合の取り戻し方はLINE乗っ取りの記事、偽メールを開いてしまった場合は変なメールを開いてしまったときの記事を見てください。

06SIMスワップのサイン：こんなことが起きていませんか

楽天証券、PayPay銀行、福岡県警察が挙げているサインです。1つでも当てはまったら、次の節に進んでください。

• スマホが突然圏外になり、電話やSMSが使えなくなった：楽天証券とPayPay銀行が、いちばん初めに挙げているサインです。
• 携帯会社から、身に覚えのないSIM再発行の通知が届いた
• 金融機関から、身に覚えのないログイン・取引・出金の通知が届いた
• 身に覚えのないクレジットカードの利用や、パスワード変更の通知が届いた（PayPay銀行）
• メールサービスにログインできなくなった（楽天証券）
• スマホがSIMを認識しなくなった（楽天銀行の解説ページの事例）

なお、圏外になる理由はほかにもあります。電波の届きにくい場所、携帯会社の通信障害、端末の故障などです。ただ、場所を変えても、再起動しても直らず、しかも金融機関から見覚えのない通知が来ているなら、迷わず携帯会社に連絡してください。確かめるのに時間をかけるほど、犯人が使える時間が増えます。

07まず確認：圏外が続くときにやること

1. 場所を変え、スマホを再起動する：それでも圏外のままか確かめます。
2. Wi-Fiにつないで、携帯会社の公式サイトを自分で開く：障害情報が出ていないかを見ます。メールやSMSのリンクからは開きません。
3. 携帯会社の問い合わせ窓口に連絡する：自分のスマホで電話できないときは、固定電話や家族・知人の電話を使います。番号は、携帯会社の公式サイトか、契約書類に書かれたものを使います。
4. 携帯会社に「身に覚えのないSIM（eSIM）の再発行がないか」を確かめる：あれば回線を止めてもらいます。
5. 金融機関のアプリや明細を、Wi-Fiやパソコンで確かめる：覚えのない取引があれば、次の節へ。

スマホの電話が使えなくても、Wi-Fiでインターネットには入れることがあります。この手順のもとになっているのは金融機関の案内です。PayPay銀行は、被害に遭ったときはWi-Fiやパソコンでインターネットに接続して携帯電話会社に問い合わせ、インターネットも使えない場合は固定電話や家族の電話から携帯電話会社に問い合わせるよう案内しています。

この順番は目安です。慌てていると手順を飛ばしがちなので、紙に書いておくのも一つの方法です。金融機関からすでに覚えのない取引の通知が来ているなら、携帯会社と金融機関への連絡を並行して進めてください。

08乗っ取られたかもと思ったら：携帯会社と金融機関に連絡する

電話番号が乗っ取られたとき、被害は1つのサービスにとどまりません。連絡する先と、伝えることをまとめます。

楽天モバイルは、身に覚えのないeSIMの再発行が起きたときの手順を、次のように示しています（2024年4月23日掲載、5月22日更新）。ほかの携帯会社でも考え方は参考になります。

1. 楽天モバイル回線の利用を停止する
2. 楽天ID・パスワードを変更する（「アカウントとセキュリティ」から）
3. 楽天モバイル回線の利用を再開する
4. eSIMを再発行する
5. eSIMプロファイルをダウンロードする

大事なのは、回線を取り戻す前に、携帯会社のログイン情報を変えることです。ログイン情報が犯人に知られたままだと、また同じことをされるおそれがあります。手続きの細かい流れは会社ごとに違うので、契約している携帯会社の窓口の案内に従ってください。

