福島県警、19歳少年を不正アクセス容疑で逮捕　顧客5人のID・パスワードでeSIM不正取得か

福島県警は、携帯電話関連会社へ不正アクセスし、顧客のID・パスワードを悪用してeSIMを不正に取得した疑いで、東京都の無職の19歳少年を逮捕しました。中テレNEWS NNNが2026年8月26日、福島県警への取材内容として報じました。

報道によると、少年は2025年11月、仲間と共謀して携帯電話関連会社へ不正アクセスしたほか、顧客5人のID・パスワードを悪用してeSIMを取得した疑いが持たれています。取得されたeSIMはインターネット上で販売されていたとされ、警察は匿名・流動型犯罪グループ、いわゆる「トクリュウ」などへ渡り、別の犯罪に利用された可能性もあるとみています。

警察は同様の被害が100件以上ある可能性をみて捜査しています。ただし、100件超すべてについて今回逮捕された少年の関与が確認されたわけではなく、被害企業名やeSIMの総取得数、認証情報をどのように入手したのかも現時点では明らかになっていません。

なお、福島県警の公式サイトでは8月26日時点で今回の逮捕事案を個別に掲載した公開リリースを確認できませんでした。このため、今回固有の逮捕容疑や被害件数は中テレNEWS NNNが福島県警への取材内容として報じた情報に基づきます。手口の位置付けや過去の類似事件、本人確認強化の動きについては警察庁などの一次資料で確認しました。

eSIM不正取得事件のサマリー

• 【福島県警発表として報道】東京都の無職の19歳少年が、不正アクセス禁止法違反と電子計算機使用詐欺の疑いで逮捕されました。
• 【福島県警発表として報道】少年は2025年11月、仲間と共謀して携帯電話関連会社へ不正アクセスした疑いが持たれています。
• 【福島県警発表として報道】顧客5人のID・パスワードを悪用し、eSIMを不正に取得した疑いがあります。
• 【福島県警発表として報道】不正取得されたeSIMはインターネット上で販売されていたとされています。
• 【福島県警の見方として報道】eSIMがトクリュウなどへ渡り、犯罪に利用された可能性もあると警察はみています。
• 【福島県警発表として報道】少年は「お金が欲しかった」などと話し、容疑を認めているとされています。
• 【捜査中】同様の被害は100件以上ある可能性がありますが、少年の関与範囲や正確な件数は確定していません。
• 【未確認】被害を受けた携帯電話関連会社の名称は公表情報から確認できませんでした。
• 【未確認】顧客のID・パスワードがどこから、どのように取得されたのかは明らかになっていません。
• 【警察庁一次資料】警察庁は2025年にも、他人のID・パスワードで電気通信事業者へ不正アクセスし、eSIMを不正取得・販売した複数の少年事件を公表しています。
• 【警察庁一次資料】2025年上半期に不正アクセス禁止法違反で検挙された119人のうち49人、約41％が14～19歳で、警察庁はサイバー犯罪の低年齢化を指摘しています。
• 【政府一次資料】政府はSIMの不正利用対策として、本人確認の厳格化やデータ通信専用SIMの契約時本人確認の義務付けを進めています。

項目	内容
報道日	2026年8月26日
捜査機関	福島県警
逮捕された人物	東京都の無職の19歳少年
容疑	不正アクセス禁止法違反、電子計算機使用詐欺
容疑となった時期	2025年11月
対象組織	携帯電話関連会社。社名は確認できず
悪用された認証情報	顧客5人のID・パスワード
不正取得したもの	eSIM
eSIMの取得数	公表情報では確認できず
eSIMの流通	インターネット上で販売されていたと報道
同様被害	100件以上の可能性。捜査中
認証情報の入手経路	確認できず
トクリュウとの関係	警察が流通・犯罪利用の可能性を捜査。関与は未確定
容疑者の認否	容疑を認めていると報道

