まず全9社を同じ土俵に載せます。第7の壁（キャリア決済の補償）は格安SIM5社がそもそも提供していないため、9社に共通する壁1〜壁6の18点満点で比べました。A＝3点、B＝2点、C＝1点、D＝0点です。

共通6項目・総合スコア（18点満点）

※ 壁1〜壁6（契約時の本人確認／マイページログイン／SIM再発行／eSIM転送・機種変更／店頭なりすまし対策／異常操作の通知と回線停止）の合計。A＝3点、B＝2点、C＝1点、D＝0点。2026年8月22日時点の公開情報から筆者が判定。非公開の不正検知システムは評価に含みません。

合計点より、最弱リンクを見てください

セキュリティは足し算ではありません。6つの壁のうち5つが完璧でも、1つが破られれば番号は奪われます。鎖の強さが、いちばん弱い輪の強さで決まるのと同じです。

この見方をすると、順位の意味が変わります。ソフトバンクは14点と低めですが、最弱リンクはBどまり――つまり突出した穴がありません。一方楽天モバイルとIIJmioにはCの項目があり、そこが攻撃の入口になります。IIJmioは契約時の本人確認がA評価で強固なのに、再発行の入口が開いている。強い壁と弱い壁が同居しているのが、いちばん危ない形です。

第7の壁：キャリア決済の補償は、大手だけの論点

第1章 おわり — 次は、そもそも何が起きるのかへ

比較に入る前に、攻撃の流れを押さえます。SIMスワップは技術的にすごいことをしているわけではありません。正規の手続きを、あなたになりすまして通すだけです。

ポイントは③が終わった瞬間に、④以降が自動的に成立してしまうことです。銀行のワンタイムパスワードも、フリマアプリの本人確認も、メールのパスワード再設定も、すべて「電話番号に届くSMS」を信頼して作られています。だから電話番号は、もはや連絡先ではなくあらゆるアカウントの合鍵です。

【独自集計】若い世代ほど「電話番号が1本しかない」

ここで、この記事だけの数字を出します。総務省の令和6年全国家計構造調査から、世帯主の年齢階級別に「携帯電話通信料」と「固定電話通信料」の月額を集計しました。電話という連絡手段が、どれだけ携帯1本に集約されているかが見えます。

出典：総務省「令和6年全国家計構造調査」政府統計コード0004039780を筆者が集計。総世帯・世帯主の性別平均・購入形態合計、収支項目「携帯電話通信料」「固定電話通信料」の1世帯1か月あたり金額。％は電話通信料合計に占める携帯の割合。

数字がはっきりしています。29歳以下の世帯は、固定電話通信料が月79円――事実上、固定電話を持っていません。電話に関する支出の98.8％が携帯です。30代でも98.4％。一方、80歳以上は70.4％で、固定電話が月2,026円分残っています。

金額の規模も押さえておきます。総世帯平均の携帯電話通信料は月8,637円。2025年国勢調査の全国世帯数57,124,507世帯で換算すると、日本の家計は携帯回線に年間およそ5.9兆円を払っている計算になります。それだけ払っている「回線」が、実は銀行口座の鍵を兼ねている――これがSIMスワップという問題の本質です。

第2章 おわり — 大手4社の採点へ

大手4社はキャリア決済を提供しているので、壁7を含む21点満点で採点できます。

A＝強い／B＝標準的・利用者の設定に依存／C＝公開情報上、不明確または弱点あり／D＝重大な制度上の穴。21点満点。2026年8月22日時点。

壁1｜契約時の本人確認 ─ 4社ともA、しかも今年変わったばかり

ここは差がつきませんでした。第2章で触れたとおり、2026年4月1日から非対面契約の本人確認が制度ごと切り替わり、原則としてICチップ読み取り・公的個人認証が使われます。ソフトバンクは書類撮影方式の終了を明示し、楽天モバイルもICチップ方式へ変更しています。「4社ともA」は横並びに見えますが、1年前なら全社Bだったところです。

壁2｜マイページへのログイン ─ ここが最大の差

4社の評価がいちばん割れたのがログインです。攻撃の第2ステップにあたり、ここを突破されなければSIM再発行にすら到達しません。

壁3・壁4｜SIM再発行と機種変更 ─ 「旧端末を持っているか」がカギ

ここは4社とも一定の対策を持っていますが、思想が違います。

eSIM転送・機種変更では、ドコモとauが旧端末の所持・画面ロック解除・Bluetooth接続などを要求します。Apple経由の転送では同一Apple Accountや2要素認証も関わります。ソフトバンクと楽天モバイルもiPhoneのeSIMクイック転送に対応していますが、Androidでは対象端末や販売元による制限があります。

壁5｜店頭でのなりすまし対策 ─ ここだけソフトバンクが抜けている

ICチップによる本人確認は、auが2025年8月から導入し2026年度中の全店展開を目指す段階、ドコモは2026年8月20日から順次開始したばかりです。この記事の執筆時点では、両社ともまだ移行の途中なのでB評価としました。ここは半年後に評価が変わる可能性が高い項目です。

