セキュリティを整える
中級セッションハイジャック / SIMスワップを整える。
＝ 二段階認証を設定していても突破される仕組みを図解で理解する
セッションハイジャックと SIM スワップが初めての方は、先に そもそもセッションハイジャックと SIM スワップとは・どんな場面で出会うか をどうぞ。
二段階認証を設定していても被害に遭うことがあります。これは設定が無意味なのではなく、 この2つの攻撃が「認証そのもの」を狙っていないためです。 セッションハイジャックは認証の後にできる通行証を、 SIMスワップは認証コードの届け先を奪います。 どこを迂回されているかが分かれば、打つべき手も決まります。
そもそもセッションハイジャックと SIM スワップとは
ログインの「あと」と、コードの「届け先」を狙う、2つの乗っ取り。
セッションハイジャックは、ログインしたあとにサービスが発行する「ログイン済みの印」（セッション情報）を盗み、本人になりすます攻撃です。セッション（session）は「一連のやりとり」、ハイジャック（hijack）は「乗っ取り」の意味です。ホテルの部屋の鍵カードを盗まれて、そのまま入られるようなものです。
SIM スワップは、本人の電話番号を別の SIM に勝手に移し替え、SMS で届く認証コードを奪う攻撃です。SIM は、契約者を識別するための小さなカード（Subscriber Identity Module）のことです。郵便の転送届を他人に勝手に出されて、大事な手紙が届かなくなるようなものといえます。
どこで・どんな場面で出会うか
-
家庭
家族で共用するパソコンのブラウザに、ログインしたままのサービスがたくさんある。
-
職場
業務のクラウドやメールにログインしたまま使っているパソコンやブラウザ。
-
スマホ
携帯電話の番号が、SMS による認証コードの届け先になっている。携帯会社の手続きが悪用される場面です。
-
ネットバンキング・ネットショッピング
ログイン後の画面や、SMS で届く確認コードが、お金の動く操作の最後の砦になっている。
-
社内の情報システム担当
業務サービスの認証方法に SMS を許しているか、ログインの履歴や端末の見直しをする場面。
知らないと何が困るか
- 二段階認証をしているから安心、と思い込む。認証を迂回する攻撃では、設定していても被害に遭うことがあります。
- パスワードを変えただけで安心してしまう。サービスによっては、ログイン中の端末を一覧から終了させないと、盗まれた印が使われ続ける場合があります。
- 異変のサインを見逃す。SIM スワップでは、自分の携帯が突然通信できなくなることがあります。気づいたらすぐ連絡できるよう、知っておく必要があります。
上の図解を順に進めて、どこが迂回されるのかを確かめてみてください。
アニメで見る — セッションハイジャック（ログイン状態の乗っ取り） 開くと1ステップずつ動きます
あなた
ブラウザ
サービス
サーバ
あなたのPC
マルウェア感染
攻撃者
別の端末
サービス
サーバ
あなたのPC
感染させない
攻撃者
別の端末
サービス
再認証を要求
STEP 1
※ イメージ図です。攻撃手順は再現しません。「なぜ認証を素通りされるのか」を理解するための図解です。
アニメで見る — SIMスワップ（電話番号の乗っ取り） 開くと1ステップずつ動きます
攻撃者
本人になりすまし
携帯キャリア
本人確認
あなた
スマホ
あなた
認証手段を移す
認証アプリ / パスキー
端末の中で完結
攻撃者
番号を奪っても
STEP 1
※ イメージ図です。手口の再現はしません。「SMS認証がなぜ突破されるのか」を理解するための図解です。
2つの共通点と違い
セッションハイジャック
- 何を奪うか
- 認証の「後」にできる通行証（Cookie）を奪う
- なぜ突破されるか
- パスワードも二段階認証も突破していない。認証済みの状態そのものを持ち去られる
- 防ぎ方
- 感染させない（EDR・拡張機能）＋ 重要操作で再認証
SIMスワップ
- 何を奪うか
- 認証コードの「届け先」ごと奪う
- なぜ突破されるか
- スマホもパスワードも壊されていない。「番号が本人のもの」という前提が崩れる
- 防ぎ方
- SMS認証をやめ、認証アプリ（TOTP）やパスキーへ移す
共通しているのは、「認証を突破する」のではなく「認証を迂回する」という発想です。 だから対策も、パスワードを複雑にすることではなく—— 通行証を盗ませない（感染対策）、 届け先を奪わせない（SMS依存をやめる）という別の方向になります。
あわせて確認する
- 認証アプリ（TOTP）のしくみを整える — SMSから移す先の仕組み
- パスキーを整える — 鍵が端末から出ない認証
- 詐欺見抜きクイズを整える — SIMスワップの偽SMSも出題
- 13の脅威を一覧で見る
このツールについて
どちらも「パスワードも二段階認証も破っていないのに突破される」攻撃です。文章だと直感に反して分かりにくいので、どこを迂回されているのかを図解にしました。攻撃手順は一切再現せず、仕組みの理解と防ぎ方だけを扱います。
二段階認証は無意味ではない。この2つが認証そのものを狙っていないだけ。通行証（Cookie）と届け先（電話番号）を奪う型を図解で理解する。送信ゼロ。
主な機能
- セッションハイジャック 3モード図解（本来のログイン／乗っ取られる流れ／防ぐ流れ）
- SIMスワップ 2モード図解（乗っ取られる流れ／防ぐ流れ）
- 「認証を突破」ではなく「認証を迂回」という共通構造の解説
- 2つの比較表（何を奪うか・なぜ突破されるか・防ぎ方）
- 攻撃手順は一切再現しない防御教育の設計
- 送信ゼロ
📖 このツールで使う用語
用語集トップへ →分からない用語があれば、クリックして解説をご覧ください。
よくある質問
Q. 二段階認証を設定していれば安全ではないのですか？
A. 二段階認証は有効ですが、セッションハイジャックと SIM スワップはどちらも認証そのものを突破せず「迂回」する手口です。セッションハイジャックはログイン済みの Cookie を盗み、SIM スワップは認証コードの届け先（電話番号）を乗っ取ります。
Q. 攻撃の手順を実際に試せますか？
A. 試せません。攻撃の具体的な手順は再現せず、仕組みをアニメーション図解で理解する防御教育だけを目的にしています。セッションハイジャックは3モード、SIM スワップは2モードの図解です。
Q. どんな対策が有効ですか？
A. 端末での異常検知（EDR）、重要操作前の再認証、TOTP 認証アプリやパスキーへの移行が挙げられます。入力やクイズの結果が外部に送られることはありません。
入力値はURLの「#」以降に入るためサーバーには送信されません。リンクを開くと同じ状態を復元します。
続けて整える
この内容は、研修でも扱っています
totonoe.tech を運営する株式会社Koinobori は、法人向けの研修サービス「NOBORIBA®」も運営しています。 ここで手を動かした内容を、講師から教わる形の研修です。このページの道具は無料のまま、登録もいりません。
