SIMスワップ、データ漏洩、アカウント盗難：詐欺師が漏洩情報を金銭に変える方法

データ侵害はあまりにも日常的なものとなり、多くの人がそれを背景の雑音のように扱っています。迷惑メール、パスワードリセット、そして復旧といった具合です。しかし、真の危険は後になってからやってくることが多いのです。漏洩した情報がつなぎ合わされ、個人を狙った、いかにも本物らしく、阻止するのが難しい標的型攻撃へと発展していくのです。

BBCの詐欺被害者への調査では、このパイプラインが実際にどのように機能するかが示されています。古いデータ漏洩は犯罪者の犯罪行為を助長します。SIMスワップ攻撃メールアカウントの乗っ取り、他人名義のクレジット利用、企業の広告アカウントの乗っ取りなど、様々な手口が考えられます。一見「単なるメールアドレスの漏洩」に見えても、金銭やなりすまし詐欺、そして数ヶ月に及ぶ復旧作業へと繋がる可能性があります。

この解説では、SIMスワップが成功する仕組み、2要素認証が失敗する理由、実際にリスクを軽減する実用的な手順など、その仕組みについて詳しく説明します。

侵害から詐欺へのパイプライン（平易な英語で）

資金の盗難につながる詐欺のほとんどは、繰り返される一連の手順に従います。

個人情報が漏洩（何年も前に利用していた会社の侵害を通じて）。
犯罪者はそれを豊かにする複数の侵害、公開情報、場合によってはデータブローカーの情報源を組み合わせることによって。
彼らは最も弱い部分を狙う（携帯電話番号、メールの受信トレイ、または「パスワードを忘れた場合」のワークフロー）。
彼らはエスカレートする最初の侵害を利用してパスワードをリセットし、他のアカウントを乗っ取ります。

BBCのサイバー特派員ジョー・タイディ氏は、情報漏洩の被害者になると標的にされる可能性が高くなると指摘しています。重要なのは、すべての情報漏洩が詐欺につながるのではなく、情報漏洩が犯罪者にとって信憑性のあるなりすましに必要な材料を提供しているということです。

SIMスワップ攻撃：電話番号がマスターキーとなる理由

あるケースでは、スーという女性がBBCに対し、自分のデジタルライフがSIMスワップ。

SIM スワップ攻撃は次のように機能します。

犯罪者は、モバイルネットワークオペレータに対して、自分が実際のアカウント所有者であると信じ込ませます。
通信事業者は新しい SIM を発行（または番号を転送）し、被害者の携帯電話はサービスを受けられなくなります。
犯罪者は、被害者宛ての電話やテキストメッセージ（認証コードを含む）を受信するようになります。

攻撃者があなたの番号を掌握すると、傍受が可能になりますSMSベースのセキュリティコードパスワードのリセットとログインの検証に使用されます。

スーさんは詐欺師に乗っ取られたと語るGメールそして彼女を締め出した銀行口座セキュリティチェックに失敗した後に。彼女はまた彼女の名前で開設されたクレジットカード、そして犯罪者が購入した3,000ポンド以上のバウチャーコントロールを取り戻すには、銀行や携帯電話会社に何度も出向く必要がありました。

この事例は、セキュリティ専門家が重要なアカウントの主要な第 2 要素として SMS を使用しないことを推奨する理由を示す典型的な例です。

詐欺師がスーの詳細を入手した場所

BBCはスーの電話番号、メールアドレス、生年月日、住所ギャンブルプラットフォームを含む以前の侵害で暴露されたパディパワー（2010）メール検証ツールVerifications.io (2019)ハッキングされた他の記録集にも彼女の詳細が含まれていた。

BBCが引用したサイバーセキュリティアナリスト、Silobreakerのハンナ・バウムガートナー氏は、攻撃者は漏洩した個人情報をSIMスワップに利用した可能性が高いと述べている。スーさんの電話番号を入手すれば、Gmailの本人確認のために送信されるセキュリティコードを傍受できる可能性がある。

これは「侵害の余波」の問題です。最初の侵害が 10 年前のものであったとしても、データは流通し続け、再パッケージ化され、ソーシャルエンジニアリングの証拠として使用される可能性があります。

小規模ハッキングの規模拡大：乗っ取られたサブスクリプションの市場

BBCの記事は、リスクは低いが非常に一般的なサイバー犯罪である、サブスクリプションアカウントの乗っ取りについても取り上げている。

ブラジルのフランさんはBBCに対し、誰かが自分の名前を登録していたことを発見したと語った。ネットフリックス彼女はアカウントを削除し、月額利用料を増額した。典型的な「フリーローダー」による乗っ取りだ。

記事によると、根本原因が単一の侵害であると特定することは必ずしも可能ではないという。しかしBBCは、フランのメールアドレスが少なくとも4件の侵害で漏洩していたことを明らかにした。インターネットアーカイブ（2024）、トレロフ（2024）、デコンプリカ（2021）そしてワットパッド（2020）。

