「二段階認証を設定しているから安心」と思っていませんか？残念ながら、その認証を突破する手口がいま急速に広がっています。警察庁の発表によると、スマートフォンを悪用した特殊詐欺・不正アクセス被害は高齢者層を中心に増加傾向にあります。本記事では、二段階認証を回避する具体的な手口から、今日すぐ実践できる対策まで、わかりやすく解説します。
スマホ乗っ取り詐欺とは？基本を30秒で確認
スマホ乗っ取り詐欺とは、あなたのスマートフォンを不正に制御・操作したり、スマホに届く認証コードを盗み取ったりして、銀行口座やSNSアカウントを乗っ取る行為です。
かつては「怪しいリンクを踏まなければ大丈夫」と言われていました。しかし現在は、正規サービスを装った巧妙なやりとりを通じて、二段階認証コードそのものを詐取する手法が主流になっています。被害額は1件あたり数十万〜数百万円に上るケースも珍しくありません。
二段階認証を突破する主な手口4つ
犯罪者がどのように二段階認証を突破するのか、代表的な4つの手口を押さえておきましょう。
① リアルタイム・フィッシング（中間者攻撃）
偽サイトに誘導し、あなたが入力したIDとパスワードを犯罪者が即座に本物のサービスへ入力します。本物サービスからSMSで届いた認証コードを偽サイトでさらに入力させることで、認証を完全に突破します。時間的な「タイムラグ」がほぼないため、被害者は気づきにくいのが特徴です。
② SIMスワップ詐欺
犯罪者があなたになりすまして携帯キャリアに連絡し、SIMカードの再発行や番号の移行手続きを行います。あなたの電話番号が犯罪者のSIMに移されると、SMSで届く認証コードがすべて犯罪者に届いてしまいます。本人確認書類の情報が事前に漏洩している場合に起きやすい手口です。
③ リモートアクセスツール（RAT）の悪用
「スマホの動作確認に必要なアプリです」「サポートのために画面を見せてください」などと言葉巧みにインストールさせます。一度インストールされると、犯罪者はあなたのスマホをリモートで操作でき、届いた認証コードをリアルタイムで読み取ることができます。警察を名乗る偽電話と組み合わせて使われるケースが多く確認されています。
④ SMSフィッシング（スミッシング）と組み合わせた手口
宅配業者・金融機関・行政機関を装ったSMSで偽サイトへ誘導します。そこでApple IDやGoogleアカウントのパスワードを入力させ、さらに「確認コードを入力してください」と二段階認証コードまで盗む二段階フィッシングです。偽サイトは本物と見分けがつかないほど精巧に作られています。
特に狙われやすい人の特徴を確認しよう
以下の表は、被害に遭いやすい状況と理由を整理したものです。自分や家族が当てはまらないか確認してください。
| 状況・特徴 | リスクが高い理由 | 特に注意すべき手口 |
|---|---|---|
| スマホの設定を人任せにしている | 不審なアプリが入っていても気づかない | リモートアクセスツール |
| ネット銀行・証券口座をスマホで管理 | 乗っ取られると直接金融被害につながる | SIMスワップ・フィッシング |
| SNSで見知らぬ人と頻繁に連絡 | 偽アカウントに誘導されやすい | リアルタイム・フィッシング |
| 「警察」「銀行」からの電話を信じやすい | 権威を装う偽電話に引っかかりやすい | リモート操作・SIMスワップ |
| パスワードを複数サービスで使い回し | 1か所の漏洩が連鎖被害につながる | 全般的な不正アクセス |
| 公共Wi-Fiを頻繁に利用する | 通信内容を傍受されるリスクがある | 中間者攻撃・フィッシング |
実際の被害ケース例で手口を理解する
具体的な事例をもとに、手口の流れを確認しましょう（個人が特定できないよう内容を一般化しています）。
【ケース例A】警察官を名乗る電話からリモート操作へ
60代女性のスマホに「警察です。あなたの口座が犯罪に使われています」と電話が入りました。「調査のために画面共有アプリを入れてください」と指示され、インストール。その後、画面を見ている状態で「本人確認のためにネットバンキングにログインしてください」と促されました。犯罪者はリモートで画面を見ながら認証コードを盗み取り、口座から約80万円を送金。女性は翌日まで被害に気づきませんでした。
【ケース例B】宅配業者のSMSから二段階認証コードまで盗まれる
