ドコモ社長が頭を下げた最大29万4,839回線の流出　口座番号も、診断になかった攻撃

　NTTドコモは11月6日夜、ドコモオンラインショップとMy docomoへの不正アクセスによる顧客情報の流出について記者会見を開き、最大29万4,839回線分の情報が流出したと明らかにした。内訳は個人が20万4,157回線、法人が9万682回線。ドコモは11月5日に「最大約30万件」と公表しており、今回の会見で件数と内訳が判明した。

　前田義晃社長は会見の冒頭、「お客様ならびに関係する皆様に多大なご迷惑とご心配をおかけしたことを心よりおわび申し上げます」と謝罪した。

　流出したのは、対象者全員の氏名、生年月日、住所、電話番号、メールアドレス、本人確認書類の番号、料金プランなどの契約情報。一部の顧客では、法定代理人・手続代理人の氏名と連絡先、勤務先・法人の名称、金融機関名、支店名、口座番号、口座名義、子育て応援プログラムに関する情報も含まれる。すでに退会した利用者の情報も含まれている。

　攻撃は、外部の攻撃者がインターネット経由でドコモのシステムに接続し、複数のシステムが連携する仕組みを悪用して、顧客情報を機械的に検索・取得する形で行われた。坪谷寿一副社長は「これまでの診断経路にはない、想定しなかった組み合わせでの攻撃」と説明し、APIそのものを直接狙った攻撃ではなく、既存の仕組みの組み合わせを突かれたとの認識を示した。

　ドコモは、確認された攻撃経路と類似の経路を遮断し、外部から顧客情報を取得できない状態にしたとしている。ドコモオンラインショップとMy docomoは、5日未明から緊急停止が続いており、6日午後6時からはahamoの新規受付サイトも予防措置として停止した。同サイトで不正アクセスは確認されていないという。

　流出対象の個人には6日からSMSで謝罪と注意事項を通知しており、今後もSMSやダイレクトメールで案内する。法人には営業担当者などを通じて知らせる。個人・法人を対象としたお見舞金の支払いも検討しているが、対象範囲、条件、金額は未定で、別途案内するという。ドコモは、流出した情報を悪用した不審なメールやSMS、電話に注意し、URLへのアクセスや添付ファイルの開封、個人情報の入力は避けるよう呼びかけている。