会員サイトやアプリのログインにSMSの認証コード（＝ログインのたびにスマホへ届く使い捨ての数字）を使っていると、ある日、問い合わせ窓口にこんな連絡が来ることがあります。「電話番号を変更しましたというメールが届いたけれど、私は何もしていない」。
「お客様から『身に覚えのない電話番号の変更通知が来た』と連絡があった。まず何をすればいいの？」
先に結論をお伝えします。この連絡は「アカウントの乗っ取りが起きているかもしれない」という知らせとして扱い、原因を調べる前に、まず被害が広がらないようにアカウントを止めます。そのうえで、変更の記録をたどり、被害の有無を確かめ、ほかの会員に同じことが起きていないかを見ます。
- 最初の数十分でやること：アカウントの一時停止と、ログイン中の状態（セッション）の解除
- その日のうちにやること：誰が・どこから番号を変えたかの記録の確認と、被害の確認
- そのあとにやること：本人確認をして元に戻す、ほかの会員の確認、必要な報告の検討、再発防止
この記事では、窓口担当者と運用責任者が「身に覚えのない変更」の連絡を受けたときの初動を6つのステップで整理し、開発会社への頼み方と質問例を紹介します（執筆時点：2026年11月）。
「身に覚えのない電話番号の変更」が危ない理由
SMS認証のサービスでは、登録された電話番号が「本人である証拠」になっています。その番号が本人の知らないうちに変わったということは、第三者がその証拠を自分の番号に差し替えたおそれがある、ということです。
番号が差し替えられると、次のようなことが起きえます。
| 起きうること | 発注者・運用側への影響 |
|---|---|
| 第三者が自分のスマホで認証コードを受け取り、ログインできる | 個人情報・購入履歴・ポイントなどを見られる、使われる |
| 本物のお客様はログインできなくなる | 問い合わせが増え、お客様の不信感が高まる |
| メールアドレスやパスワードもあわせて変えられる | 本人への連絡手段まで失われ、元に戻すのが難しくなる |
もちろん、家族が代わりに手続きした、本人が手続きを忘れていた、というように不正ではないこともあります。ただ、確かめている間に被害が広がるのを避けるため、まず止めてから調べるのが基本の考え方です。
原因は、自社のシステムの外にあることもある
番号が変わった原因が、自社のシステムの弱さとは限りません。たとえば、次のような経路が考えられます。
- 別のサービスから漏れたパスワードの使い回しで、ログインされた
- 窓口に本人のふりをした連絡があり、番号の変更を受け付けてしまった
- お客様の電話番号そのものを乗っ取られた（SIMスワップ）
SIMスワップ（＝他人の個人情報を使って携帯電話会社にSIMカードの再発行を申し込み、電話番号を自分の端末で使えるようにする手口）については、金融機関などが注意を呼びかけています。
📰 出典：楽天証券「SIMスワップ詐欺に関する注意喚起」（2026年4月6日）
この注意喚起では、兆候として、スマホが突然圏外になる、身に覚えのないログインや取引の通知が届く、身に覚えのないSIM再発行の通知が届く、メールにログインできなくなる、などが挙げられています。気づいたときは、携帯電話会社への連絡やメールのパスワード変更などを行うよう案内されています。
経路によって打つ手が変わるため、最初の連絡のときに、お客様に聞いておくことを決めておくと、そのあとの調査が早く進みます。
乗っ取りを疑うときの初動6ステップ
ステップ1：連絡を受けたら、聞くことを決めておく
窓口の担当者は、お客様から次のことを聞き取ります。電話でも問い合わせフォームでも同じです。
- 通知が届いた日時と、届いた先（メールアドレス・元の電話番号など）
- 最近、自分で電話番号・メールアドレス・パスワードを変えたか
- 今、ログインできるか。スマホが突然圏外になっていないか
- ほかのサービスでも、身に覚えのない通知が届いていないか
