SIMカードがスマホを乗っ取る「仕様準拠」の攻撃を英研究者が実証

スマートフォンに挿さったSIMカードは、通信ネットワークにおける「信頼の根」(root of trust)として扱われてきた。加入者の本人認証、暗号鍵の保管、ネットワークへの接続許可。これらすべてがSIMの管轄であり、端末側はSIMを疑う前提で設計されていない。

この前提に、体系的な亀裂を入れた研究が2026年8月に公開される。

ATコマンドは1981年にDennis HayesとDale HeatheringtonがHayes Smartmodemのために設計したモデム制御命令だ。電話をかける、切断する、接続パラメータを変更する。40年以上にわたりモデムの制御言語として使われ続けてきたこの命令体系が、SIMカード経由で実行可能であるという事実は、通信規格に明記された正当な仕様である。研究チームが開発したツールキット「CATana」は、この仕様が現代の端末で実際にどの程度まで動くかを体系的に検証した。

2019年に実証済みだったのに、なぜ残っているのか

SIMカードを攻撃に利用する試みは、これが初めてではない。2019年、AdaptiveMobile Security（現ENEA）が「SIMJacker」と名付けた攻撃を公開した。これは、SIMカード上に搭載されたS@T Browserというアプリケーションに対し、特別な形式のバイナリSMSを送り込むことで、ユーザーの位置情報とIMEIを無音で窃取する手法だった。攻撃の89.19%は位置情報の取得を目的としており、メキシコを中心に数千台の端末が追跡されていたことが確認されている。

2025年にはCitizen Labが「Bad Connection」と題した報告書で、SIMJackerの亜種が現在もアクティブに使用されていることを明らかにした。ルワンダ、スウェーデン、リヒテンシュタインのモバイル事業者のSS7アドレスを経由した攻撃が観測され、SIMカードが「スパイのセンサー」の役割を果たし続けている実態が示された。

しかし、これらの先行研究が照準を合わせたのは、SIMカードの「ソフトウェア」に対する外部からの攻撃だった。CATanaが狙ったのは、SIMカード自体が能動的に端末へ命令を送る方向、すなわち「SIMから端末へ」のベクトルである。Muenchはプレスリリースの中で次のように述べている。「SIMのproactive機能と、そこから生じる攻撃面は、セルラー通信の技術仕様に明示的に定義されている。結果として『仕様準拠の』攻撃が成立する」

この指摘が示すのは、脆弱性が実装上のバグではなく、設計思想そのものに由来するということだ。

CATanaが暴いた6つの攻撃シナリオ

研究チームは26台の機器を対象に検証を行った。内訳はスマートフォン18台と、セルラー接続IoTモジュール8台。IoTモジュールにはEV充電器、産業機器、コネクテッドカーに組み込まれるものが含まれる。メーカーやOSに偏りはない。

検証の結果、複数の端末がSIM由来のATコマンドを実行することを確認した上で、CATanaを用いて以下の攻撃を実証した。

攻撃カテゴリ	具体的な内容	影響範囲
デバッグインターフェースの再有効化	閉鎖済みのデバッグポートをATコマンドで再起動	端末の内部制御が可能に
情報窃取	IMEI（端末固有識別子）等の抽出	プライバシー侵害
通信の乗っ取り	メッセージ送信、通話の発起	料金詐取、社会的攻撃
任意コマンド実行	通信プロセッサ上での任意コード実行	端末の完全制御
接続のダウングレード	4Gから2Gへの強制降格	暗号化の弱体化、中間者攻撃の準備
サービス拒否	端末の電源断、セルラー通信の完全停止	可用性の喪失

特に注目すべきは、最近のAndroid端末におけるロックスクリーンバイパスの発見だ。悪意あるSIMカードが、端末のロック状態かつユーザー操作なしに、攻撃者が制御するウェブサイトを強制的に開かせることができた。この脆弱性はCVE-2025-48618として追跡されており、Android 13から16までが影響を受ける。NVDの記録によれば、CVSS 3.1スコアは6.8（MEDIUM）で、物理アクセスを前提とするが、追加の実行権限は不要、ユーザー操作も不要と評価されている。