顧客5人のID・パスワードを悪用しeSIMを取得した疑い

中テレNEWS NNNによると、19歳の少年は2025年11月、仲間と共謀して携帯電話関連会社へ不正アクセスした疑いが持たれています。

さらに、顧客5人のIDやパスワードを悪用し、eSIMを取得したとして電子計算機使用詐欺の容疑も適用されています。

eSIMは、端末に内蔵されたSIMへ通信契約情報を電子的に設定する仕組みです。物理的なSIMカードを受け渡さなくても通信回線を利用できるため、正規利用では利便性が高い一方、不正に取得された場合にはオンラインで流通しやすい特徴があります。

ただし、今回の事件で顧客5人の認証情報がどのように取得されたのかは明らかになっていません。

フィッシング、他サービスから流出した認証情報の使い回し、マルウェアなど複数の可能性がありますが、現時点でいずれかを侵入経路として断定できる一次情報はありません。

不正取得されたeSIMをインターネット上で販売

福島県警によると、不正取得されたeSIMはインターネット上で販売されていたと報じられています。

警察は、こうしたeSIMが匿名・流動型犯罪グループ、いわゆるトクリュウなどへ渡り、別の犯罪に利用された可能性もあるとみて捜査しています。

ここでも、「トクリュウに販売された」「特殊詐欺に使用された」と確定したわけではありません。

現時点で確認できるのは、eSIMがインターネット上で販売されていたことと、警察が犯罪グループへの流通や別犯罪での使用可能性を捜査していることまでです。

警察庁は、犯罪に利用する目的で他人・架空名義で契約された携帯電話やSIMについて、使用者の特定を困難にする目的で犯罪に悪用される「犯罪インフラ」になり得ると位置付けています。

同様の被害100件超か、関与範囲は捜査中

福島県警は、同様の被害がほかにも100件以上ある可能性があるとみて捜査を進めています。

ただし、この「100件以上」を今回の少年が不正取得したeSIMの確定数と読み替えることはできません。

報道では「同様の被害」とされており、少年が100件超すべてに関与したことが確認されたわけでもありません。今後の捜査で、認証情報の取得方法、共犯者の役割、実際に不正取得された回線数、販売先などが確認ポイントになります。

被害を受けた携帯電話関連会社についても社名は明らかになっていません。

事業者名を過去の類似事件やサービス仕様から推測することは避ける必要があります。

警察庁は2025年にも少年によるeSIM不正取得事件を公表

eSIMを不正取得して販売する手口は、今回初めて確認されたものではありません。

警察庁が2026年3月に公表した「令和7年における不正アクセス行為の発生状況」では、SNSでつながった14～16歳の少年3人が、不正取得した他人のID・パスワードを使って電気通信事業者のサーバーへ不正アクセスし、eSIMを不正取得した事件を紹介しています。

少年らは取得したeSIMを販売して利益を得ようとしており、2025年1～2月に不正アクセス禁止法違反と電子計算機使用詐欺などで検挙されました。

警察庁は、この手口を模倣した別の16歳少年2人についても、2025年3月に同様の容疑で検挙したとしています。

今回の福島県警の事件との直接の関連は確認されていませんが、「他人の認証情報を利用して通信事業者へ不正アクセスし、eSIMを不正取得して販売する」という構造は共通しています。

セキュリティ対策Labでも、過去のeSIM不正契約事件について「楽天モバイル eSIM不正契約で2名を逮捕-度重なる楽天モバイルの不正契約」で取り上げています。なお、今回の福島県警の事件について事業者名は確認できず、この過去事件との直接の関係は確認されていません。

不正アクセス禁止法違反と電子計算機使用詐欺の疑い

今回の少年には、不正アクセス禁止法違反と電子計算機使用詐欺の疑いがかけられています。

不正アクセス禁止法は、他人のID・パスワードなどを入力し、本来利用する権限のないコンピューターを利用可能な状態にする行為を不正アクセスとして禁止しています。

同法第11条では、不正アクセス行為について3年以下の拘禁刑または100万円以下の罰金を定めています。

電子計算機使用詐欺は刑法第246条の2に規定され、コンピューターに虚偽の情報や不正な指令を与え、不実の電磁的記録を作るなどして財産上不法の利益を得る行為を対象とします。法定刑は10年以下の拘禁刑です。