一方で、パスワードや認証コードは聞きません。「確認のため」とコードを聞く手口と区別がつかなくなるためです。また、通知に書かれた連絡先がそもそも本物かどうか（通知を装った偽のメールではないか）も確かめます。
ステップ2：アカウントを止め、ログイン中の状態を解除する
不正の疑いがあれば、原因が分かる前に、まずアカウントを一時的に止めます。あわせて、すでにログインしている端末を締め出すため、セッション（＝ログインした状態を保つための仕組み）をすべて解除します。
| 操作 | 目的 |
|---|---|
| アカウントの一時停止（ロック） | 新しいログインや操作を止める |
| セッションの解除（強制ログアウト） | すでにログインしている第三者を締め出す |
| 登録済みの支払い手段・ポイント交換などの停止 | お金に関わる被害を止める |
ここで多いのが、「管理画面にその操作がない」というケースです。ロックはできても、ログイン中の端末を締め出す機能がない、窓口の担当者には操作できない、ということがあります。いざというときに慌てないよう、どの操作が・誰の権限でできるかを、普段から開発会社に確かめておきましょう。
ステップ3：変更の記録をたどる
次に、電話番号がいつ・どの経路で変わったのかを調べます。主に確かめたいのは次の点です。
- 変更が、お客様の画面から行われたのか、窓口の管理画面から行われたのか
- 変更の直前に、どこからログインされたか（IPアドレス〔＝ネットワーク上の住所のようなもの〕や端末の種類など）
- 同じ時期に、メールアドレス・パスワード・支払い方法なども変えられていないか
この調べものは、ログ（＝システムの操作や出来事の記録）が残っていないとできません。窓口の管理画面から変えた場合に「どの担当者が変えたか」が残っていない、ログの保存期間が短くてすでに消えている、ということもあります。調べた結果を開発会社に頼む場合は、あわせてログを消さずに残しておくことも依頼します。
ステップ4：被害の有無を確かめる
記録をもとに、第三者がログインしてから何をしたかを確認します。
- 個人情報（住所・電話番号・購入履歴など）が見られた、書き換えられたか
- 購入・ポイントの利用・送金などのお金に関わる操作が行われたか
- お客様の名前で、ほかの人にメッセージを送るなどの操作が行われたか
お金に関わる被害があれば、決済代行会社など関係する事業者への連絡が必要になることがあります。誰に何を連絡するかは、サービスごとに事前に一覧にしておくと迷いません。
ステップ5：本人確認をして元に戻し、ほかの会員も確かめる
元に戻す作業は、電話番号の変更と同じくらい強い本人確認をしてから行います。乗っ取りが疑われる場面で、名前と生年月日だけで戻してしまうと、相手が第三者だった場合に二度目の乗っ取りを手伝うことになるためです。窓口での本人確認の決め方は、次の記事で解説しています。
あわせて、同じことがほかの会員にも起きていないかを確かめます。同じ時期に電話番号の変更が急に増えていないか、同じIPアドレスから複数の会員にログインされていないか、などです。1件の連絡が、より大きな不正アクセスの入り口になっていることもあります。
ステップ6：報告の要否を検討し、再発防止を決める
第三者に個人データ（会員の情報など）を見られたおそれがある場合は、個人情報保護法に基づく報告や本人への通知が必要になることがあります。個人情報保護委員会は、不正の目的で行われたおそれがある漏えい等を報告の対象の1つとして挙げており、速報はおおむね3〜5日以内、確報は不正の目的によるおそれがある場合は60日以内を目安としています。
📰 出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」
報告が必要かどうかは、何が・どのくらい見られたおそれがあるかによって変わります。この記事では一般的な考え方の紹介にとどめますので、個別の判断は、個人情報保護委員会の窓口や弁護士などの専門家に確認してください。お客様へのお知らせの考え方は、次の記事で解説しています。
