SIMスワップで約20万ポンドのBitcoin(BTC)を流出させた男、Ajay Shinjinに実刑2年6カ月

更新 22:03 UTC：ロンドン市警察のSimon Ardeman捜査官は、この手口を4名の被害者に重い経済的損失をもたらした「複雑かつ計画的な詐欺」と評した。

20万ポンド規模のSIMスワップ組織で実刑に

ロンドン在住のAjay Shinjin氏(25歳)が、BTの顧客4名から暗号資産約20万ポンド(約26万4,200ドル)を不正に引き出した組織への関与で、木曜日にインナー・ロンドン刑事法院で実刑2年6カ月を言い渡された。ロンドン市警察の発表がこの判決を記録している。同氏はAJ Marley Cruzの別名を持ち、カナリー・ワーフのMarsh Wallに居住していた。9月28日、虚偽表示による詐欺の共同実行と犯罪財産の譲渡の罪を認めた。捜査の出発点は2021年11月上旬だ。BTがシステム上の不正な活動を検出し、顧客の電話番号が犯罪者が管理するSIMカードへ移し替えられていることが判明した。SIMスワップとは、被害者の電話番号を犯人の持つカードに付け替える攻撃で、これにより銀行や暗号資産取引所がSMSで送るワンタイムパスコードを傍受できる。BTの技術者が乗っ取られた番号を受信していた端末を追跡すると、それらは2つのIMEI番号をそれぞれ持つeSIM端末だった。捜査当局はShinjin氏をそのうち4台に結び付けた。被害者は4名に上る。1人目は2021年11月2日に約4万ポンドを失い、うち約2万7,000ポンドがShinjin氏の個人の暗号資産口座に流れた。2人目の被害者の損失は約1万7,000ポンドで、11月5日から7日にかけて全額が同じウォレットに現れた。3人目は11月3日にCoinbase口座から約8,000ポンドを引き出され、Shinjin氏が送金を補助した後に資金は別の場所へ移った。最も重い損失は4人目で、11月6日から7日の間に約13万ポンドの暗号資産を奪われた。Shinjin氏は収益のうち4万4,000ポンド超(約5万8,124ドル)を自分のものにし、ドバイでの休暇、カナリー・ワーフの高級マンション、金メッキのグリル(装飾歯)に使った。警察は2021年に同氏のマンションで最初の逮捕を行い、2023年10月にはドバイから帰着したヒースロー空港で再逮捕した。取り調べでは一切質問に答えなかった。ビットコイン(BTC)の価格が今後どう動こうと、事件の記録が示すのは、ブロックチェーンの脆弱性は一度も必要とされなかったという事実だ。

ロンドン市警察のSimon Ardeman捜査官は、この手口を4名の被害者に重い経済的損失をもたらした「複雑かつ計画的な詐欺」と評した。この特徴付けは裁判所の提出書類にはこれまで含まれていなかったものだ。同警察はさらに、Shinjin氏本人を超える複数の容疑者を追跡する足掛かりとなったのが端末情報およびBTが提供したデータであることを確認しており、組織に関わる他の人物へ捜査が継続していることを示している。2023年10月にドバイから帰国した後にヒースロー空港で逮捕されたShinjin氏は、詐欺の共同実行と送金の罪を認め、10月8日にインナー・ロンドン刑事法院で量刑を言い渡された。

英国のSIMスワップ被害が402%増加

この手法は一つの法廷を超えて急速に広がっている。英国の詐欺防止サービスCifasが2026年8月に発表したところでは、同国内の全国詐欺データベースに記録された不正なSIMスワップ事案は、今年上半期で前年同期比402%増となった。この急増により、2021年型の電話乗っ取りは国内で最も伸びている詐欺カテゴリーの一つに位置する。攻撃にマルウェアもスマートコントラクトのバグも不要なのが特徴だ。犯人が被害者の番号を自分のSIMに移し替え、銀行や取引プラットフォームがSMSで送るワンタイムコードを読み取る。コードが一度奪われると、強固なパスワードはもはや意味を持たない。ウォレットの秘密鍵を守る復旧経路が、多くの場合その電話番号自体を通っているからだ。BTの被害者2名は番号が移し替えられてから数日以内に残高を失っており、窓が開く速度の速さを物語る。今回の有罪判決は、検出から量刑まで4年余りを要した事件簿を閉じるものであり、通信詐欺の刑事手続きがいかに緩慢かを示している。Shinjin氏自身は二度の取り調べで沈黙を貫き、身元特定は端末の記録とウォレットの資金流動が担った。防御策はすでに確立している。認証アプリへの切り替え、物理セキュリティキー、携帯キャリア口座への別個のPIN設定、番号移転依頼時の追加の本人確認だ。取り締まりも広がっている。6月25日、FBIと国土安全保障省捜査局の協力の下、ポーランドで4人の容疑者が逮捕された。SIMスワップ攻撃で暗号資産取引所の口座から資金を奪った疑いによる。さらに5月には、イングランドで10人が警察官や暗号資産企業の職員を装ってシードフレーズを聞き出す電話詐欺の罪で起訴され、少なくとも1人の被害者が30万ポンドを失った。

SIMコードではなくハードウェアキーへ

この事件の教訓は鎖の外側の配管にある。BT事件の4件の損失のいずれにも、壊れたスマートコントラクトもコールドストレージからの鍵漏えいも関わっていない。全額が、第二要素をSMSに置いた取引所またはプラットフォーム口座から流出した。実刑2年6カ月の判決は一定の抑止力になる。しかし報告件数の402%増は、この攻撃が今も割に合うことを意味し、キャリア側の侵害は取引所側の設定では直せない。長期のホールド、いわゆるHODLを考えているなら、長期保有分を鍵が電話番号に依存しないセルフカストディへ移すのが筋だ。日々の取引は、ハードウェアキーやTangem Payのような決済カードで守れる。Best Crypto Exchangesから取引所を選ぶ際は、手数料と同じ比重でハードウェアキー対応を評価すべきだ。