セキュリティを整える
中級セッションハイジャック / SIMスワップを整える。
＝ 二段階認証を設定していても突破される仕組みを図解で理解する
どちらも「パスワードも二段階認証も破っていないのに突破される」攻撃です。文章だと直感に反して分かりにくいので、どこを迂回されているのかを図解にしました。攻撃手順は一切再現せず、仕組みの理解と防ぎ方だけを扱います。
TLDR — 30秒で分かる
二段階認証は無意味ではない。この2つが認証そのものを狙っていないだけ。通行証（Cookie）と届け先（電話番号）を奪う型を図解で理解する。送信ゼロ。
主な機能
- セッションハイジャック 3モード図解（本来のログイン／乗っ取られる流れ／防ぐ流れ）
- SIMスワップ 2モード図解（乗っ取られる流れ／防ぐ流れ）
- 「認証を突破」ではなく「認証を迂回」という共通構造の解説
- 2つの比較表（何を奪うか・なぜ突破されるか・防ぎ方）
- 攻撃手順は一切再現しない防御教育の設計
- 送信ゼロ
二段階認証を設定していても被害に遭うことがあります。これは設定が無意味なのではなく、 この2つの攻撃が「認証そのもの」を狙っていないためです。 セッションハイジャックは認証の後にできる通行証を、 SIMスワップは認証コードの届け先を奪います。 どこを迂回されているかが分かれば、打つべき手も決まります。
あなた
ブラウザ
サービス
サーバ
あなたのPC
マルウェア感染
攻撃者
別の端末
サービス
サーバ
あなたのPC
感染させない
攻撃者
別の端末
サービス
再認証を要求
STEP 1
※ イメージ図です。攻撃手順は再現しません。「なぜ認証を素通りされるのか」を理解するための図解です。
攻撃者
本人になりすまし
携帯キャリア
本人確認
あなた
スマホ
あなた
認証手段を移す
認証アプリ / パスキー
端末の中で完結
攻撃者
番号を奪っても
STEP 1
※ イメージ図です。手口の再現はしません。「SMS認証がなぜ突破されるのか」を理解するための図解です。
2つの共通点と違い
セッションハイジャック
- 何を奪うか
- 認証の「後」にできる通行証（Cookie）を奪う
- なぜ突破されるか
- パスワードも二段階認証も突破していない。認証済みの状態そのものを持ち去られる
- 防ぎ方
- 感染させない（EDR・拡張機能）＋ 重要操作で再認証
SIMスワップ
- 何を奪うか
- 認証コードの「届け先」ごと奪う
- なぜ突破されるか
- スマホもパスワードも壊されていない。「番号が本人のもの」という前提が崩れる
- 防ぎ方
- SMS認証をやめ、認証アプリ（TOTP）やパスキーへ移す
共通しているのは、「認証を突破する」のではなく「認証を迂回する」という発想です。 だから対策も、パスワードを複雑にすることではなく—— 通行証を盗ませない（感染対策）、 届け先を奪わせない（SMS依存をやめる）という別の方向になります。
あわせて確認する
- 認証アプリ（TOTP）のしくみを整える — SMSから移す先の仕組み
- パスキーを整える — 鍵が端末から出ない認証
- 詐欺見抜きクイズを整える — SIMスワップの偽SMSも出題
- 13の脅威を一覧で見る
入力値はURLの「#」以降に入るためサーバーには送信されません。リンクを開くと同じ状態を復元します。
RELATED TOOLS
続けて整える