09回線を取り戻したら：パスワードと登録情報を見直す

電話番号を取り戻しても、その間に犯人がどのサービスに入ったかは分かりません。電話番号でログインやパスワード再設定ができるサービスを、順に見直します。

1. メールアカウントのパスワードを変える：楽天証券は、メールサービスにログインできなくなる例を挙げています。メールを取られると、ほかのサービスのパスワード再設定にも使われます。
2. 銀行・証券・カード・決済アプリのパスワードを変える：警察庁は、入力したIDやパスワードを使っているほかのサービスも含め、すべてのパスワードを速やかに変えるよう案内しています。
3. 登録情報が書き換えられていないか見る：連絡先のメールアドレス、電話番号、出金先の口座、配送先などです。
4. ログイン中の端末を確かめる：覚えのない端末があればログアウトさせます。
5. ログイン履歴や取引の画面を保存する：警察庁は、ログイン履歴が見られる場合は画面を保存・印刷して証拠を残すよう案内しています。

ほかのアカウントも入られていないかの確かめ方は、ハッキングされたか確認する方法の記事にまとめています。

10SMS以外の二段階認証に切り替える

SIMスワップの被害を小さくするいちばんの方法は、電話番号を奪われても入られないようにしておくことです。二段階認証（多要素認証）の2つ目の確認を、SMS以外の方法にします（多要素認証の用語ページ）。

たとえば Google アカウント ヘルプの「2 段階認証プロセスを有効にする」では、2つ目の手順として次のものを選べます。

金融庁は、証券口座への不正アクセスについて、ログイン・取引・出金・出金先口座の変更のときの多要素認証や通知サービスを設定するよう呼びかけ、フィッシングに強い「パスキー認証等」の提供が始まったら速やかに設定するよう求めています。NTTドコモも、IDとパスワードを使い回さず、パスキー認証を活用するよう呼びかけています。パスキーのしくみはパスキーの用語ページで説明しています。

サービスによっては、SMSしか選べないこともあります。その場合でも、二段階認証を切るより、SMSでも入れておくほうが安全です。そのうえで、ログインや取引の通知をオンにして、異変に早く気づけるようにします。

11銀行・証券の設定を見直す：通知と出金の守り

SIMスワップの犯人がいちばん狙うのは、お金を動かせるサービスです。二段階認証の切り替えとあわせて、銀行や証券会社のアプリで次の設定を確かめてください。金融庁が、証券口座への不正アクセスの対策として挙げている内容をもとにしています。

• ログイン・取引・出金・出金先口座の変更のときの多要素認証：どの場面で追加の確認が求められるかを見て、選べるものは全部オンにします。
• 通知サービス：ログインや取引があったときにメールやアプリで知らせてもらう設定です。届いた通知に見覚えがなければ、すぐに問い合わせます。
• 口座の定期的な確認：金融庁は、口座を定期的に確認し、不審な取引の心配があれば問い合わせ窓口に連絡して、速やかにパスワードを変えるよう求めています。
• スマホとパソコンを最新に保つ：OSやソフトを更新し、ウイルス対策ソフトも入れて更新します（ウイルス対策ソフトの比較）。

通知の届け先がSMSだけになっていると、電話番号を乗っ取られたときに通知まで相手に届きます。メールやアプリの通知も選べるなら、あわせて設定しておくと気づきやすくなります。

12携帯会社の手続きを守る：ID・パスワードと暗証番号

SIMやeSIMの再発行は、携帯会社の会員ページや窓口で行う手続きです。楽天モバイルの例のように、会員ページのIDとパスワードを盗まれると、勝手にeSIMを再発行されるおそれがあります。携帯会社まわりで守っておきたいのは次の点です。

• 携帯会社のIDのパスワードを、ほかのサービスと別のものにする：楽天モバイルは、サービスごとに異なるパスワードを設定するよう案内しています。
• ログイン通知を使い、ログイン履歴を定期的に見る：楽天モバイルが挙げている対策です。
• ログインIDをメールアドレス以外にできるなら、そうする：楽天モバイルは、楽天IDのユーザIDをメールアドレス以外にする設定を勧めています。
• 契約のときに決めた暗証番号を、推測されやすい数字にしない：携帯会社の窓口や手続きでは、契約時に決めた暗証番号を使う場面があります（呼び方は会社によって違います）。誕生日や電話番号の一部など、他人に推測されやすい数字なら変えておくと安心です。変え方は契約している携帯会社の公式サイトで確かめてください。
• 携帯会社を名乗るメールのリンクからログインしない：福岡県警察は、疑わしいメールが届いたら携帯会社などに直接確認するよう呼びかけています。