ただし、今回の少年は逮捕段階であり、有罪や刑罰が確定したわけではありません。

政府もSIMの本人確認強化を進める

政府は、SIMが詐欺などの犯罪インフラとして利用される問題への対応を進めています。

2025年4月に犯罪対策閣僚会議が決定した「国民を詐欺から守るための総合対策2.0」では、音声通信SIMの契約時本人確認を厳格化するとともに、データ通信専用SIMについても本人確認の義務付けを含めた検討を進める方針を示しました。

同資料では、不正に取得したログインIDやパスワードを使い、大量の通信SIMを不正契約した事例が確認されたことも背景として挙げられています。

ただし、この制度上の課題を今回の事件の原因と断定することはできません。

今回の事件で、どの本人確認手続きが回避されたのか、追加回線の申請だったのか、事業者側にどのような認証仕様があったのかは公表されていません。

携帯電話事業者・サービス運営部門への示唆

今回の事件では、顧客のID・パスワードを利用した不正アクセスが起点とされています。

そのため、eSIMの新規発行や追加契約のように、その後の犯罪利用へつながり得る操作については、ログイン済みであることだけを本人確認の根拠にしない設計が重要です。

具体的には、eSIM発行や回線追加の際にパスキーや多要素認証による再認証を求める、普段と異なる端末・IPアドレス・地域からの操作を検知する、短期間に複数回線を発行する操作をリスク判定する、といった対策が考えられます。

発行後の通知も重要です。利用者が認識していないeSIMの追加や回線契約があった場合、登録済みの別チャネルへ即時通知し、本人が速やかに停止を申請できる仕組みが必要です。

また、不正アクセス対策と回線契約時の本人確認を別々に管理するのではなく、認証情報侵害を前提としたリスクベースの本人確認を組み込む必要があります。

過去の警察庁公表事例では、ID・パスワードのみの簡易な本人確認が追加回線の不正取得に悪用されたケースも確認されています。ただし、今回の福島県警の事件で同じ仕組みが悪用されたかは確認できません。

情報システム部門への示唆

企業側でも、携帯電話番号やSMSを本人確認手段として利用している場合は、SIMやeSIMを巡る不正契約が犯罪インフラとして流通していることを前提に設計を見直す必要があります。

不正取得された新規電話番号が存在するからといって、直ちに既存利用者のSMS認証が突破されるわけではありません。一方、犯罪者が他人名義の通信回線を取得すれば、匿名性を高めたアカウント作成やSMS認証などに悪用される可能性があります。

重要な操作ではSMSだけに依存せず、パスキー、認証アプリ、端末バインディングなど複数の認証手段を組み合わせることが望まれます。

また、従業員が業務サービスで同じID・パスワードを使い回している場合、外部サービスから流出した認証情報が別サービスへの不正アクセスに転用されるリスクがあります。パスワードの使い回し禁止、多要素認証、漏えい認証情報の監視など、基本対策も改めて確認する必要があります。

今後は福島県警の捜査により、100件超とされる同様被害の範囲、共犯者、認証情報の入手経路、不正取得されたeSIMの販売先や実際の犯罪利用の有無がどこまで明らかになるかが確認ポイントになります。

出典

• 携帯電話関連会社に不正アクセスか　19歳少年を逮捕　同様被害100件超の可能性 – 中テレNEWS NNN
• 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況 – 国家公安委員会・総務省・経済産業省
• 令和7年におけるサイバー空間をめぐる脅威の情勢等について – 警察庁
• 不正アクセス対策 – 警察庁
• 国民を詐欺から守るための総合対策2.0 – 犯罪対策閣僚会議
• 不正アクセス行為の禁止等に関する法律 – e-Gov法令検索
• 刑法 – e-Gov法令検索
• 楽天モバイル eSIM不正契約で2名を逮捕-度重なる楽天モバイルの不正契約 – セキュリティ対策Lab