記事で引用されているハドソン・ロック社のセキュリティ研究者アロン・ギャル氏は、クラックされたストリーミングアカウントの市場について述べ、ある企業の漏洩が継続的な悪用へと発展したと述べた。

2要素認証がまだ失敗するとき

現代の詐欺で最も不安な点の 1 つは、ユーザーが「十分」だと思っている保護を攻撃者が回避できる場合があることです。

BBCは、中小企業経営者のリアさんがFacebookを装ったフィッシングメールの標的になったと報じています。彼女はリンクをクリックし、偽のメタページに詳細情報を入力しました。すると、彼女は既にアカウントを作成していたにもかかわらず、詐欺師にビジネスアカウントを乗っ取られてしまいました。二要素認証。

その後、攻撃者は彼女の名前で児童性的虐待ビデオを投稿し（彼女はブロックされた）、制御を取り戻すまでの3日間で彼女が支払った数百ポンドの広告を掲載した（彼女は最終的にお金を取り戻した）。

2FAが失敗する原因は何でしょうか？よくある原因としては次のようなものがあります。

リアルタイムプロキシフィッシング:偽のサイトは認証情報を本物のサイトに中継し、2FA コードを要求して、すぐにそれを使用します。
セッション盗難/トークンキャプチャ:一部のフィッシングキットは、ログイン後にセッションクッキーを取得します。
アカウント回復の抜け穴:回復用のメール/電話が侵害された場合、攻撃者は通常のチェックをトリガーせずにアクセスをリセットします。

重要なのは2FAが無意味だということではなく、最も強力なアカウントは複数のレイヤーを持つアカウントですチェックボックスは 1 つもありません。

データブローカーの役割と「エンリッチメント」

侵害に攻撃者が望むものがすべて含まれていない場合でも、犯罪者は情報源を組み合わせることができます。

BBCは、詐欺師が盗んだ個人情報を公開情報と混ぜることが多いと指摘しています。捜査官は、攻撃者が盗んだメールアドレスを公開されている企業番号と結びつけ、より説得力のあるフィッシングメッセージを送信する方法を説明しています。

現代の詐欺が不気味に感じられるのは、メッセージがスパムのようには見えないからだ。まるで誰かに書かれたようにあなたのために。

規模の問題：大規模な侵害が世界的な詐欺経済を助長

BBCは、いくつかの注目を集めた攻撃が2025数百万件の記録が公開され、次のような例が挙げられています。

650万Co-opの侵害の影響（4月）
マークス＆スペンサーの顧客に影響したハッキング（同社は顧客数を明らかにしていない）
40万影響を受けるハロッズの顧客
570万カンタス航空のハッキング被害に遭う

また、Proton Mail のデータ侵害観測所も引用しています。検証済みの侵害794件2025年にこれまでに発見された識別可能な情報源から、3億人以上個々の記録。

その規模になると、犯罪者は必ずしも優秀である必要はありません。粘り強さと勤勉さが求められます。

侵害後に企業が行うべきこと（そして行わないこと）

被害者は、標準的な「違反後のケア」が存在しないことに気付くことがよくあります。

BBCによると、無料の信用調査サービスはかつては一般的だったが、現在ではそれを提供する企業は減少しているという。一部の企業はこうしたサービスを提供していない一方で、Co-opは条件付きでバウチャーを提供しているとBBCは指摘している。

この記事には、集団訴訟の増加傾向（個人の影響を証明するのが難しいため勝つのは難しい）と、注目すべき和解についても触れられている。T-Mobileは、3億5000万ドル2021年の侵害を受けて76メートル顧客からの報告支払額は50ドルから300ドル。

SIMスワップが疑われる場合の現実的な対応計画

SIM の交換は時間に敏感なので、チェックリストがあると役立ちます。

携帯電話が突然使えなくなった場合(デッドゾーンにいない場合は) 緊急として扱います。
別の電話からキャリアに電話するSIM の転送または番号の移行が行われたかどうかを尋ねます。
即時ロックをリクエストする今後 SIM を変更する場合は、アカウントの資格情報/PIN をリセットしてください。
メインのメールアカウントを保護する次に、他のすべてをリセットできるためです。
パスワードを変更する銀行、支払いアプリ、SMS コードに関連付けられたアカウントなど。
新しいアカウント/クレジットアクティビティを確認するあなたの名前で。

