SMS認証(2FA)は危険？SilentAir攻撃の実態

SMS 2FAは安全？

SMSによる2要素認証は、パスワードだけよりは優れていますが、よく使われる第2要素の中では最も弱い方式です。テキストメッセージが、攻撃されうる携帯電話網を通るためです ^[2][3][4]。

2要素認証（2FA）とは、ログインにパスワード以外のもの、たとえばワンタイムコードを必要とする仕組みです。そのコードがテキストメッセージ（SMS）で届く場合、あなたのメッセージを転送したり読んだりできる人は、コードも入手できます。

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、標的にされやすい個人向けのガイダンスで、「認証の第2要素としてSMSを使わないでください」とはっきり述べています ^[2]。その理由は、SMSメッセージは暗号化されていないこと、通信事業者のネットワークにアクセスできる攻撃者はそれを読めること、そしてSMSはフィッシングに耐性がないことです ^[2]。

米国立標準技術研究所（NIST）は、公衆電話網を通じて送られるコード、つまりSMSや音声を、唯一の「制限付き」の認証手段としています。組織が使えるのは、追加のリスクを受け入れ、代替手段を提供したうえでの場合に限られます ^[4]。

ほとんどの方にとっての実践的な答えはこうです。2FAをまったく使わないよりはSMS 2FAを続けるほうがよく、CISAもどんな形のMFAでもないよりはましだとしています ^[3]。そのうえで、重要なアカウントはより強力な方式に移行してください。すべての選択肢を比較したPouyamのガイド「2要素認証を解説：最も安全な2FAの方式はどれか」もご覧ください。

SilentAirとは？

SilentAirは、通信セキュリティ企業のEneaが、新たに特定した攻撃主体につけた名前で、Eneaによると、侵害された携帯網の一部を使って携帯電話の契約者を攻撃します ^[1][5]。

Eneaは2026年11月11日（11月12日に更新）に調査結果を報告書として公開しました。報告書は、別に追跡しているLIMINAL PANDAという集団も扱っています ^[1]。主なポイントは次のとおりで、すべてEneaによるものです ^[1]。

• Eneaは2025年の初めから、アジアの一部の携帯電話事業者からの異常なシグナリング攻撃を追跡しており、それより前にも不審な活動が見つかっています。
• SilentAirに関連するネットワーク要素が、少なくとも6か国のアジアの携帯電話事業者で見つかり、ほかにも疑われる国がありますが、確認はされていません。
• これらを起点に、さらに12の国と地域の携帯電話事業者と契約者が攻撃の標的となりました。主な標的は台湾でした。
• 標的の一部は、政治・政府分野の要人でした。
• Eneaは、SilentAirが犯罪集団や商用の監視企業ではなく、国家レベルの主体であると、高い確度で評価しています。

誰が背後にいるかについて、Eneaの表現は慎重です。台湾に重点があること、中国の標的がないこと、攻撃のタイミングがUTC+8の勤務日に合っていることを根拠に、SilentAirの活動は中国と関連するサイバー作戦と整合すると、低い確度で評価しています ^[1]。Eneaは、LIMINAL PANDAとの関連は可能性があるものの未確認だとしています ^[1]。この研究についてのSecurityWeekの記事も、同じ評価を伝えています ^[5]。

SMSコードはどのように傍受された？

Eneaによると、SilentAirはSS7とDiameterのシグナリングシステムを通じて悪意のある位置更新メッセージを送り、標的への着信の通話とテキストが、攻撃者の管理するノードを経由するようにしました ^[1][5]。

携帯電話事業者は、端末がローミングして世界のどこでも通話やテキストを受け取れるように、シグナリングメッセージをやり取りしています。Eneaによると、古いネットワークはSS7（2Gと3G）を使い、4GはDiameter、5GはHTTP/2ベースのプロトコルを使います ^[1]。Eneaは、事業者間の信頼は世界のローミングに欠かせない一方で、攻撃者にとって魅力的な環境でもあると述べています ^[1]。