楽天モバイルは、店頭での再発行手続き自体は確認できるものの、端末所持確認・複数書類・ICチップ必須化といった追加措置を公開情報から確認できませんでした。これは「対策がない」という意味ではなく、公開上の透明性が低いという評価です。

壁6｜異常操作の通知と回線停止 ─ 気づいてから止めるまでの速さ

ドコモはログイン通知・緊急アカウントロック・24時間の回線停止を備えます。auは回線に加えてau IDとau PAYまで同時に止められるのが特徴です。楽天モバイルもmy 楽天モバイルから即時停止でき、24時間受付の窓口があり、不審なSIM再発行では電話確認や手続き保留を行う場合があると説明しています。楽天モバイルが壁6でAなのは、この止める仕組みが具体的だからです。ソフトバンクも24時間停止できますが、SIM再発行完了通知などの公開説明は他社より少なめでした。

第3章 おわり — 次は格安SIM5社へ

比べたのは独立系MVNO5社です。大手のサブブランドを外した理由は第8章で書きます。結果から言うと、「格安SIMはセキュリティが弱い」という一般論は、少なくとも公開情報の上では成り立ちませんでした。

※ 日本通信SIMは「日本通信アプリへ移行済みの利用者」を前提とした評価です。旧日本通信IDのままの利用者は、メールOTPを使う従来方式が残るためB相当になります。
―＝一般消費者向けの回線料金合算決済（キャリア決済）の提供を、現行の公式公開情報から確認できませんでした。

日本通信SIM ─ 電子証明書という別解（18/18）

この設計の何が強いかというと、「パスワード」という盗める文字列が、システムから消えている点です。フィッシングサイトを作っても、入力させるものがありません。機種変更時には電子証明書の再発行と認証の再登録が必要で、SIM・eSIMの再発行も同じマイページから行います。

さらに、契約・再発行を扱う実店舗がありません。第3章で見たとおり店頭は攻撃者にとって有力な迂回路ですが、そもそも店員を騙すという経路が存在しないのです。これは弱点の裏返しでもあります（対面サポートを受けられない）が、SIMスワップ耐性という一点では強みになります。

mineo ─ MVNOで唯一のパスキー対応（16/18）

eoIDはパスキー、SMS・メールによる2段階認証、ログイン通知・履歴に対応しています。eSIMへの変更・再発行には、既存回線へのSMS認証／ICチップ読み取り／公的個人認証のいずれかが必要です。紛失時はマイページまたは電話で24時間緊急停止できます。

ただしパスキーを設定しても、ID・パスワードでのログインが残ります。ドコモの「いつもパスキー設定」のようにパスワード経路を閉じられないため、2段階認証を併用しないと完全なフィッシング耐性にはなりません。壁2がBなのはこの理由です。店頭では再発行時に本人確認書類とeoID・パスワードを求めますが、ソフトバンクのような「現端末の所持確認＋複数証明」の公開ルールまでは確認できませんでした。

BIGLOBEモバイル ─ 再発行は強い。IDは要注意（16/18）

eSIM再発行には、2026年4月1日から公的個人認証またはICチップ読み取り＋容貌撮影による本人確認が必須化されています。これは携帯電話不正利用防止法の改正（同日施行）への対応で、BIGLOBE独自の上乗せではなく、法定要件を満たしたものです。物理SIMは窓口へ連絡し、登録住所にだけ発送されます。既存契約者のSIM再発行や変更を店頭で扱わないため、店頭なりすましの攻撃面が小さいのも評価点です。

イオンモバイル ─ 実被害を受けて、大幅に強化（16/18）

2025年10月、フィッシングで盗まれたID・パスワードから第三者がeSIMを再発行する事件が実際に発生しました。イオンモバイルはこれを公表し、その後に次の対策を追加しています。

特に評価したいのが「メールアドレスの変更に旧メールの認証コードを要求する」点です。第5章で詳しく書きますが、攻撃者はまず通知先を自分のものに書き換えてから本命の操作をします。この順番を潰す対策は、9社を見渡しても明確に公開しているところが少なく、イオンモバイルの強みになっています。2段階認証はGoogle Authenticatorにも対応するため、SMSだけに依存しない設定も可能です。

ただし通常ログイン時の2段階認証は利用者が自分で設定する方式なので、未設定のアカウントはB評価にとどまります。

IIJmio ─ 契約時はAなのに、再発行に穴（11/18）

契約時の本人確認は公的個人認証またはICチップ＋顔照合に移行しており、9社の中でも強固な部類です。それだけに、入口を固めた一方で再発行の入口が開いているという非対称が際立ちます。加えてeSIMクイック転送に対応しておらず、機種変更は会員ページからの手動再発行になるため、壁4も同じ弱点を共有します。