たとえ攻撃がネットワークの問題であることが判明したとしても、迅速に行動することで失うものはほとんどありません。

リスクを軽減する実践的なステップ（パラノイアなしで）

何年も前に利用していた会社への侵入を防ぐことはできません。しかし、漏洩したデータを攻撃者にとって役に立たないものにすることはできます。

1) モバイルアカウントを保護する

携帯通信会社に問い合わせるアカウントPIN、ポートアウトロック、および追加の検証。
回復方法として SMS を使用するサービスの数を最小限に抑えます。

2) 可能な限り強力な認証を使用する

最も重要なアカウント（メール、銀行、パスワードマネージャー）の場合は、以下を優先します。

認証アプリ（TOTP）
パスキー
またはハードウェアセキュリティキー

…SMS コード経由で。

3) パスワードマネージャーとユニークなパスワードを使用する

クレデンシャルスタッフィングは依然として安価です。固有のパスワードを設定すれば、一度の侵入で全てがロック解除されるのを防ぐことができます。

4) メインのメールを「ルートアカウント」のように扱う

犯罪者があなたのメールボックスを入手した場合、ほぼすべてのアカウントをリセットできます。メールアドレスを次のように設定してください。

強力な認証
回復オプションが確保されました
不審なログインを監視する

結論

データ侵害は単なるプライバシーの問題ではありません。詐欺のサプライチェーンです。過去の漏洩情報と公開情報を組み合わせることで、なりすまし、SIMスワップによる電話番号の盗難、ログイン回避、そしてたった一度の侵害がメール、金融口座、ソーシャルメディアのプロフィールにまで連鎖的に影響を及ぼします。最も効果的な防御策は、多層防御です。電話番号を保護し、メインのメールを安全に保管し、SMSベースのセキュリティ対策は可能な限り廃止しましょう。

出典

https://www.bbc.com/news/articles/czrk7gxk2l6o?at_medium=RSS&at_campaign=rss

Document Title
SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money	SIMスワップ、データ漏洩、アカウント盗難：詐欺師が漏洩情報を金銭に変える方法

Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.	データ侵害は詐欺経済を助長します。SIMスワップ攻撃、Netflixアカウントの乗っ取り、二要素認証を回避するフィッシングなどです。漏洩した個人データがアカウント乗っ取りに繋がる仕組みをご紹介します。
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	管理者によるすべての投稿を表示
UK bans Coinbase ads: what it means for crypto marketing in Britain	英国がCoinbaseの広告を禁止：英国における暗号通貨マーケティングへの影響
Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters	Steamの英国における6億5600万ポンドの訴訟について解説：Valveが告発されている内容とその重要性
Page Content
SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money	SIMスワップ、データ漏洩、アカウント盗難：詐欺師が漏洩情報を金銭に変える方法
Nature
Climate
/
Technology
/ By
Admin
Data breaches have become so routine that many people treat them like background noise — an annoying email, a password reset, then back to life. But the real danger often arrives later, when leaked details are stitched together into targeted attacks that feel personal, plausible, and hard to stop.	データ侵害はあまりにも日常的なものとなり、多くの人がそれを背景の雑音のように扱っています。迷惑メール、パスワードリセット、そして復旧といった具合です。しかし、真の危険は後になってからやってくることが多いのです。漏洩した情報がつなぎ合わされ、個人を狙った、いかにも本物らしく、阻止するのが難しい標的型攻撃へと発展していくのです。
A BBC investigation into scam victims shows how this pipeline works in practice: old data leaks help criminals perform	BBCの詐欺被害者への調査では、このパイプラインが実際にどのように機能するかが示されています。古いデータ漏洩は犯罪者の犯罪行為を助長します。
SIM swap attacks
, hijack email accounts, open credit in someone’s name, or seize control of business advertising accounts. What looks like “just an email address leak” can become a direct route to money, identity fraud, and months of cleanup.	メールアカウントの乗っ取り、他人名義のクレジット利用、企業の広告アカウントの乗っ取りなど、様々な手口が考えられます。一見「単なるメールアドレスの漏洩」に見えても、金銭やなりすまし詐欺、そして数ヶ月に及ぶ復旧作業へと繋がる可能性があります。
This explainer breaks down the mechanics: how SIM swaps succeed, why two-factor authentication can fail, and what practical steps actually reduce risk.	この解説では、SIMスワップが成功する仕組み、2要素認証が失敗する理由、実際にリスクを軽減する実用的な手順など、その仕組みについて詳しく説明します。
The breach-to-scam pipeline (in plain English)	侵害から詐欺へのパイプライン（平易な英語で）
Most scams that end in stolen funds follow a repeatable sequence:	資金の盗難につながる詐欺のほとんどは、繰り返される一連の手順に従います。
Personal data is exposed
(through a breach of a company you used years ago).	（何年も前に利用していた会社の侵害を通じて）。
Criminals enrich it	犯罪者はそれを豊かにする
by combining multiple breaches, public info, and sometimes data-broker sources.	複数の侵害、公開情報、場合によってはデータブローカーの情報源を組み合わせることによって。
They target the weakest link	彼らは最も弱い部分を狙う
(a mobile number, an email inbox, or a “forgot password” workflow).	（携帯電話番号、メールの受信トレイ、または「パスワードを忘れた場合」のワークフロー）。
They escalate	彼らはエスカレートする
— using the first compromise to reset passwords and take over other accounts.	最初の侵害を利用してパスワードをリセットし、他のアカウントを乗っ取ります。
The BBC’s cyber correspondent Joe Tidy notes that being a victim of a breach increases your chance of being targeted. The key is not that every breach leads to a scam, but that breaches supply the raw materials criminals need for believable impersonation.	BBCのサイバー特派員ジョー・タイディ氏は、情報漏洩の被害者になると標的にされる可能性が高くなると指摘しています。重要なのは、すべての情報漏洩が詐欺につながるのではなく、情報漏洩が犯罪者にとって信憑性のあるなりすましに必要な材料を提供しているということです。
SIM swap attacks: why your phone number is a master key	SIMスワップ攻撃：電話番号がマスターキーとなる理由
In one case, a woman named Sue told the BBC her digital life was hijacked via a	あるケースでは、スーという女性がBBCに対し、自分のデジタルライフが
SIM swap
.
A SIM swap attack works like this:	SIM スワップ攻撃は次のように機能します。
A criminal convinces a mobile network operator they are the real account holder.	犯罪者は、モバイルネットワークオペレータに対して、自分が実際のアカウント所有者であると信じ込ませます。
The operator issues a new SIM (or transfers the number), and the victim’s phone loses service.	通信事業者は新しい SIM を発行（または番号を転送）し、被害者の携帯電話はサービスを受けられなくなります。
The criminal now receives calls and texts meant for the victim — including verification codes.	犯罪者は、被害者宛ての電話やテキストメッセージ（認証コードを含む）を受信するようになります。
Once attackers control your number, they can intercept	攻撃者があなたの番号を掌握すると、傍受が可能になります
SMS-based security codes	SMSベースのセキュリティコード
used for password resets and login verification.	パスワードのリセットとログインの検証に使用されます。
Sue said scammers took over her	スーさんは詐欺師に乗っ取られたと語る
Gmail
and then locked her out of	そして彼女を締め出した
bank accounts
after failed security checks. She also had a	セキュリティチェックに失敗した後に。彼女はまた
credit card opened in her name	彼女の名前で開設されたクレジットカード
, and criminals purchased	、そして犯罪者が購入した
more than £3,000 in vouchers	3,000ポンド以上のバウチャー
. Getting control back required several trips to her bank and mobile phone provider.	コントロールを取り戻すには、銀行や携帯電話会社に何度も出向く必要がありました。
This story is a textbook example of why security professionals recommend moving away from SMS as your primary second factor for important accounts.	この事例は、セキュリティ専門家が重要なアカウントの主要な第 2 要素として SMS を使用しないことを推奨する理由を示す典型的な例です。
Where the scammers got Sue’s details	詐欺師がスーの詳細を入手した場所
The BBC reports that Sue’s
phone number, email address, date of birth and physical address	電話番号、メールアドレス、生年月日、住所
were exposed in earlier breaches — including gambling platform	ギャンブルプラットフォームを含む以前の侵害で暴露された
PaddyPower (2010)
and email validation tool
Verifications.io (2019)
. Other compilations of hacked records also included her details.	ハッキングされた他の記録集にも彼女の詳細が含まれていた。
