要約

  • Australian Communications and Media Authority（ACMA）は、2024年9月23日から10月23日までに、OptusがColes Mobile向け44件の移行先事業者となり、認められた追加本人確認を完了せずに番号移行を進めたと判断した。
  • ACMAによると、詐欺者は第三者本人確認システムの脆弱性を利用し、少なくとも4人の利用者のモバイルサービスを支配して銀行口座へアクセスした。報告された損失の合計は3万9000豪ドルだった。
  • 番号移行台帳は転送先を正確に記録するために不可欠だが、確認経路が迂回された要求を正当化することはできない。実際の通信支配を変える前に、利用権限の証拠が必要である。

番号は同じでも、通信を受け取るネットワークは変わる

利用者から見ると、番号ポータビリティは便利な事務手続きである。別の事業者へ移っても、家族や取引先は同じ番号へ電話できる。画面に表示される数字は変わらない。

しかしネットワーク内では、責任の引き継ぎが行われる。移転先事業者が新たにサービスを提供し、通話とSMSのルーティングは新しい接続先を指す。旧事業者は共通手順に従って番号を手放す。共有システムは、一つの番号に対して一つの有効な提供先を保たなければならない。

この変更は実質的な支配を伴う。新しいサービスを操作する者は、その番号宛ての通話やSMSを受け取れる。銀行、メール、オンラインサービスが通知や復旧コードの一部にSMSを使っている場合、携帯サービスの支配は別のアカウントへつながる入口にもなり得る。

一方、番号を利用者の私有物と表現するのは正確ではない。オーストラリアの基準は「番号の利用権保有者」という概念を使う。利用者の正当な権限を守りながら、番号が公的な番号計画の中で一意に管理される資源であることも示す言葉だ。

移転先事業者は手続きを始める前に、申請者が利用権保有者または正当な代理人であることを確認する必要がある。さらに、その番号に関連する端末へ直接かつ直ちにアクセスできることも確認する。アカウント情報を知ることと、既存端末を支配することは同じ証拠ではない。

44件について規制当局が認定した範囲

ACMAの最終報告は、OptusをColes Mobileブランド向け44件の移転先通信事業者と位置付けている。対象期間は2024年9月23日から10月23日までだった。

ACMAは、2020年の追加本人確認基準8(2)項について44件の違反を認定した。必要な確認を使わずに移行を進めてはならないとする8(5)項にも44件の違反があり、その結果として1997年電気通信法128(1)項にも違反したとした。

報告書によれば、44の各番号にはSMSで固有確認コードが送られた。それでも、オンラインフォームを通じた44件について、定められた本人確認プロセスは完了していなかった。

ここに重要な区別がある。「コードを送信した」は操作の記録であり、「必要な本人確認が成功した」という結論ではない。システムが前者を後者として扱えば、後続の移行処理は正しい形式で誤った命令を実行する。

報告書の技術部分には、安全上の理由による黒塗りがある。公開資料は第三者サービスの名称や具体的な迂回手順を示していない。分からない部分を推測で埋めてはならない。

ACMAの発表は、確認されている被害を説明する。詐欺者は第三者本人確認システムの脆弱性を利用し、少なくとも4人のモバイルサービスを支配した。その後、銀行口座へのアクセスが起き、報告損失は合計3万9000豪ドルとなった。

44、少なくとも4、3万9000という数字は、それぞれ別の対象を示す。44は、適切な確認なしに進められたと認定された番号移行件数である。「少なくとも4」は、詐欺者にサービスを支配されたことが公表された最低数。3万9000豪ドルは報告された合計損失だ。44人全員が金銭被害に遭ったと読むことはできない。

確認コードの価値は経路全体で決まる

ワンタイムコードは、正しく設計されれば有用である。だが、送り先、申請、番号、セッション、有効時間が結び付いて初めて意味を持つ。別の申請で再利用できないこと、期限切れが拒否されること、第三者が曖昧な成功状態を返せないことも必要だ。

公開報告は具体的な欠陥を明らかにしていない。それでも設計原則は確認できる。要求は最初「未確認」である。認められた方法が選ばれ、証拠が検証され、対象番号と取引へ結び付けられる。その後で初めて「移行可能」になる。

タイムアウト、外部サービス停止、必須項目の欠落は成功ではない。利用者体験を守るために別の安全な方法を用意することはできるが、確認を省略して処理を続けることはできない。