Eneaによると ^[1]：

• SilentAirは、SS7のUpdateLocationやDiameterのUpdate-Location-Requestなどのコマンドを使って標的の登録位置を変更し、その後の関心のあるSMSや通話が傍受されるようにしました。
• Eneaは、一部の標的で、傍受の直後に2FAコードが受信される様子を確認しました。
• 攻撃は、外部からのなりすましではなく、感染した事業者の内部にある侵害されたネットワークノードから行われました。
• SilentAirは、ハンドセットに表示されず通知も出ないテキストであるサイレントSMSを、非常に大規模に使いました。活動が急増する真夜中前後のトラフィックの大半は、台湾の契約者に向けられていました。Eneaは、日中のメッセージは主にほかのネットワークの契約者に送られており、以前の傍受がうまくいったかを試しているように見えるとし、夜間のトラフィックの目的は確認されていないとしています。

この種の攻撃は、携帯電話網の内部で起こります。Eneaによると、攻撃はあなたの端末ではなく、事業者のネットワーク内の侵害されたノードから来ています。そのため、個人にとっての実践的な防御は、重要なログインでSMSに頼るのをやめることです ^[2]。

最も安全な2FAの方式はどれ？

セキュリティキーやパスキーなど、FIDO標準に基づくフィッシング耐性のある方式が最も強力で、次が認証アプリ、SMSと音声コードが最も弱い方式です ^[2][3]。

CISAは、フィッシング耐性のある多要素認証を「ゴールドスタンダード」と呼び、FIDO/WebAuthn認証をフィッシング耐性のある選択肢に挙げています ^[3]。そのファクトシートによると、SS7攻撃とSIMスワップ攻撃は、フィッシング耐性のあるMFAやアプリベースのワンタイムコードには当てはまらず、SMSと音声は最も弱い区分です ^[3]。

CISAのモバイル向けガイダンスには、さらに詳しい記載があります ^[2]。

• ハードウェアのFIDOセキュリティキーが最も効果的で、FIDOパスキーは許容できる代替手段です。
• 認証アプリのコードはSMSより優れていますが、フィッシングされるおそれはあります。
• フィッシング耐性があるのはFIDO認証だけです。

FIDOアライアンスは、パスキーを、スマートフォン、パソコン、またはハードウェアのセキュリティキーに保存されるFIDOベースの認証情報で、指紋やPINなど、端末のロックを解除するのと同じ方法で使えるものと説明しています ^[6]。NISTは、SMSやアプリからの、手で入力するコードは、偽のサイトが本物のサイトにそれを中継できるため、フィッシング耐性がないと説明しています ^[4]。

下の表に、主な選択肢をまとめました。

SMS 2FAからより安全な方式に切り替えるには？

まず最も重要なアカウントにパスキーまたはセキュリティキーを追加し、次にほかのアカウントに認証アプリを追加して、最後に可能な限りSMSをオフにします ^[2]。

1. 重要なアカウントを洗い出す。CISAは、メールやSNSを含む価値の高いアカウントを棚卸しし、それぞれをFIDOベースの認証に登録するよう勧めています。特にMicrosoft、Apple、Googleのアカウントです ^[2]。メールは、ほかのパスワードをリセットできるため、最も重要です。
2. パスキーまたはセキュリティキーを追加する。各アカウントのセキュリティ設定で、パスキー、セキュリティキー、2段階認証の項目を探します。FIDOアライアンスによると、パスキーはすべての主要なOSとブラウザでサポートされています ^[6]。
3. パスキーがないところでは認証アプリを使う。CISAは、価値の低いアカウントには、Google Authenticator、Microsoft Authenticator、Authyなどの無料アプリを挙げています ^[2]。
4. そのあとでSMSをオフにする。CISAは、アプリに登録してもSMSが自動的には外れず、「悪用されうる弱いフォールバック」が残ると警告しています ^[2]。
5. リカバリーコードを保存する。スマートフォンを失ってもロックアウトされないよう、オフラインの安全な場所に保管してください。
6. パスワードマネージャーを使い、パスワードを長く、重複しないものにします。CISAもこれを推奨しています ^[2]。