A cybersecurity analyst cited by the BBC, Hannah Baumgaertner of Silobreaker, said attackers likely used leaked personal data to conduct the SIM swap. Once they had Sue’s phone number, they could intercept security codes sent to verify identity for Gmail.	BBCが引用したサイバーセキュリティアナリスト、Silobreakerのハンナ・バウムガートナー氏は、攻撃者は漏洩した個人情報をSIMスワップに利用した可能性が高いと述べている。スーさんの電話番号を入手すれば、Gmailの本人確認のために送信されるセキュリティコードを傍受できる可能性がある。
This is the “breach aftershock” problem: even if the original breach is a decade old, the data can keep circulating, being repackaged, and being used as social-engineering proof.	これは「侵害の余波」の問題です。最初の侵害が 10 年前のものであったとしても、データは流通し続け、再パッケージ化され、ソーシャルエンジニアリングの証拠として使用される可能性があります。
How small hacks scale: the market for hijacked subscriptions	小規模ハッキングの規模拡大：乗っ取られたサブスクリプションの市場
The BBC story also highlights a lower-stakes but extremely common kind of cybercrime: subscription account takeover.	BBCの記事は、リスクは低いが非常に一般的なサイバー犯罪である、サブスクリプションアカウントの乗っ取りについても取り上げている。
Fran, in Brazil, told the BBC she found someone had registered to her	ブラジルのフランさんはBBCに対し、誰かが自分の名前を登録していたことを発見したと語った。
Netflix
account and increased her monthly subscription — a classic “freeloader” hijack.	彼女はアカウントを削除し、月額利用料を増額した。典型的な「フリーローダー」による乗っ取りだ。
The article says it’s not always possible to pinpoint a single breach as the root cause. But the BBC found Fran’s email address had been exposed in at least four breaches, including	記事によると、根本原因が単一の侵害であると特定することは必ずしも可能ではないという。しかしBBCは、フランのメールアドレスが少なくとも4件の侵害で漏洩していたことを明らかにした。
Internet Archive (2024)	インターネットアーカイブ（2024）
,
Trellov (2024)
Descomplica (2021)
and
Wattpad (2020)
A security researcher quoted in the piece, Alon Gal of Hudson Rock, described a market for cracked streaming accounts, turning one company’s leak into ongoing abuse.	記事で引用されているハドソン・ロック社のセキュリティ研究者アロン・ギャル氏は、クラックされたストリーミングアカウントの市場について述べ、ある企業の漏洩が継続的な悪用へと発展したと述べた。
When two-factor authentication still fails	2要素認証がまだ失敗するとき
One of the most unsettling parts of modern scams is that attackers can sometimes bypass protections users assume are “enough.”	現代の詐欺で最も不安な点の 1 つは、ユーザーが「十分」だと思っている保護を攻撃者が回避できる場合があることです。
The BBC describes a small business owner, Leah, targeted by a phishing email that appeared to come from Facebook. She clicked a link, entered details on a fake Meta page, and scammers took over her business account even though she had	BBCは、中小企業経営者のリアさんがFacebookを装ったフィッシングメールの標的になったと報じています。彼女はリンクをクリックし、偽のメタページに詳細情報を入力しました。すると、彼女は既にアカウントを作成していたにもかかわらず、詐欺師にビジネスアカウントを乗っ取られてしまいました。
two-factor authentication
Attackers then posted child sexual abuse videos under her name (getting her blocked) and ran hundreds of pounds of adverts paid for by her in the three days it took to regain control (she eventually got the money back).	その後、攻撃者は彼女の名前で児童性的虐待ビデオを投稿し（彼女はブロックされた）、制御を取り戻すまでの3日間で彼女が支払った数百ポンドの広告を掲載した（彼女は最終的にお金を取り戻した）。
How can 2FA still fail? Common paths include:	2FAが失敗する原因は何でしょうか？よくある原因としては次のようなものがあります。
Real-time proxy phishing:	リアルタイムプロキシフィッシング:
the fake site relays credentials to the real site and asks for the 2FA code, using it immediately.	偽のサイトは認証情報を本物のサイトに中継し、2FA コードを要求して、すぐにそれを使用します。
Session theft / token capture:	セッション盗難/トークンキャプチャ:
some phishing kits capture the session cookie after login.	一部のフィッシングキットは、ログイン後にセッションクッキーを取得します。
Account recovery loopholes:	アカウント回復の抜け穴:
if recovery email/phone is compromised, attackers reset access without triggering normal checks.	回復用のメール/電話が侵害された場合、攻撃者は通常のチェックをトリガーせずにアクセスをリセットします。
The point isn’t that 2FA is pointless — it’s that	重要なのは2FAが無意味だということではなく、
the strongest account is the one with multiple layers	最も強力なアカウントは複数のレイヤーを持つアカウントです
, not a single checkbox.	チェックボックスは 1 つもありません。
The role of data brokers and “enrichment”	データブローカーの役割と「エンリッチメント」
Even when a breach doesn’t include everything an attacker wants, criminals can combine sources.	侵害に攻撃者が望むものがすべて含まれていない場合でも、犯罪者は情報源を組み合わせることができます。
The BBC notes that scammers often mix stolen private information with public information. Investigators described how an attacker could connect a stolen email address with a publicly listed business number to send a more convincing phishing message.	BBCは、詐欺師が盗んだ個人情報を公開情報と混ぜることが多いと指摘しています。捜査官は、攻撃者が盗んだメールアドレスを公開されている企業番号と結びつけ、より説得力のあるフィッシングメッセージを送信する方法を説明しています。
That’s what makes modern scams feel creepy: the message doesn’t look like spam. It looks like it was written	現代の詐欺が不気味に感じられるのは、メッセージがスパムのようには見えないからだ。まるで誰かに書かれたように
for you
The scale problem: mass breaches fuel a global scam economy	規模の問題：大規模な侵害が世界的な詐欺経済を助長
The BBC notes that several high-profile attacks in	BBCは、いくつかの注目を集めた攻撃が
2025
exposed millions of records, listing examples such as:	数百万件の記録が公開され、次のような例が挙げられています。
6.5 million
affected by a Co-op breach (April)	Co-opの侵害の影響（4月）
a hack affecting Marks & Spencer customers (the company did not specify how many)	マークス＆スペンサーの顧客に影響したハッキング（同社は顧客数を明らかにしていない）
400,000
Harrods customers affected	影響を受けるハロッズの顧客
5.7 million
impacted in a Qantas hack	カンタス航空のハッキング被害に遭う
It also cites Proton Mail’s Data Breach Observatory:	また、Proton Mail のデータ侵害観測所も引用しています。