第4章 おわり — 7つの壁では足りない理由へ

ここまでの7項目には、はっきりした偏りがあります。「SIMを再発行される瞬間」に集中しているのです。ところが攻撃者の目的はSIMの再発行ではなく、電話番号を自分の支配下に置くこと。手段は他にもあります。

とくに④は見落とされがちです。攻撃者はいきなりSIMを再発行しません。まず登録メールアドレスや通知先電話番号を自分のものに書き換え、あなたに通知が届かない状態を作ってから本命の操作をします。第4章でイオンモバイルの「メールアドレス変更にも旧メール宛ての認証コードを要求する」対策を高く評価したのは、この順番を潰しているからです。

追加する「8つの壁」

壁13と壁15は、比較表に入れませんでした

正直に書きます。壁13（クールダウン・回数制限）は、9社すべてについて公開情報から判定できませんでした。「連続してeSIM再発行を試みたら止まるのか」「メールアドレスを変更した直後のMNP転出は保留されるのか」――こうした運用は、公開すると攻撃者にも手の内を明かすことになるため、開示されないのが普通です。

これ自体が発見でした。利用者から見ると、9社のうちどこも「連続操作を止める仕組みがあるかどうか」を確認できません。そして、これは金融機関の記事で見てきた不正検知の非公開性と同じ構造です。非公開だから無いとは言えない。しかし、あると期待して行動することもできない。だから利用者側でできること（第8章）が重要になります。

壁15（事故公表・補償・責任分界）は、表の記号では表せないため第7章で3件の実例として扱います。むしろこの項目は、事故を公表したかどうかで事業者の姿勢がいちばんよく見える部分です。

第5章 おわり — 追加項目で9社を比べ直します

公開されている手続きに基づく暫定評価です。内部審査や不正検知エンジンまでは評価していません。◎＝必須かつ比較的強い／○＝対策あり。ただし設定・条件依存／△＝メール・SMS・パスワードへの依存が大きい／？＝公開情報だけでは確認不能。

※ 日本通信SIMは、マイナンバーカードを使った新アプリへ移行済みの場合の評価です。旧ID・パスワード利用者は全項目で評価が下がります。壁13（クールダウン・回数制限）と壁15（事故公表・補償）は第5章・第7章で別扱いにしています。

この軸で見えてくる、5つの違い

セッション管理が「？」の会社が2社あります

ログイン履歴、信頼済み端末の一覧、全端末からのログアウト――これらは侵入されたあとに気づくための唯一の手がかりです。ところがauとソフトバンクは、公開情報からこの機能の有無を確認できませんでした。

繰り返しますが、これは「無い」という意味ではありません。ただ、「自分のアカウントに知らない端末がログインしていないか」を利用者が自力で確認できるかどうかは、被害を早期に発見するうえで決定的です。契約している会社のマイページに、この一覧があるかどうかを一度探してみてください。

BIGLOBEの事例が示す、もう一つの連鎖

第6章 おわり — 実際の事故を3件見ます

SIMスワップは理論上の脅威ではありません。日本の事業者で、実際に起きています。ここでは公表されている3件を、「何が破られ、その後どう変わったか」という視点で並べます。

3件に共通する形

3件とも「パスワードだけで通れる入口があり、その先に再確認がなかった」という形です。だから対策も共通しています。ログインを強くする（壁2）か、ログイン後の重要操作でもう一度確かめる（壁12）か、そのどちらかです。

この観点で見ると、ドコモの「パスキーがなければオンライン再発行できない」という設計は、2つを同時に満たしています。日本通信SIMの電子証明書方式も同様です。イオンモバイルの「再発行時にも認証コードを要求する」は壁12だけを追加した形で、既存の仕組みを変えずに連鎖を切る現実的な解といえます。

壁15：事故を公表したことは、減点ではなく加点です

逆に、この項目でいちばん評価しにくいのは「公開情報が少ない事業者」です。楽天モバイルの店頭対策を第3章でCとしたのも、対策が無いと判断したからではなく、確認する材料が公開されていないからでした。透明性そのものが、利用者にとってのセキュリティ機能だと考えてください。

第7章 おわり — 最後に、今日の行動へ

ここまで9社を比べてきましたが、結論は「点数の高い会社に乗り換えましょう」ではありません。第1章で見たとおり、多くの会社の弱点は「利用者が設定していない機能がある」ことでした。設定さえすれば、評価はそのまま上がります。

今日やる7つの設定（所要20分）

突然圏外になったら、故障と決めつけない

次に調べるべき5社 ─ サブブランドを別枠にした理由

この記事では独立系MVNO5社を選び、大手のサブブランドを外しました。ただし、次の5つは別途調べる価値が高いと考えています。

最終的には15項目 × 14社の構成にし、さらに各項目を「必須の仕組み」「利用者が任意で有効化する設定」「非公開・確認不能」に分けて評価するのが正確だと考えています。総合点だけでなく、この記事で使った最弱リンク評価を併記すれば、SIM乗っ取り耐性はもっと正しく見えるはずです。

第8章 おわり — FAQへ