NTTドコモは11月5日、「ドコモオンラインショップ」と契約者向けサイト「My docomo」に外部から不正なアクセスがあり、一部の顧客情報が流出したことを確認したと発表した。対象は最大で約30万件。氏名、住所、生年月日、携帯電話番号、連絡先電話番号などが含まれる。同社は5日午前1時5分ごろから両サイトの手続きを止めており、午後6時30分時点で復旧の見込みは「未定」としている。
第一報から9時間半で「流出を確認」に
ドコモの発表は5日に2回出ている。午前9時時点の第一報は、緊急メンテナンスの実施を知らせる内容だった。原因は調査中としたうえで、サーバーに外部から不正なアクセスが行われた「可能性が高い」と判断し、原因究明のためにサービスを止めたと説明していた。
午後6時30分時点の第二報で、内容は変わった。表題に「お客さま情報流出」の語が入り、不正なアクセスが行われたと言い切った。11月4日に両サイトへの不正なアクセスを確認し、その後の調査で一部の顧客情報の流出を確認したという。
同社によると、現在は一切のアクセスを遮断している。流出は緊急メンテナンスより前の不正アクセスによるものだ。メンテナンスは続いており、新たな流出は確認されていない。
不正アクセスがいつ始まったのか、4日の何時に把握したのかは、第二報に書かれていない。
| 日時 | 出来事 |
|---|---|
| 11月4日 | 両サイトへの外部からの不正なアクセスを確認 |
| 5日午前1時5分ごろ | 両サイトの各種手続きを停止 |
| 5日午前9時時点 | 第一報。不正なアクセスの「可能性が高い」と説明 |
| 5日午後6時30分時点 | 第二報。一部の顧客情報の流出を確認、最大約30万件 |
出典: NTTドコモのお知らせ（第一報・第二報）
「最大約30万件」は上限で、確定した件数ではない
第二報は対象件数を「最大 約30万件」と示した。一方で同じ文書の中で、流出した情報の範囲と件数は調査を続けているとしており、この数字は確定値ではない。
流出した情報の種類は「氏名、住所、生年月日、携帯電話番号、連絡先電話番号など」とされた。「など」の中身は示されておらず、詳細は調査中という。クレジットカード番号、銀行口座、パスワードが含まれるかどうかについて、第二報に記載は無い。
規模を見る手がかりとして、NTTの決算補足資料によると、2026年9月末時点の携帯電話サービス契約数は9068万6000件だった。この数字にはMVNO（他社の回線を借りて携帯電話サービスを提供する事業者）との契約と、通信モジュールの契約も含まれる。
最大約30万件を単純に割ると約0.3％にあたる。ただし、発表の「件」が契約の数と同じ単位なのか、解約済みの顧客や回線を持たない顧客を含むのかは示されていない。原因についても第二報の記載は「調査中」で、侵入経路も分かっていない。
手続きは店頭へ、不審な連絡には注意を
利用者にとって当面の問題は2つある。
1つ目は手続きが止まっていることだ。My docomoは利用状況や契約内容の確認、各種手続きができるサイトで、第一報は影響範囲を両サイトの「各種お手続き」としていた。急ぐ手続きがある場合について、同社は第一報で、ドコモショップや量販店、一般販売店などの店頭で対応できる場合があるとして、最寄りの店舗への相談を案内した。第二報にこの案内の記載は無い。
2つ目は流出した情報の悪用だ。ドコモは、ドコモや関係者を装った不審なメール、SMS、電話が届く可能性があると警告した。本文のURLにアクセスしないこと、添付ファイルを開かないこと、個人情報やパスワード、クレジットカード情報などを入力したり答えたりしないことを求めている。
自分の情報が含まれるかどうかを利用者が確かめる方法は、第二報に示されていない。同社は詳細が分かり次第、対象の顧客に速やかに知らせるとしている。
問い合わせ先は、ドコモ インフォメーションセンターだ。ドコモの携帯電話からは151、一般電話などからは0120-800-000につながる。受付時間は午前9時から午後8時までで、年中無休となっている。
法律は委員会への報告と本人への通知を定める
個人情報保護法第26条は、個人の権利や利益を害するおそれが大きい漏えいが起きたとき、事業者に個人情報保護委員会への報告を義務づけている。あわせて、本人への通知も定めている。通知が難しい場合は、本人の権利や利益を守るために必要な代わりの措置をとることになる。
委員会は、報告が必要な場合の1つに、不正の目的をもって行われたおそれがある行為による漏えいを挙げている。報告の期限については、発覚したらまず速やかに報告し、不正な目的のおそれがある場合は発覚日から60日以内としている。委員会の一覧によると、電気通信業の報告先は総合通信局または沖縄総合通信事務所だ。
第二報は、当局への報告の有無には触れていない。本人への連絡については、前述のとおり、詳細が分かり次第知らせるとしている。
同じ日の5G SA障害、2023年の流出とは別の事案
ドコモでは同じ5日、別の問題も起きていた。5G SA（Standalone）を契約する利用者で音声通話、データ通信、SMSが使いづらくなった障害で、発生は午前11時18分ごろ、全国が対象だった。経過はドコモ5G SA障害、午後5時時点で発生から5時間42分 サイバー攻撃の形跡は確認されずで伝えた。
同社は6日午前1時20分に復旧したと発表した。発生からおよそ14時間にわたる。原因は、5G SAの契約者を収容する交換機の輻輳（ふくそう＝通信が集中して処理が追いつかなくなる状態）だった。
この障害について、同社は復旧の発表で「不正アクセスの形跡やサイバー攻撃を示す事象は確認されておりません」としている。時間が重なったものの、ドコモの発表の上では、通信の障害とサイトへの不正アクセスは別々に説明されている。不正アクセスの第二報も、この障害には触れていない。
ドコモの顧客情報をめぐっては、2023年にも大規模な流出があった。「ぷらら」と「ひかりTV」の業務を委託していたNTTネクシアの元派遣社員が、顧客情報を外部に持ち出した事案だ。
同社は当初の2023年3月に「最大 約529万件」と発表したが、7月の調査結果で持ち出された件数は約596万件とわかったとして数字を改めた。内訳は「ぷらら」が165万件、「ひかりTV」が431万件で、解約済みの顧客の情報も含んでいた。このときは、クレジットカードなどの決済関連情報と各種パスワードは含まれていないと明記していた。
今回は委託先の内部からの持ち出しではなく、ドコモのサーバーに対する外部からの不正アクセスだと同社は説明している。
NTTグループでは今月、NTTデータも別の事案を公表した。NTTデータのデジタル証券基盤が停止 委託先に不正アクセス、社債購入者2789人分が漏えいで伝えたもので、委託先のサービスへの不正アクセスだった。
ドコモは原因と侵入経路、流出した情報の範囲と件数の調査を続けている。両サイトの手続きを再開する時期は示していない。