携帯会社によっては、再発行の申込みに確認の連絡を入れたり、再発行を保留したりして不正を防ぐ取り組みもあります。楽天モバイルは、eSIMの再発行の申込みのときに確認の連絡をする場合や、再発行を保留する場合があるとしています。携帯会社から確認の連絡が来て、自分で申し込んだ覚えがなければ、その場で「申し込んでいない」と伝えてください。

13家族や会社で決めておきたいこと

SIMスワップに遭うと、自分のスマホで電話ができなくなります。いざというときに慌てないよう、次のことを家族や職場で決めておくと助かります。

• 携帯会社と、よく使う金融機関の問い合わせ番号を、スマホ以外にも控えておく：紙の手帳や、家族のスマホです。番号は公式サイトや契約書類で確かめたものを書きます。
• 「急に圏外が続いたら、家族の電話を借りて携帯会社に連絡する」と話しておく：PayPay銀行は、家族の電話から携帯会社に問い合わせる方法を案内しています。
• 高齢の親には、「SMSの番号を教えて」という電話は全部詐欺だと伝えておく：福岡県警察のチラシにあるとおり、カード会社などを名乗る電話で番号を聞き出す手口です。
• 会社のスマホや、仕事の電話番号でサービスに登録している場合は、担当者を決めておく：仕事のメールやクラウドのログインにSMSを使っていると、会社の情報まで危なくなります。圏外が続いたら、すぐ情報システムの担当者に知らせる決まりにします。会社としての備えは事故が起きたときの悩みのページにあります。

14ふだんからできる予防策

各社と警察が挙げている予防策をまとめると、次のとおりです。

1. 不審なメールやSMSのリンクは開かない（楽天証券・PayPay銀行・福岡県警察）。金融機関がIDやパスワードをメールやSMSで問い合わせることはない、と警察庁も書いています。
2. 氏名・生年月日・住所・電話番号などを安易に公開しない（楽天証券・楽天銀行）。SNSのプロフィールも見直します。
3. 本人確認書類などの重要な情報をネット上で渡さない（PayPay銀行）。
4. 金融機関には公式アプリかブックマークから入る（PayPay銀行・金融庁）。
5. 取引や設定変更の通知をオンにし、内容を確かめる（楽天証券・金融庁）。
6. パスワードを使い回さない（楽天証券・楽天モバイル・NTTドコモ）。管理にはパスワード管理アプリが使えます。
7. ワンタイムパスワードは誰にも教えない（福岡県警察）。

メールアドレスやパスワードがすでにどこかで漏れていないかは、メールアドレスの漏洩を確認する方法の記事で確かめられます。乗っ取りの守り全体は乗っ取り・不正ログインの悩みのページにあります。

15困ったときの相談先

• 契約している携帯電話会社の問い合わせ窓口：圏外が続く、身に覚えのないSIM再発行の通知が来たとき。自分のスマホで電話できなければ、固定電話や家族の電話から。
• 銀行・証券会社・カード会社・決済アプリの問い合わせ窓口：覚えのないログインや取引があったとき。金融庁は、まず各社の窓口に連絡するよう案内しています。
• 金融庁 金融サービス利用者相談室：0570-016811（平日10時00分〜17時00分、IP電話からは03-5251-6811）。
• 警察相談専用電話「#9110」・最寄りの警察署：不正送金や不正利用の被害に遭ったとき。警察庁のサイトから都道府県警察のサイバー犯罪の相談窓口も探せます。
• フィッシング110番：偽サイトのURLを見つけたとき（警察庁のフィッシング対策のページから）。

どの順番で動けばいいか迷ったら、被害にあったら（場面別）のページも参考にしてください。

16よくある質問