最後に、ステップ3で分かった経路に合わせて、再発防止の手を打ちます。
| 分かった経路 | 再発防止の例 |
|---|---|
| パスワードの使い回しでログインされた | ログインの試行回数の制限、SMS以外の認証手段（認証アプリ・パスキー）の追加 |
| 窓口で番号の変更を受け付けてしまった | 窓口での本人確認の手順の見直し、変更操作の記録 |
| SIMスワップが疑われる | 電話番号だけに頼らない認証の検討、番号変更後しばらくは大きな操作に追加の確認を求める |
| 経路が分からなかった | ログの記録内容と保存期間の見直し |
初動でやりがちな失敗
よくあるつまずきを、パターンとしてまとめます（特定の事例ではなく、よくある流れを整理したものです）。
| やりがちな失敗 | 何が起きるか | 防ぎ方 |
|---|---|---|
| 「お客様の勘違いでは」と様子を見る | その間に被害が広がる | 疑わしければ先に止めてから調べる |
| 電話番号だけ元に戻して終わりにする | ログイン中の第三者がそのまま操作を続ける | セッションの解除とあわせて行う |
| 確認のために認証コードを聞く | だましの手口と見分けがつかなくなる | コードやパスワードは聞かないと手順書に書く |
| 調べる前にアカウントを削除・作り直す | 記録が消え、原因も被害も分からなくなる | ログを残したまま止める |
| 1件だけの問題として扱う | ほかの会員の被害に気づけない | 同じ時期・同じ経路の変更を確かめる |
発注者がやること チェックリスト
- ☐ 「身に覚えのない変更」の連絡で、窓口が聞くことと聞かないことを手順書に書いた
- ☐ アカウントの一時停止とセッションの解除が、誰の権限で・どの画面からできるか確かめた
- ☐ 電話番号・メールアドレス・パスワードの変更が、いつ・どの経路で・誰の操作で行われたかログに残るか確かめた
- ☐ ログの保存期間を確認し、調査に足りる長さか検討した
- ☐ 被害の確認（個人情報の閲覧・お金に関わる操作）を誰がどう行うか決めた
- ☐ 関係する事業者（決済代行会社など）と、社内の連絡先の一覧を作った
- ☐ 個人情報保護法の報告の要否を相談する先（専門家・公式窓口）を決めた
- ☐ 電話番号の変更時に、元の連絡先へ通知が届くか確かめた
開発会社への質問例
- 「不正ログインが疑われる会員のアカウントを、管理画面からすぐに止められますか。ログイン中の端末を締め出す操作もできますか」
- 「電話番号やメールアドレスが変わったとき、変更した日時・経路（本人の画面か管理画面か）・操作した担当者・接続元は記録されていますか。何日分残りますか」
- 「同じ時期に電話番号の変更が急に増えた、同じ接続元から複数の会員にログインされた、といった動きに気づく仕組みはありますか」
- 「乗っ取りが疑われる連絡があったとき、調査を依頼する場合の窓口と、着手までの目安を教えてください」
- 「SMSのほかに、認証アプリやパスキーなどを追加するとしたら、今のシステムにはどの方式が合いますか」
まとめ
お客様から「身に覚えのない電話番号の変更通知が来た」と連絡があったときは、次の順で動きます。
- まず、パスワードや認証コードを聞かずに状況を聞き取る
- 原因が分かる前に、アカウントを止め、ログイン中の状態を解除する
- ログで変更の経路をたどり、被害の有無を確かめる
- 強い本人確認をしてから元に戻し、ほかの会員にも同じことが起きていないか確かめる
- 報告の要否を専門家や公式窓口に確認し、分かった経路に合わせて再発防止を決める
どれも、いざというときに管理画面で操作でき、ログが残っていることが前提です。連絡が来てから慌てないよう、平時のうちに開発会社と「止める・たどる・戻す」の手段を確かめておきましょう。
あわせて読みたい関連記事