50代男性が「お荷物を再配達します。こちらからご確認ください」というSMSを受信。リンクをタップすると大手宅配会社とそっくりな偽サイトが表示されました。「Appleアカウントで確認」を押したところAppleのIDとパスワードを入力。直後に「確認コードをSMSに送りました」と表示され、届いたコードを入力。その結果、Apple IDが乗っ取られ、iCloudに同期された写真・連絡先が盗まれるとともに、登録クレジットカードで約35万円の不正購入が発生しました。
今すぐチェック！自分のスマホが安全かどうか確認する項目
以下の項目を一つひとつ確認してください。一つでも「NO」があれば、今日中に対処することをおすすめします。
- スマホにインストールされているアプリをすべて把握しているか
- 見覚えのないアプリ、または「アクセシビリティ」「画面読み取り」の権限を持つアプリがないか
- キャリアのマイページで「SIM再発行の通知」設定が有効になっているか
- 主要なアカウント（Google・Apple・銀行・LINE）のパスワードがそれぞれ異なるか
- 認証アプリ（Google AuthenticatorやMicrosoft Authenticatorなど）をSMS認証の代わりに使っているか
- スマホの画面ロックが6桁以上の数字またはパスフレーズに設定されているか
- 見知らぬ番号や不審なSMSのリンクをタップしていないか
- 公共Wi-Fiに接続したまま金融サービスを使っていないか
二段階認証をより強固にする具体的な対策5つ
SMS認証は便利ですが、上で見た通り突破されるリスクがあります。より安全な方法に切り替えましょう。
対策1：SMS認証から「認証アプリ」に切り替える
GoogleアカウントやAmazon、ネットバンキングなどは、SMSではなく認証アプリ（例：Google Authenticator、Microsoft Authenticator）でのワンタイムパスワード生成に対応しています。認証アプリは端末の中でコードを生成するため、SIMスワップやリアルタイムフィッシングによる盗取が格段に難しくなります。
対策2：パスキー（Passkey）の利用を検討する
AppleやGoogleが推進する「パスキー」は、パスワードそのものを使わない認証方式です。フィッシングサイトで入力するものがそもそも存在しないため、フィッシング詐欺に対して非常に強い耐性を持ちます。対応しているサービスでは積極的に有効化しましょう。
対策3：キャリアの「SIM変更ロック」「二段階確認」を設定する
主要キャリア（docomo・au・SoftBank・楽天モバイルなど）は、SIMの再発行・番号移行に追加の本人確認を求める設定を提供しています。各キャリアのマイページまたはショップで「SIM変更に関する追加認証」の設定を確認・有効化してください。
対策4：不審なアプリのアクセス権限を定期的に見直す
スマホの「設定」→「アプリ」→各アプリの「権限」から、アクセシビリティや画面読み取り、連絡先・カメラへのアクセスを許可しているアプリを確認します。心当たりのないアプリ、または必要以上の権限を持つアプリは即座に削除してください。
対策5：パスワードマネージャーを使って使い回しをなくす
すべてのサービスで異なる長いパスワードを使うことが理想ですが、人間が覚えるのは現実的ではありません。iPhoneのキーチェーン、GoogleパスワードマネージャーやBitwardenなどの信頼できるパスワードマネージャーを活用しましょう。使い回しを排除するだけで、連鎖被害のリスクを大幅に下げられます。
家族を守るために：高齢の親へ伝えるべき3つのポイント
40〜70代の読者の中には、ご自身だけでなく離れて暮らす親御さんへのアドバイスを求めている方も多いと思います。電話一本で伝えられる3つのポイントを紹介します。
- 「警察や銀行が画面共有アプリのインストールを求めることは絶対にない」と伝える。電話口でこのような指示があったら即座に電話を切るよう話し合っておく。
- SMSや電話で届いた「確認コード」「認証番号」は誰にも教えないというルールを徹底する。たとえ本人確認のためと言われても同様。
- 不審に思ったらまず家族に連絡する習慣をつける。「一人で判断しなくていい。必ず相談してから動く」という安心感を作ることが大切。
今日やること：3つのアクション
記事を読み終えた今日中に、以下の3つを実行してください。5〜15分程度で完了できます。
-