SamsungのExynosチップセットに関連するCVE-2025-59440も、proactive SIMコマンドの不適切な処理に起因するサービス拒否の脆弱性であり、Exynos 980から最新のModem 5400まで20種以上のチップセットが影響を受ける。CVSSスコアは7.5（HIGH）だ。

なぜIoT機器が最も危険なのか

スマートフォンではOS層である程度の緩和が可能だが、IoT機器は事情が異なる。EV充電器や産業用ルーター、車載テレマティクスユニットは、外部に公開するインターフェースを最小限に絞って設計されている。USBポートもなければ、デバッグ用のシリアル接続もない。

しかしSIMスロットは必ずある。セルラー接続が前提だからだ。

研究チームがTROOPERS 26で発表したスライドによれば、Pwn2Own Automotiveで解析されたEV充電器のハードウェアには、文書化されたSIMスロットが存在する。外部インターフェースがほぼ存在しない機器にとって、SIM由来のATコマンドインターフェースは「予期しない侵入ベクトル」となる。ロックダウンされた機器の唯一の隙間が、信頼の根であるはずのSIMカードだった、という構図だ。

研究チームは、悪意あるSIMが被害者の端末に到達する4つのシナリオを、実際のインシデントの先例付きで提示している。

1. SIMソフトウェアの脆弱性を突いたリモート攻撃
2. 被害者のSIMカードを物理的に交換、またはハードウェアインプラントを装着する物理攻撃
3. リモートSIM管理機能を悪用した事業者による攻撃
4. 製造・流通段階でSIMを改変するサプライチェーン攻撃

GSMAは2025年7月に、eUICCプロファイルの悪用と悪意あるJava Cardアプリケーションのインストール防止に関するアプリケーションノート（AN-2025-07）を公開しており、業界全体でSIMのセキュリティに対する関心は高まりつつある。ただし、仕様レベルでのproactive機能の制限や廃止には至っていない。

仕様に準拠した攻撃は、誰が修正するのか

この研究の根本的な問題は、攻撃が「バグ」ではなく「仕様」に由来する点にある。Muenchの言葉を借りれば、他の研究者やサイバーセキュリティ専門家、リークされた諜報文書が敵対的SIMの危険性を以前から示してきたにもかかわらず、「結果として生じたリスクは完全に軽減されていない。おそらく、敵対的SIMがほとんどの脅威モデルに含まれていないためだろう」。

研究チームは発見を報告するにとどまらず、GSMAおよび影響を受けるチップ・端末メーカーに直接連絡を取った。Muenchは「報告は真剣に受け止められ、主要メーカーはソフトウェアアップデートと強化された設定を顧客に提供している。これはスマートフォン、コネクテッドカー、決済端末、ルーター、重要インフラ、EV充電システムを含む、世界中の数十億台のSIM対応機器に利益をもたらすだろう」と述べている。

ただし、修正が追いついているのは、報告が届いたベンダーの製品だけだ。仕様自体、すなわち3GPP TS 31.111のRUN AT COMMANDや、ETSI TS 102 223に定義されたproactive UICCの枠組みは、依然として有効である。研究チームは、これらのproactive SIM機能の多くが「善意のSIMのみを想定して構築されたレガシー技術」であり、現代の脅威環境では不要なセキュリティリスクを生み出していると主張する。

表面を削っただけ、と研究者自身語る

Lisowskiは今後の研究について「我々が発見した攻撃は、敵対的SIMカードで可能なことの表面を削ったにすぎない」と述べている。研究チームはSIMurityプロジェクトとして、SIMインターフェースのセキュリティを検証するためのオープンソースツール群（SIMuscope、SIMshield等）の開発も進めており、NLnetのNGI Mobifree Fundから資金支援を受けている。

残された問いは多い。26台の検証で確認された脆弱性は、市場に存在するSIM対応機器のごく一部をカバーしたにすぎない。eSIMの普及により、リモートプロビジョニング経由でSIMのプロファイルが書き換えられる可能性も加わった。仕様レベルの対策、すなわちRUN AT COMMANDの廃止や、proactiveコマンドに対する認証機構の導入は、3GPPとETSIの標準化プロセスに委ねられている。その議論がいつ始まるか、現時点で明確なロードマップは存在しない。