古い電話番号がアカウントのロックを解除したままになる可能性があります。リサイクルされる前に監査してください。

毎年、何百万もの電話番号が見知らぬ人に再割り当てされ、それらに関連付けられたアカウントが残されたままになることがよくあります。番号や通信会社を切り替える場合、簡単な監査により、電子メール、銀行、メッセージング アプリのキーを他人に渡さずに済みます。

なぜ監査する必要があるのでしょうか?

番号をリサイクルすると忘れられたログインが開かれるようになります

電話番号は個人の所有物のように感じられますが、再利用可能なリソースとして扱います。回線をキャンセルするか、プリペイド プランを失効させると、番号はエージング期間を経てプールに戻ります。

米国では、FCC の規則により、切断された番号を再割り当てできるまでに少なくとも 45 日間の猶予期間が必要であり、住宅番号の保持は 90 日間を超えてはなりません。 FCC を引用した業界の推定では、リサイクルされたラインの数は年間約 3,500 万本と推定されています。他の地域ではルールやスケジュールが大幅に異なります。ただし、期限が過ぎると、その電話番号は再び割り当て可能になり、比較的早く再割り当てされる可能性があります。新しい番号を取得すると、数年とは言わないまでも、何か月もの間、他人宛ての電話やテキスト メッセージが届く可能性があるのもこのためです。その番号はあなたのものですが、その数年前は他の人のものでした。

問題は、Web サイトやアプリはあなたの電話番号が変更されたことを認識せず、手動で変更しない限り、決して知ることができないことです。何年も前にリンクしたものはすべてリンクされたままになります。パスワードのリセット、2 要素プロンプト、アカウント回復オプション、さらには番号を ID として使用するメッセージング アプリのログイン自体も含まれます。次に番号を受け取った人は誰でもリセットを開始でき、テキストが携帯電話に届きます。

プリンストン大学の研究者は、これがどれほど悪化するかを測定しました。彼らは、米国の大手通信事業者 2 社で新規加入者が利用できる 259 の番号を調査したところ、そのうちの約 66% に当たる 171 が人気の Web サイトの前所有者のアカウントに依然として関連付けられていることが判明しました。 259 件のうち 100 件は、オンラインで漏洩したログイン資格情報にリンクされていたため、攻撃者はすでにパスワードを保持しており、テキスト メッセージだけでアクセスできる可能性があります。研究チームは、攻撃者が通信会社検索ツールを使用してリサイクル番号を見つけ、購入し、前の所有者のアカウントにアクセスできることも示しました。

すべての事件に犯罪者が関与しているわけではありません。場合によっては、新しい所有者が単にあなたの予定のリマインダーやアカウントのアラートを受信し始めることがあります。これは依然としてプライバシーの漏洩であり、さらにエスカレートする可能性があります。不快な点は、それが起こったことに通常は気づかないことです。見知らぬ人があなた宛てのコードを取得しても通知はありません。そのため、監査は番号があなたの手から離れる前に行う必要のある予防的な作業になります。

それを（適切に）監査する方法

コードを送信できるすべてのアカウントを調べます

まず、古い番号はまだ捨てないでください。時折テキスト メッセージを受信する必要がある場合があるため、切り替えても新しい番号と古い番号の両方をアクティブにしておいてください。

覚えているアカウントが全体像であることはほとんどないため、リストを作成することから始めます。電子メールの受信トレイで確認コード、電話番号の確認、セキュリティ警告などのフレーズを検索し、パスワード マネージャーをスキャンして何年も触っていないエントリを探します。キャリア アカウント、Apple または Google アカウント、およびメインの電子メールは、他のほとんどすべてを復元するために使用できるため、最初に配置されます。銀行、PayPal などの決済サービス、クラウド ストレージ、ショッピング アカウント、ソーシャル ネットワーク、仮想通貨取引所が続きます。

次に、各アカウントのセキュリティ設定を開き、再設定用の電話番号、2 要素認証方法、テキスト メッセージによるサインインまたはパスワードのリセットを許可する設定の 3 つの場所を確認します。古い番号を新しい番号に置き換えるか、できれば電話番号にまったく依存しないもの (認証アプリ、パスキー、ハードウェア セキュリティ キーなど) に置き換えます。サービスが SMS のみを提供している場合は、新しい番号を使用し、再アクセスするための弱いリンクとしてメモしてください。

メッセージング アプリは番号を ID として使用するため、別途注意が必要です。 WhatsApp、Telegram、Signal はすべてアカウントに関連付けられているため、各アプリの設定で番号変更オプションを確認し、後で再インストールするのではなく、古い回線を放棄する前にそれを使用してください。薬局やヘルスケアのポータル、航空会社やホテルのロイヤルティ プログラム、カードが保存されている配送アプリ、公共料金のアカウントなど、静かな場所もチェックしてください。

順序が重要です。各変更を承認するためのテキストが必要になる場合があるため、古い番号がまだ機能している間にこれを実行してください。サービスが提供するバックアップ コードを保存し、サインアウトして再度サインインして変更を確認します。最後に、使用しなくなったアカウントを探します。古い番号が添付された放棄されたログインはまさに攻撃者が見つけようとしているものであるため、休眠アカウントを削除する方が更新するより安全です。

次のステップ

番号を保留し、ログインを強化し、監視を続けます

監査が完了したら、古い番号をどうするかを決定します。余裕がある場合は、回線をしばらくアクティブにしておくか、低コストのプランまたはポートされた番号を受け入れる Voice-over-IP サービスに移行してください。プリンストン大学の研究者らは、まずアカウントのリンクを解除することと並行して、オプションとして低料金のナンバーパーキングを提案しました。料金と移植ルールは通信事業者やプロバイダーによって異なるため、最初に確認してください。

番号がすでに失われている場合、または有効期間内にある場合は、以前の通信事業者に連絡して、その番号を再アクティブ化できるかどうか尋ねてください。一部の通信事業者はこれを期間限定で許可していますが、ポリシーはさまざまで、答えが「ノー」である可能性もあります。番号が再割り当てされるとウィンドウが閉じるため、ここでは速度が重要です。その場合は、各サービスのアカウント回復フローを使用して同じリストを逆方向に調べ、電子メール、銀行取引、その他お金が保管されているものを優先します。

この番号をどうするにしても、今後は SMS への依存を減らしてください。重要なアカウントを認証アプリ、パスキー、またはハードウェア キーに移動し、バックアップ コードをオフラインの場所に保存します。通信事業者のアカウントも保護します。通信事業者が提供している場合は、アカウント PIN またはナンバー ロックを設定して、ポートアウトの試みを困難にします。

それから、見続けてください。今後数か月間は、リクエストしていないパスワード リセット メール、見知らぬ場所からのログイン アラート、変更された電話番号に関するサービスからのメッセージに注意してください。これらは、誰かが古い番号を持っていて、それをテストしているという初期の兆候である可能性があります。見つかった場合は、パスワードを変更し、他のすべてのセッションからサインアウトして、サービスに連絡してください。金融口座が関係している場合は、銀行に通知し、信用凍結を検討してください。インターネットを使用すると、忘れられたアカウントが再び表示される傾向があるため、90 日間のリマインダーを設定して、監査の短いバージョンを繰り返します。

他の人が番号を継承する前に、古い番号のリンクを解除してください

通信事業者は番号を再利用しますが、Web サイトは番号を信頼し続けます。回線を放棄する前に、その回線をまだ信頼しているすべてのアカウントを見つけて、より強力なサインイン方法に置き換えて、その番号を保留することを検討してください。今日の簡単な監査は、ハイジャックされたアカウントを後で回復するよりもはるかに安価です。