スマホの「アクセシビリティ」権限を持つアプリを確認・削除する（5分）
iPhone：設定→アクセシビリティ→スイッチコントロールまたはAssistiveTouch。Android：設定→ユーザー補助→インストール済みのサービス。身に覚えのないアプリがあれば即削除し、必要に応じてスマホを初期化することも検討してください。 -
最もよく使う金融・SNSアカウント1つを「認証アプリ」方式に切り替える（10分）
まずはGoogleアカウントかAmazonのセキュリティ設定を開き、二段階認証の方式を「SMS」から「認証アプリ」に変更してみましょう。一つ成功すれば、他のサービスも同じ要領で切り替えられます。 -
携帯キャリアのマイページでSIM変更に関する通知・ロック設定を確認する（5分）
My docomo、au PAY マイページ、My SoftBank、楽天My Pageなど、ご利用のキャリアのマイページにログインし、「SIM」「番号移行」「本人確認」に関するセキュリティ設定を確認・強化してください。
よくある質問（FAQ）
Q1. 二段階認証を設定しているのに不正アクセスされた。どうすればいい？
まず落ち着いて、被害が金融口座に及んでいる場合はすぐに銀行・証券会社の緊急連絡先に電話し、口座の凍結を依頼してください。その後、警察庁の「サイバー犯罪相談窓口」（各都道府県警察）に被害を申告します。パスワードはすべて変更し、怪しいアプリが入っていないか確認してください。時間が経つほど被害が拡大するため、気づいた瞬間に行動することが重要です。
Q2. 認証アプリ（Google Authenticatorなど）を使えばSIMスワップ詐欺は完全に防げますか？
認証アプリを使うことでSIMスワップの影響を大幅に軽減できます。ただし、リモートアクセスツールをスマホに入れられてしまった場合は、画面そのものを見られてしまうためコードを盗まれる可能性があります。「認証アプリへの切り替え」と「不審なアプリのインストールを絶対にしない」を組み合わせることが重要です。単一の対策で100%安全になる方法はなく、複数の対策を組み合わせることが基本です。
Q3. 家族からスマホのサポートを頼まれ、画面共有したことがある。問題ありますか？
信頼できる家族や知人との画面共有は、それ自体が問題というわけではありません。ただし、（1）見知らぬ相手・突然の電話での依頼、（2）「警察」「銀行」「AppleやGoogleのサポート」を名乗る相手からの要求、（3）アプリのインストールを伴う場合は、詐欺の可能性が非常に高いです。サポートが必要な場合は、正規の販売店（ドコモショップ、auショップなど）や、公式サポート窓口を利用することをおすすめします。
Q4. すでに怪しいSMSのリンクをタップしてしまった。どうすればいい？
リンクをタップしただけで情報が盗まれることは基本的にありませんが、その後のページで何らかの情報を入力したかどうかが重要です。入力した場合は、そのサービスのパスワードを今すぐ変更し、二段階認証を確認してください。クレジットカード番号を入力した場合はカード会社に連絡してカードを止めてもらいましょう。消費者庁や警察庁の相談窓口に状況を伝えることも有効です。
公式情報・相談先
不安を感じた場合や被害に遭った可能性がある場合は、必ず公式の窓口に相談してください。
-
警察庁 サイバー犯罪対策・相談窓口
https://www.npa.go.jp/
各都道府県警察のサイバー犯罪相談窓口（#9110でお近くの警察署に相談可能） -
消費者庁 消費者ホットライン・詐欺被害相談
https://www.caa.go.jp/
消費者ホットラインは「188」（いやや）にダイヤルで最寄りの相談窓口へつながります -
金融被害が発生した場合
ご利用の銀行・証券会社・カード会社の緊急連絡先（カード裏面・通帳記載の番号）に即座に連絡し、口座やカードの停止を依頼してください
※本記事は2026年7月29日時点の情報をもとに作成しています。詐欺の手口や公式制度の詳細は随時変化しますので、最新情報は上記公式サイトでご確認ください。本記事は一般的な情報提供を目的としており、個別の法律・税務・医療アドバイスを行うものではありません。
まとめ
スマホ乗っ取り詐欺は二段階認証すら突破する手口が急増しています。40〜70代を狙うSIMスワップ・フィッシング・リモート操作の仕組みと、今日からできる具体的な対策を警察庁・消費者庁の公式情報をもとに解説します。