下流システムには、個人資料そのものではなく、最小限の検証証明を渡せばよい。方法、バージョン、一意の参照、有効期限、取引との対応が完全性を保った形で届けば、ポーティング処理は証拠のない命令を拒否できる。

台帳は移転を記録するが、権限を生み出さない

番号移行には共通台帳が必要だ。どのネットワークが現在その番号を提供しているかを一致させ、通話やメッセージを正しい場所へ届ける。番号の一意性と移転履歴を守る機能は、通信継続の土台である。

しかし、台帳は誤って承認された命令も正確に記録できる。本人確認が迂回されても、共有システムとルーティングは新しい事業者へ整然と切り替わる可能性がある。データベース間に矛盾がなくても、正当な利用権保有者はサービスを失っている。

したがって台帳は記録者であり、人の正当性を単独で決める主権者ではない。最終行に新しい事業者名があることは、現在の運用状態を示すだけで、申請者の権限を証明しない。

現実層は、申請者、端末、確認判断、共有取引、実際のルーティングをまとめたものだ。監査では、どの証拠がどの取引を許可し、いつネットワーク状態が変わったかを一つの追跡線で確認する必要がある。

詳細な本人資料をすべてのネットワーク装置へ広げる必要はない。機密情報は制限された確認システムに置き、下流には追跡可能な判断だけを渡す。この分離はプライバシーと説明責任を両立させる。

外部委託しても、移転先事業者の責任は残る

通信事業者は、書類確認、詐欺信号、メッセージ配信などを専門企業へ委託する。委託そのものは弱点ではない。問題は、短い「成功」応答が何を証明するかを事業者が管理できるかである。

ACMAの認定ではOptusが移転先事業者だった。第三者が確認作業の一部を担っても、必要な確認なしに番号移行を進めない義務は事業者に残る。

安全な契約は、応答が保証する内容、入力との結び付き、期限、再利用防止、障害時の挙動を定義する。可用性だけでは足りない。変更通知、負のテスト、ログ保存、脆弱性対応、事故協力も必要だ。

新しいバージョンは、本番へ入る前に欠落項目、期限切れ、重複応答、番号不一致、遅延、停止で確実に失敗するか試すべきだ。正常系が動くことと、異常系が安全に閉じることは別のテストである。

運用監視は失敗数だけでなく、成功率の急上昇や通常あるはずの拒否の消失を見る。問題の方式だけを停止できる仕組みがあれば、安全な代替手段を残しながら被害を封じ込められる。

実務で確認できる対策

開始済みの番号移行には、必ず一つの有効な確認証明が必要だ。証明がない取引は、苦情がなくても事故として扱う。

「コード送信」「入力受領」「検証成功」「移行許可」を別の状態にする。証明は短時間で失効し、一回だけ使え、対象番号とセッションへ結び付く。

チャネルとバージョンごとに、申請、送信、成功、失敗、期限切れ、手動審査、実際の移行を数える。数がつながらない場合は、処理を止めて差を説明する。

第三者変更には契約テストと不正利用テストを行う。異常に高い成功率も警報にする。特定経路だけを停止するスイッチと、正当な代替手順を準備する。

不正の疑いがある移行には、事業者間の回復手順が必要だ。誰が凍結や戻しを許可し、証拠をどう保存するかを決めておく。慌てた再移行が二度目の誤りになってはならない。

可能なら、変更前からある独立チャネルでも通知する。新しいサービスだけへ警告を送ると、すでに支配した相手へ通知する可能性がある。

制裁が示すことと、示さないこと

Optusは82万6320豪ドルを支払った。ACMAは、本件で科すことができた最大の金銭的制裁だと説明した。

この金額は被害総額ではない。3万9000豪ドルも報告された金銭損失であり、番号や銀行口座、デジタルIDを回復する時間や心理的負担をすべて表さない。

ACMAの発表は問題が一度限りで速やかに修正されたとするが、公開報告は技術的対策の全てを示さない。外部から見えない改善を完了済みと断定することはできない。

また、Optusが意図的に不正移行を許した、44人全員が金銭を失った、特定の第三者が原因だった、といった主張にも根拠はない。確認できる中心事実は、必要な本人確認が完了せず、移行が実行されたことである。

情報源