CISAは、一部のサービスではアカウント復旧の際にSMSにフォールバックすることがあるため、どこでもSMSを完全に外せるとは限らないとしています ^[2]。パスキーの仕組みについては、Pouyamのガイド「パスキーとは？パスワードレスのサインインの仕組みと、より安全な理由」をご覧ください。

SMS傍受のリスクが最も高いのは誰？

Eneaの調査結果では、SilentAirは政治・政府分野の要人の一部を標的にしており、攻撃の規模は、1人または数人の契約者から、1か月で数千人にまで及びました ^[1]。

Eneaによると、攻撃はバースト状に発生し、数か月以上の空白をはさむこともあり、異なる国の感染した別々のネットワークにあるSilentAirのノードが、価値の高いVIP型の標的に対して連携していました ^[1]。Eneaは、シグナリングインターフェースへの攻撃の圧倒的多数は監視企業によるものだとしています。その内訳では、傍受はSilentAirの活動の18.30%を占め、典型的な監視企業の2.07%と比べて、傍受の割合の高さが際立っていました ^[1]。

CISAのガイダンスは、政府や政治の要職にある「標的にされやすい」個人向けに書かれたものです ^[2]。機密情報を扱う人なら誰でも、特に注意する理由があります。

それ以外の方にも、SMSから離れるメリットはあります。攻撃者が通信事業者を説得して電話番号の管理を移させるSIMスワップ攻撃でも、SMSコードが盗まれるとCISAは述べています ^[3]。同じ対策で、どちらからも身を守れます。

傍受は侵害の経路の1つにすぎないことも覚えておいてください。アカウント乗っ取りの多くはフィッシングから始まります。Pouyamのガイド「フィッシングとは？偽のメール、SMS、QRコードの見分け方」で解説しています。

携帯電話事業者は何をすべき？

Eneaは、事業者がすべての相互接続プロトコルをまとめて保護し、ローミングの相互接続を信頼できないものとして扱い、自社ネットワーク内のシグナリングを監視するよう推奨しています ^[1]。

Eneaの推奨には次のものがあります ^[1]。

• GTP-CとGTP-Uのセキュリティファイアウォールを導入し、SS7とDiameterのファイアウォールと情報を共有させる。
• 業界の基本的な推奨事項にとどまらず、さらに踏み込む。Eneaは、それをシグナリングセキュリティの出発点とすべきで、終着点ではないとしています。
• 事業者間のIPXインターフェースを信頼できないものとみなし、プロトコルをまたぐトラフィックのより深い分析とファイアウォール処理を行う。
• ネットワークの境界だけでなく、内部のシグナリングプロトコルも分析する。

Eneaは、SilentAirに感染した事業者に対して、ネットワーク内の悪意あるシグナリングの発信元を通知し、この集団の足場に影響が出たと考えているとしています ^[1]。また、同じ手法がほかの攻撃主体にも使われうると警告しています ^[1]。

これらは事業者側の対策です。個人のユーザーには見ることも制御することもできず、これも、携帯電話網に依存しないログイン方式を選ぶべきもう1つの理由です。

SMSコードはなくなる？

すぐにはなくなりません。NISTは今もSMSを制限付きの選択肢として認めていますが、セキュリティ機関は、パスキーなどのフィッシング耐性のある方式へと人々を導いています ^[2][4]。

NISTは、脅威とネットワークの変化に応じて、電話網を使った認証の制限付きという位置づけを調整する可能性があるとしており、これを使う事業者には、少なくとも1つの代替手段と移行計画の提供を求めています ^[4]。CISAは、すでに標的にされやすい人々に、SMSベースのMFAから移行するよう伝えています ^[2]。

FIDOアライアンスは、パスキーが、パスワードとSMSコードの組み合わせといった従来のフローに取って代われること、そしてパスキーがすべての主要なOSとブラウザでサポートされていることを述べています ^[6]。

このガイドは、一般的なセキュリティ意識のためのものです。SilentAirについての事実は、2026年11月13日時点のEnea自身の報告書に基づいています。EneaはSilentAirとLIMINAL PANDAの関連についての評価が変われば、ブログを更新するとしています ^[1]。