794 verified breaches
from identifiable sources discovered so far in 2025, exposing	2025年にこれまでに発見された識別可能な情報源から、
more than 300 million
individual records.
At that scale, criminals don’t need to be brilliant. They need to be persistent and industrial.	その規模になると、犯罪者は必ずしも優秀である必要はありません。粘り強さと勤勉さが求められます。
What companies do (and don’t do) after breaches	侵害後に企業が行うべきこと（そして行わないこと）
Victims often discover there is no standard “breach aftercare.”	被害者は、標準的な「違反後のケア」が存在しないことに気付くことがよくあります。
The BBC reports that offering free credit monitoring used to be common, but fewer firms are doing it now. It notes that some companies did not offer these services, while Co-op offered a voucher under conditions.	BBCによると、無料の信用調査サービスはかつては一般的だったが、現在ではそれを提供する企業は減少しているという。一部の企業はこうしたサービスを提供していない一方で、Co-opは条件付きでバウチャーを提供しているとBBCは指摘している。
The article also mentions a growing trend of class action lawsuits — though hard to win because proving individual impact is difficult — and a notable settlement: T-Mobile agreed to pay	この記事には、集団訴訟の増加傾向（個人の影響を証明するのが難しいため勝つのは難しい）と、注目すべき和解についても触れられている。T-Mobileは、
$350m
after a 2021 breach affecting
76m
customers, with reported payments ranging from	顧客からの報告支払額は
$50 to $300
A realistic response plan if you suspect a SIM swap	SIMスワップが疑われる場合の現実的な対応計画
Because SIM swaps are time-sensitive, it helps to have a checklist.	SIM の交換は時間に敏感なので、チェックリストがあると役立ちます。
If your phone suddenly loses service	携帯電話が突然使えなくなった場合
(and you’re not in a dead zone), treat it as urgent.	(デッドゾーンにいない場合は) 緊急として扱います。
Call your carrier from another phone	別の電話からキャリアに電話する
and ask if a SIM transfer or number port happened.	SIM の転送または番号の移行が行われたかどうかを尋ねます。
Request an immediate lock	即時ロックをリクエストする
on further SIM changes and reset the account credentials/PIN.	今後 SIM を変更する場合は、アカウントの資格情報/PIN をリセットしてください。
Secure your primary email account	メインのメールアカウントを保護する
next, because it can reset everything else.	次に、他のすべてをリセットできるためです。
Change passwords
for banking, payment apps, and any accounts tied to SMS codes.	銀行、支払いアプリ、SMS コードに関連付けられたアカウントなど。
Check for new accounts/credit activity	新しいアカウント/クレジットアクティビティを確認する
in your name.
Even if the attack turns out to be a network issue, you lose little by moving fast.	たとえ攻撃がネットワークの問題であることが判明したとしても、迅速に行動することで失うものはほとんどありません。
Practical steps that reduce risk (without paranoia)	リスクを軽減する実践的なステップ（パラノイアなしで）
You can’t prevent a company you used years ago from being breached. But you can make leaked data less useful to attackers.	何年も前に利用していた会社への侵入を防ぐことはできません。しかし、漏洩したデータを攻撃者にとって役に立たないものにすることはできます。
1) Protect your mobile account	1) モバイルアカウントを保護する
Ask your carrier about	携帯通信会社に問い合わせる
account PINs
, port-out locks, and extra verification.	、ポートアウトロック、および追加の検証。
Minimise how many services use SMS as a recovery method.	回復方法として SMS を使用するサービスの数を最小限に抑えます。
2) Use stronger authentication where possible	2) 可能な限り強力な認証を使用する
For your most important accounts (email, banking, password manager), prefer:	最も重要なアカウント（メール、銀行、パスワードマネージャー）の場合は、以下を優先します。
authenticator apps (TOTP)
passkeys
or hardware security keys	またはハードウェアセキュリティキー
…over SMS codes.
3) Use a password manager + unique passwords	3) パスワードマネージャーとユニークなパスワードを使用する
Credential stuffing is still cheap. Unique passwords stop one breach from unlocking everything.	クレデンシャルスタッフィングは依然として安価です。固有のパスワードを設定すれば、一度の侵入で全てがロック解除されるのを防ぐことができます。
4) Treat your primary email like the “root account”	4) メインのメールを「ルートアカウント」のように扱う
If criminals get your email inbox, they can reset almost every other account. Make your email:	犯罪者があなたのメールボックスを入手した場合、ほぼすべてのアカウントをリセットできます。メールアドレスを次のように設定してください。
strongly authenticated
recovery options secured	回復オプションが確保されました
and monitored for suspicious logins	不審なログインを監視する
Bottom line
Data breaches aren’t just a privacy problem — they’re the supply chain for scams. Old leaks can be combined with public information to impersonate you, steal your phone number through a SIM swap, bypass logins, and turn a single compromise into a cascade across email, financial accounts, and social profiles. The most effective defence is layered: protect your phone number, secure your primary email, and move away from SMS-based security wherever you can.	データ侵害は単なるプライバシーの問題ではありません。詐欺のサプライチェーンです。過去の漏洩情報と公開情報を組み合わせることで、なりすまし、SIMスワップによる電話番号の盗難、ログイン回避、そしてたった一度の侵害がメール、金融口座、ソーシャルメディアのプロフィールにまで連鎖的に影響を及ぼします。最も効果的な防御策は、多層防御です。電話番号を保護し、メインのメールを安全に保管し、SMSベースのセキュリティ対策は可能な限り廃止しましょう。
Sources
https://www.bbc.com/news/articles/czrk7gxk2l6o?at_medium=RSS&at_campaign=rss	https://www.bbc.com/news/articles/czrk7gxk2l6o?at_medium=RSS&at_campaign=rss
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	管理者によるすべての投稿を表示
UK bans Coinbase ads: what it means for crypto marketing in Britain	英国がCoinbaseの広告を禁止：英国における暗号通貨マーケティングへの影響
Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters	Steamの英国における6億5600万ポンドの訴訟について解説：Valveが告発されている内容とその重要性
Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.	データ侵害は詐欺経済を助長します。SIMスワップ攻撃、Netflixアカウントの乗っ取り、二要素認証を回避するフィッシングなどです。漏洩した個人データがアカウント乗っ取りに繋がる仕組みをご紹介します。

