NTTドコモは11月6日、「ドコモオンラインショップ」と契約者向けサイト「My docomo」への不正アクセスについて第三報を出し、流出した顧客情報の項目を公表した。対象の全員について、氏名や住所に加えて本人確認書類の番号と契約内容が含まれる。一部の顧客については、金融機関名や口座番号なども含まれる。対象は最大で約30万件と、前日の発表から変わっていない。
「など」の中身が9項目に
5日午後6時30分時点の第二報は、流出した情報を「氏名、住所、生年月日、携帯電話番号、連絡先電話番号など」と書き、詳細は調査中としていた。経過はドコモに不正アクセス、顧客情報が最大約30万件流出 氏名や住所、手続き再開は未定で伝えた。
6日午後6時時点の第三報は、この部分を書き改めた。項目は「すべてのお客さま」の5つと「一部のお客さま」の4つに分かれ、合わせて9項目になる。
| 区分 | 流出した情報 |
|---|---|
| すべての顧客 | 氏名、生年月日、年齢等 |
| すべての顧客 | 住所、連絡先電話番号、メールアドレス等の連絡先等 |
| すべての顧客 | 本人確認書類の番号 |
| すべての顧客 | 携帯電話番号、契約開始年月日等の契約情報 |
| すべての顧客 | 料金プラン、オプション、割引等の契約内容 |
| 一部の顧客 | 法定代理人・手続代理人の氏名、連絡先 |
| 一部の顧客 | 勤務先・法人の名称、所在地等 |
| 一部の顧客 | 金融機関名、支店名、口座番号、口座名義等 |
| 一部の顧客 | 子育て応援プログラムに関する情報 |
出典: NTTドコモのお知らせ（第三報）
第二報で名前が挙がっていなかったのは、メールアドレス、本人確認書類の番号、料金プランなどの契約内容、そして「一部」の4項目などだ。第二報で「調査中」だった原因の欄は、「外部からの不正アクセス」に改められた。ただし同じ文書は、原因と侵入経路、流出した情報の範囲と件数について調査を続けているとしている。最大約30万件という数字も確定値ではない。
一覧にクレジットカード番号とパスワードは挙げられていない。各項目の末尾には「等」が付いており、第三報はこの2つが含まれないとは明記していない。
法律は携帯会社に本人確認の記録を義務づける
携帯電話会社には、本人確認の記録を残す法律上の義務がある。携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律（携帯電話不正利用防止法）は第3条で、契約を結ぶ際に運転免許証の提示を受けるなどの方法で、氏名、住居、生年月日を確認することを事業者に義務づけた。第4条は確認の記録の作成を求め、契約が終わった日から3年間の保存を定めている。
記録する事項は施行規則第8条が決めており、確認に使った書類の「種類及び記号番号」が含まれる。第三報は、流出した番号がこの記録にあたるのかを説明していない。解約した人の情報が対象に入るのかも書かれていない。
どの書類の番号かも示されていない。ドコモの案内によると、来店時の本人確認書類にはマイナンバーカード、運転免許証、在留カードとパスポートの組み合わせなどがある。マイナンバーカード、運転免許証、在留カード、特別永住者証明書については、ICチップの読み取りによる本人確認を実施している。補助の書類として使う住民票は、マイナンバーの印字が無いものに限っている。
マイナンバーカードで手続きをした顧客について、何の番号が流出したのかは第三報からは分からない。
口座や子育ての情報は「一部」、対象の見分け方は示さず
「一部のお客さま」の4項目は、それぞれどの手続きに関わる情報かの説明が無い。何件が該当するのかも書かれていない。
法定代理人は、親権者や成年後見人などを指す。ドコモの案内は、法定代理人や家族の代理人が手続きをする場合に確認書類を求めている。流出の対象には、契約者本人だけでなく、こうした代理人の氏名と連絡先も含まれることになる。
子育て応援プログラムは、15歳以下かつ中学生以下の子を持つ親権者や扶養者が対象の会員制度だ。申し込みには親子関係や扶養関係が分かる書類が要る。第三報は「プログラムに関する情報」と書くだけで、子どもの情報が含まれるかどうかは示していない。
第二報には、詳細が判明し次第、対象の顧客に速やかに知らせるとの注記があった。第三報の項目欄にこの注記は無く、対象者への個別の連絡については触れていない。自分の情報が含まれるかを確かめる方法も書かれていない。
特設ダイヤルを開設、手続きの再開は未定のまま
第三報では問い合わせ先も変わった。第二報が案内していたドコモ インフォメーションセンターに代えて、特設ダイヤルを掲げた。番号は0120-451-360で、受付時間は午前9時から午後8時までだ。
利用者への注意の内容は第二報と同じだ。流出した情報を悪用し、ドコモや関係者を装った不審なメール、SMS、電話が届く可能性があるという。本文のURLにアクセスしないこと、添付ファイルを開かないこと、個人情報やパスワード、クレジットカード情報などを入力したり答えたりしないことを求めている。
第三報は、パスワードの変更や、流出した口座についての対応には触れていない。
両サイトは緊急メンテナンスが続いている。同社は11月4日に不正なアクセスを確認し、5日午前1時5分ごろから各種手続きを止めた。一切のアクセスを遮断しており、新たな流出は確認されていないという。復旧の見込みは「未定」のままだ。
個人情報保護法第26条は、個人の権利や利益を害するおそれが大きい漏えいが起きたとき、個人情報保護委員会への報告と本人への通知を事業者に義務づけている。
委員会は、報告が必要な場合として、不正に利用されると財産的な被害が生じるおそれがある漏えいと、不正の目的で行われたおそれがある行為による漏えいを挙げている。報告の期限については、発覚したらまず速やかに報告し、不正な目的のおそれがある場合は発覚日から60日以内としている。
第三報は、当局への報告の有無には触れていない。残る不明点は、侵入経路、確定した件数、対象者への連絡の方法、手続きの再開時期である。