悪性SIMカードがモデムを乗っ取る — バーミンガム大らが「SIM発信ATコマンド」の攻撃面を実証

悪性のSIMカード1枚が、差し込まれた機器のモデム（通信プロセッサ）を乗っ取れる——。英バーミンガム大学とセキュリティ企業Fuzzwareの研究チームは、携帯通信の標準仕様に定義された「Proactive SIM」という機能が、スマートフォンやEV充電器、産業用ルーターなどで広範な攻撃面になっていると報告した。研究成果は2026年8月10〜11日に米ボルチモアで開かれたセキュリティ学会USENIX WOOT 2026で発表された。

SIMカードからモデムへ「逆方向」のコマンド

SIMカードは通常、スマートフォンなどに差し込まれると、通信事業者への認証情報を保持する「おとなしい」部品として扱われる。しかし携帯通信の仕様（3GPP）には、SIMカード側から機器のモデムへ能動的にコマンドを送る**「Proactive SIM」**という機能が定義されている。これはキャリアが提供する付加サービス（画面表示やブラウザ起動など）に使われる仕組みだ。

その中に含まれる**「RUN AT」コマンドは、モデムの制御言語であるATコマンド**（1981年のHayesモデムに由来し、現在も通信機器の制御に広く使われる）を、SIMカードからの要求として実行させる。つまり、SIMカードがモデムへの汎用コンソールを持てることになる。

研究チームはこの攻撃面を探るため、**「CATANA」**という解析ツールキットを開発した。SIMカードからATコマンドを送受信し、対象機器の応答を自動テストできるツールだ。Tomasz Piotr Lisowski氏（バーミンガム大学）、Kristian Covic氏（Fuzzware）、Marius Muench氏（バーミンガム大学）が開発した。

26台中9台が「SIM ATインターフェース」を公開

チームはスマートフォン18台とIoTモジュール8台の計26台を調査した。その結果、9台がSIMカードに対してATコマンドの実行インターフェース（SIM ATインターフェース）を公開していた。内訳は以下の通り。

• IoTモジュール8台中6台がインターフェースを公開（特に影響が大きい）
• スマートフォン18台中3台が公開（OPPO Find X5、OPPO Reno 14 F 5G、ASUS Zenfone 9）
• iPhoneやPixelは今回の調査では影響を確認できなかった

IoTモジュールは4ベンダー（Quectel、Sierra Wireless、Nordic Semiconductor、Simcom）の製品を調査した。このうちNordicのnRF9160とSimcomのSIM800Cを除く6台がRUN ATコマンドをサポートしていた。調査したQuectel製モデムはいずれもQualcomm製の通信プロセッサ（CP）と、Androidを搭載した内部アプリケーションプロセッサ（AP）を備えており、ケーススタディではEV充電器・産業用ルーター・車載テレマティクス（遠隔情報処理装置）に実際に組み込まれた状態のモデムが調査された。IoT機器は外部との接点が限られており、SIMスロットが数少ない入口になる。研究者は論文で、悪性SIMにとって「リッチな攻撃面」と指摘している。

実証された4つの攻撃

チームは発見した脆弱性を用いて、以下の4つの攻撃を実証した。

1. コード実行（EV充電器）

米Autel製の商業用EV充電器（型番: MAXI US AC W12-L-4G）に搭載されたQuectel EC25AFXDGAモジュールで、SIMカード発のコマンドだけで任意のコード実行に成功した。モジュールのLinuxベースのアプリケーションプロセッサで、atfwd_daemonと呼ばれるデーモンが、攻撃者が制御するテキストを安全でないフォーマット文字列を通じてシェル呼び出しに渡す脆弱性があった。文字のブラックリストによる回避策はあったが、改行文字で回避された。

2. 任意ファイル読み取り（IoTモジュール）

Quectel EG25-Gモジュールで、悪意のあるシンボリックリンクとSIM発信コマンドを組み合わせ、対象ファイルを攻撃者管理のサーバーへメール送信させる任意ファイル読み取りを実証した。