Document Title

SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money

Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.

Title Attribute

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

UK bans Coinbase ads: what it means for crypto marketing in Britain

Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters

Page Content

SIM swaps, breached data, and stolen accounts: how scammers turn leaks into real money

Nature

Climate

Technology

/ By

Admin

Data breaches have become so routine that many people treat them like background noise — an annoying email, a password reset, then back to life. But the real danger often arrives later, when leaked details are stitched together into targeted attacks that feel personal, plausible, and hard to stop.

A BBC investigation into scam victims shows how this pipeline works in practice: old data leaks help criminals perform

SIM swap attacks

, hijack email accounts, open credit in someone’s name, or seize control of business advertising accounts. What looks like “just an email address leak” can become a direct route to money, identity fraud, and months of cleanup.

This explainer breaks down the mechanics: how SIM swaps succeed, why two-factor authentication can fail, and what practical steps actually reduce risk.

The breach-to-scam pipeline (in plain English)

Most scams that end in stolen funds follow a repeatable sequence:

Personal data is exposed

(through a breach of a company you used years ago).

Criminals enrich it

by combining multiple breaches, public info, and sometimes data-broker sources.

They target the weakest link

(a mobile number, an email inbox, or a “forgot password” workflow).

They escalate

— using the first compromise to reset passwords and take over other accounts.

The BBC’s cyber correspondent Joe Tidy notes that being a victim of a breach increases your chance of being targeted. The key is not that every breach leads to a scam, but that breaches supply the raw materials criminals need for believable impersonation.

SIM swap attacks: why your phone number is a master key

In one case, a woman named Sue told the BBC her digital life was hijacked via a

SIM swap

A SIM swap attack works like this:

A criminal convinces a mobile network operator they are the real account holder.

The operator issues a new SIM (or transfers the number), and the victim’s phone loses service.

The criminal now receives calls and texts meant for the victim — including verification codes.

Once attackers control your number, they can intercept

SMS-based security codes

used for password resets and login verification.

Sue said scammers took over her

Gmail

and then locked her out of

bank accounts

after failed security checks. She also had a

credit card opened in her name

, and criminals purchased

more than £3,000 in vouchers

. Getting control back required several trips to her bank and mobile phone provider.

This story is a textbook example of why security professionals recommend moving away from SMS as your primary second factor for important accounts.

Where the scammers got Sue’s details

The BBC reports that Sue’s

phone number, email address, date of birth and physical address

were exposed in earlier breaches — including gambling platform

PaddyPower (2010)

and email validation tool

Verifications.io (2019)

. Other compilations of hacked records also included her details.

A cybersecurity analyst cited by the BBC, Hannah Baumgaertner of Silobreaker, said attackers likely used leaked personal data to conduct the SIM swap. Once they had Sue’s phone number, they could intercept security codes sent to verify identity for Gmail.

This is the “breach aftershock” problem: even if the original breach is a decade old, the data can keep circulating, being repackaged, and being used as social-engineering proof.

How small hacks scale: the market for hijacked subscriptions

The BBC story also highlights a lower-stakes but extremely common kind of cybercrime: subscription account takeover.

Fran, in Brazil, told the BBC she found someone had registered to her

Netflix

account and increased her monthly subscription — a classic “freeloader” hijack.

The article says it’s not always possible to pinpoint a single breach as the root cause. But the BBC found Fran’s email address had been exposed in at least four breaches, including

Internet Archive (2024)

Trellov (2024)

Descomplica (2021)

and

Wattpad (2020)

A security researcher quoted in the piece, Alon Gal of Hudson Rock, described a market for cracked streaming accounts, turning one company’s leak into ongoing abuse.

When two-factor authentication still fails

One of the most unsettling parts of modern scams is that attackers can sometimes bypass protections users assume are “enough.”

The BBC describes a small business owner, Leah, targeted by a phishing email that appeared to come from Facebook. She clicked a link, entered details on a fake Meta page, and scammers took over her business account even though she had

two-factor authentication

Attackers then posted child sexual abuse videos under her name (getting her blocked) and ran hundreds of pounds of adverts paid for by her in the three days it took to regain control (she eventually got the money back).

How can 2FA still fail? Common paths include:

Real-time proxy phishing:

the fake site relays credentials to the real site and asks for the 2FA code, using it immediately.

Session theft / token capture:

some phishing kits capture the session cookie after login.

