この記事の要点
- 第三報（11月6日午後6時時点）で、最大約30万件の対象者全員について、本人確認書類の番号や、料金プラン・オプション・割引などの契約内容も流出していたことが分かった
- 一部の顧客では、法定代理人・手続代理人の氏名と連絡先、勤務先・法人の名称と所在地、金融機関名・支店名・口座番号・口座名義、子育て応援プログラムに関する情報も流出した
- 第四報（11月9日午後5時30分時点）で、My docomoの手続きを一部を除き11月9日午後3時ごろから順次再開。ドコモオンラインショップは緊急メンテナンスを続けている
NTTドコモは11月6日、「ドコモオンラインショップ」と「My docomo」への外部からの不正アクセスによる顧客情報の流出について第三報を公表し、流出した情報の項目を詳しく明らかにした。対象となる全員について、本人確認書類の番号や料金プランなどの契約内容が流出しており、一部の顧客では銀行口座の情報や勤務先なども含まれていた。対象件数は最大約30万件としている。前回の記事では、第二報の時点で判明していた氏名や住所などの流出を伝えた。
事案の詳細
同社によると、11月4日に両サービスへの外部からの不正なアクセスを確認し、11月5日午前1時5分ごろから両サービスでの各種手続きを停止した。その後の調査で、緊急メンテナンス以前の不正アクセスにより、一部の顧客情報が流出したことを確認したという。
第三報（11月6日午後6時00分時点）で示された流出情報は次の通り。
すべての対象者
- 氏名、生年月日、年齢など
- 住所、連絡先電話番号、メールアドレスなどの連絡先
- 本人確認書類の番号
- 携帯電話番号、契約開始年月日などの契約情報
- 料金プラン、オプション、割引などの契約内容
一部の対象者
- 法定代理人・手続代理人の氏名、連絡先
- 勤務先・法人の名称、所在地など
- 金融機関名、支店名、口座番号、口座名義など
- 子育て応援プログラムに関する情報
原因は「外部からの不正アクセス」としている。不正アクセスの原因と侵入経路、流出した情報の範囲・件数などは、引き続き詳しく調べている。緊急メンテナンスの開始後、新たな情報流出は確認されていないという。
影響と背景
第三報の時点では、緊急メンテナンスの復旧見込みは「未定」としていた。11月9日に公表した第四報（午後5時30分時点）では、今回確認した不正アクセスの経路への対策を講じ、安全性が確認できた手続きについて、11月9日午後3時00分ごろから順次再開したと発表した。
ただし、My docomoでも、あんしんセキュリティの変更・解約、smartあんしん補償の利用・交換、docomoコンテンツ決済停止の解除、d払いの支払い方法停止の解除、ファミリー割引や一括請求の新規申し込みなど、一部の手続きは引き続き利用できない。ドコモオンラインショップも緊急メンテナンスを続けており、再開時期は決まり次第知らせるとしている。
対策・今後の展望
ドコモは、流出した情報を悪用し、ドコモや関係者などを装った不審なメール、SMS、電話などが届く可能性があるとして注意を呼び掛けている。不審なメールなどに記載されたURLにアクセスしない、添付ファイルを開かない、個人情報やパスワードなどを入力・回答しないよう求めている。
第三報では問い合わせ先も更新し、特設ダイヤル（0120-451-360、午前9時〜午後8時）を設けた。
CSRIからのアドバイス
今回の続報で、流出した情報が氏名や住所にとどまらず、本人確認書類の番号や契約中の料金プラン、一部では口座情報や勤務先にまで及ぶことが分かった。こうした情報が手元にあると、攻撃者は「契約内容を正確に言い当てる」連絡を作れるため、受け取った側は本物と区別しにくくなる。
例えるなら、自宅の住所だけでなく、契約書の控えや通帳の表紙まで見られてしまったようなものだ。相手が細かい事情を知っているほど信じたくなるが、事情を知っていることは本人である証明にならない。
今週のうちに、社用携帯をドコモで契約している企業は、「返金手続き」「口座の再登録」「本人確認のやり直し」などを口実にしたSMSや電話に注意するよう従業員へ周知したい。個人でも、口座番号を聞かれたり、リンク先で入力を求められたりしたら、その場で応じず、公式アプリや特設ダイヤルなど自分で調べた窓口に確認する習慣をつけておきたい。口座の入出金明細に見覚えのない動きがないかも、あわせて確認しておくと安心だ。
参照: NTTドコモ「お客さま情報流出に関するお知らせ（第三報：11月6日 午後6時00分時点）」／同（第四報：11月9日 午後5時30分時点）／同（第二報：11月5日 午後6時30分時点）