3. 2Gへの強制ダウングレード（スマートフォン）

OPPO Reno 14 F 5Gでは、SIM ATインターフェース経由で198種類のATコマンドが利用可能だった。そのうちの1つ（AT+COPS=0,,,0）を実行すると、端末が2Gネットワークに固定される。上の図の通り、攻撃後は4Gネットワークを一切認識できなくなる。機内モードの切り替えや手動ネットワーク選択、SIMの無効化でも解除できなかった。2Gへのダウングレードは、通信の傍受や偽基地局攻撃（IMSICatcher等）を可能にする古典的な手口だ。

4. サービス不能（DoS）

モデムを停止させたり、セルラー通信そのものを無効化するコマンドも確認された。

なぜ悪性SIMが機器に入るのか

研究チームは、悪性・改ざんされたSIM（eSIM含む）が機器に入り込むシナリオとして、4つを挙げている。

1. SIMソフトウェアの脆弱性を突いたリモート攻撃
2. 物理的なSIM差し替えや薄型の「インタースペーサー」（SIMと機器の間に挟む改ざん部品）の挿入
3. 通信事業者の内部関係者・侵害された事業者によるリモートSIM管理機能の悪用
4. 製造・流通過程でのサプライチェーン改ざん

特にIoT機器は無人で設置され、SIMトレイに物理アクセスしやすい。EV充電器や産業用ルーターはこの条件に当てはまる。なお、今回の研究では、最近のAndroid端末で悪性SIMがロック画面が有効な状態でも、ユーザー操作なしに攻撃者管理のWebサイトを開かせられる新たな手口（LAUNCH BROWSERコマンドの悪用）も発見されている。従来から危険性が指摘されてきたProactive SIMコマンドの新しい亜種だという。

「仕様に準拠した攻撃」が対策を難しくする

この研究の核心的な指摘は、RUN ATが標準仕様に明示的に定義された正規機能だということだ。Muench氏は大学の発表で、「SIMのプロアクティブ機能と、それによって生じる攻撃面は、携帯通信の技術仕様に明確に定義されている」と述べ、「仕様準拠の攻撃」だと位置づけている。

つまり個々の脆弱性は普通のバグとして修正できるが、インターフェース自体を無効化するかどうかは各ベンダーの設計判断になる。研究者は、SIM ATインターフェースのハードニング（強化）、非推奨化、または無効化を求めている。

研究チームは影響を受ける企業への開示を進めており、GSMA（携帯通信業界団体）や影響を受けたチップ・機器メーカーに通知済みだ。Qualcommはインターフェースを既定で無効化するハードニング構成を提供したとされる。Quectelはファイルアクセス問題への緩和策を提供済みで、インターフェース自体への対応は継続中とされる。

IoT機器を運用する組織が今すぐできること

現時点でこの攻撃面を悪用した実地攻撃の報告はない。研究チームも、攻撃には「機器のスロットに悪性SIMが入っている」という前提が必要だとしている。とはいえ、セルラーIoT機器を運用する組織には以下の対応を推奨する。

1. SIMトレイへの物理アクセスを制限する。無人設置のEV充電器や産業用ルーターは、筐体の施錠や封印を徹底する。
2. モジュールベンダーに確認する。採用している通信モジュール（Quectel等）で「RUN AT」が有効かどうか、無効化できるかを問い合わせる。
3. 通信事業者と協力する。リモートSIM管理の利用状況を監査し、不正なプロビジョニングがないか確認する。
4. 機器のファームウェア更新を待つ。今後リリースされるモジュールの更新プログラム（RUN ATの無効化を含む）を適用する。

まとめ

SIMカードは「単なる認証チップ」ではなく、接続先の機器にコマンドを送れる小さなコンピュータだった——。今回の研究は、携帯通信の標準機能がIoT機器のセキュリティ上の盲点になっていることを示した。特にEV充電器や産業用ルーターなど、無人で運用されSIMトレイに触れやすいIoT機器では、物理的な対策とベンダーへの確認が重要になる。実地悪用の報告はまだないが、影響を受ける機器を運用する組織は、早めの対策を検討してほしい。

出典

• 論文「CATANA: On the Dangers of SIM-Originating AT Commands」（USENIX WOOT 2026、Lisowski / Covic / Muench）: https://www.usenix.org/system/files/woot26-lisowski.pdf
• バーミンガム大学ニュースリリース: https://www.birmingham.ac.uk/news/2026/researchers-show-how-malicious-sim-cards-can-hijack-smartphones-ev-chargers-and-connected-devices