Account recovery loopholes:

if recovery email/phone is compromised, attackers reset access without triggering normal checks.

The point isn’t that 2FA is pointless — it’s that

the strongest account is the one with multiple layers

, not a single checkbox.

The role of data brokers and “enrichment”

Even when a breach doesn’t include everything an attacker wants, criminals can combine sources.

The BBC notes that scammers often mix stolen private information with public information. Investigators described how an attacker could connect a stolen email address with a publicly listed business number to send a more convincing phishing message.

That’s what makes modern scams feel creepy: the message doesn’t look like spam. It looks like it was written

for you

The scale problem: mass breaches fuel a global scam economy

The BBC notes that several high-profile attacks in

2025

exposed millions of records, listing examples such as:

6.5 million

affected by a Co-op breach (April)

a hack affecting Marks & Spencer customers (the company did not specify how many)

400,000

Harrods customers affected

5.7 million

impacted in a Qantas hack

It also cites Proton Mail’s Data Breach Observatory:

794 verified breaches

from identifiable sources discovered so far in 2025, exposing

more than 300 million

individual records.

At that scale, criminals don’t need to be brilliant. They need to be persistent and industrial.

What companies do (and don’t do) after breaches

Victims often discover there is no standard “breach aftercare.”

The BBC reports that offering free credit monitoring used to be common, but fewer firms are doing it now. It notes that some companies did not offer these services, while Co-op offered a voucher under conditions.

The article also mentions a growing trend of class action lawsuits — though hard to win because proving individual impact is difficult — and a notable settlement: T-Mobile agreed to pay

$350m

after a 2021 breach affecting

76m

customers, with reported payments ranging from

$50 to $300

A realistic response plan if you suspect a SIM swap

Because SIM swaps are time-sensitive, it helps to have a checklist.

If your phone suddenly loses service

(and you’re not in a dead zone), treat it as urgent.

Call your carrier from another phone

and ask if a SIM transfer or number port happened.

Request an immediate lock

on further SIM changes and reset the account credentials/PIN.

Secure your primary email account

next, because it can reset everything else.

Change passwords

for banking, payment apps, and any accounts tied to SMS codes.

Check for new accounts/credit activity

in your name.

Even if the attack turns out to be a network issue, you lose little by moving fast.

Practical steps that reduce risk (without paranoia)

You can’t prevent a company you used years ago from being breached. But you can make leaked data less useful to attackers.

1) Protect your mobile account

Ask your carrier about

account PINs

, port-out locks, and extra verification.

Minimise how many services use SMS as a recovery method.

2) Use stronger authentication where possible

For your most important accounts (email, banking, password manager), prefer:

authenticator apps (TOTP)

passkeys

or hardware security keys

…over SMS codes.

3) Use a password manager + unique passwords

Credential stuffing is still cheap. Unique passwords stop one breach from unlocking everything.

4) Treat your primary email like the “root account”

If criminals get your email inbox, they can reset almost every other account. Make your email:

strongly authenticated

recovery options secured

and monitored for suspicious logins

Bottom line

Data breaches aren’t just a privacy problem — they’re the supply chain for scams. Old leaks can be combined with public information to impersonate you, steal your phone number through a SIM swap, bypass logins, and turn a single compromise into a cascade across email, financial accounts, and social profiles. The most effective defence is layered: protect your phone number, secure your primary email, and move away from SMS-based security wherever you can.

Sources

https://www.bbc.com/news/articles/czrk7gxk2l6o?at_medium=RSS&at_campaign=rss

←

→

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

UK bans Coinbase ads: what it means for crypto marketing in Britain

Steam’s UK £656m lawsuit explained: what Valve is accused of and why it matters

Data breaches feed a scam economy: SIM swap attacks, hijacked Netflix accounts, and phishing that bypasses two-factor authentication. Here's how leaked personal data becomes account takeover.

Document Title
Page not found - Florin.blog	ページが見つかりません - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog	ページが見つかりません - Florin.blog
Skip to content
Home
Blog
Garden Decor	ガーデンデコレーション
Indoor
Main Menu
This page doesn't seem to exist.	このページは存在しないようです。
It looks like the link pointing here was faulty. Maybe try searching?	ここへのリンクに問題があるようです。検索してみてください
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.	Amazonアソシエイトとして、当社は対象となる購入から報酬を得ています。お客様に追加料金はかかりません
Florin.blog
Florin.blog » Feed
RSD
Search...

Document Title

Page not found - Florin.blog

Image Alt

Florin.blog

Title Attribute

Florin.blog » Feed

RSD

Placeholder Attribute

Search...

Page Content

Page not found - Florin.blog

Home

Blog

Garden Decor

Indoor

Main Menu

This page doesn't seem to exist.

It looks like the link pointing here was faulty. Maybe try searching?

Search for:

Quick Links

Outdoors

About

Contact

Explore

Bestsellers

Hot deals

Best of The Year

Featured

Gift Cards

Help

Disclaimer

: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.

Florin.blog

Florin.blog » Feed

RSD

Search...