2026年11月6日、総務省はNTTドコモに対し、利用者情報の管理と再発防止を求める行政指導を行いました。
問題となったのは、ドコモMAXなどの料金プランをオンラインで契約した利用者34万4,213人分の電話番号と利用者識別子が、有効な同意を得ないままアマゾンジャパンへ送られていたことです。
情報漏えいという言葉から、不正アクセスやサイバー攻撃をイメージする方も多いかもしれません。
しかし、今回の事案では外部からシステムへ侵入されたことが原因ではありません。
オンライン申込手続きを変更した際、利用者情報をアマゾンへ提供することについての記載が抜け落ちたまま手続きが公開され、必要な同意を取得できていなかったことが問題となりました。
企業の情報管理では、外部からの攻撃を防ぐだけでなく、「誰の情報を、何の目的で、どこへ提供しているのか」を正しく管理することも重要です。
NTTドコモで何が起きたのか
NTTドコモでは、ドコモMAXなどの料金プランをオンラインで契約する際の申込手続きについて、導線の見直しを行っていました。
その変更作業の中で、重要事項説明などに記載されるべきアマゾンジャパンへの利用者情報の第三者提供に関する説明が欠落しました。
作業担当部門がその状態に気付かないまま新しい申込手続きが公開され、対象となる利用者から有効な同意を取得できていない状態で情報が送られていました。
対象となったのは34万4,213人です。
アマゾンジャパンへ送信された情報は、電話番号と利用者識別子とされています。
総務省は、これらの情報について適正な管理が行われていなかったとして、NTTドコモに対して再発防止策など必要な措置を講じ、その実施状況を報告するよう求めました。
サイバー攻撃がなくても「情報漏えい」は起こる
今回の件で特徴的なのは、攻撃者による不正アクセスが原因ではないことです。
企業の情報漏えいには、システムへの侵入やマルウェアだけでなく、メールの誤送信、公開設定の間違い、権限設定の不備、データの誤った共有など、さまざまな原因があります。
今回のように、利用者本人の同意を得るための手続きが正しく機能していなかったことで、本来の条件を満たさないまま第三者へ情報が提供されるケースもあります。
システムそのものが正常に動いていても、情報の取り扱い方が正しくなければ問題は起こります。
そのため、セキュリティ対策を「攻撃を防ぐための技術」だけで考えるのは十分ではありません。
個人情報や利用者情報が、どのシステムからどこへ送られているのか。その際に必要な同意や確認が正しく行われているのかまで管理する必要があります。
申込画面の変更が34万人規模の問題につながった
今回の事案では、オンライン申込手続きの変更がきっかけとなりました。
Webサイトやアプリでは、画面の文言や申込フローを日常的に変更することがあります。
一見すると小さな変更でも、個人情報の取得や第三者提供に関係する部分であれば、影響は大きくなる可能性があります。
例えば、
「この文章を削除しても問題ないか」
「チェックボックスを省略してよいか」
「申込ボタンを押した時点で、どの情報がどこへ送信されるのか」
といった点は、デザインや使いやすさだけで判断することはできません。
法務、個人情報保護、システム、事業部門など、複数の担当者が関係する部分です。
変更前には問題がなかった仕組みでも、改修によって必要な説明や確認処理が抜けてしまうことがあります。
Webサイトやシステムの変更管理では、セキュリティだけでなく、個人情報の取り扱いについても確認する仕組みが必要です。
「電話番号だけ」でも軽く考えるべきではない
今回提供された情報には電話番号が含まれています。
住所やクレジットカード番号などと比べると、電話番号だけなら大きな問題ではないと感じるかもしれません。
しかし、電話番号は本人との連絡に直接使える情報です。
他の情報と組み合わされれば、SMSを利用したフィッシングや、企業を装った電話などに使われる可能性もあります。
もちろん、今回アマゾンジャパンへ提供された情報が犯罪に利用されたという話ではありません。
重要なのは、情報の種類だけで危険性を判断するのではなく、その情報が「誰に、どの目的で、どのような手続きのもと提供されるのか」を管理することです。
特定利用者情報とは
今回、総務省が問題としているのが「特定利用者情報」です。
電気通信事業法では、一定の電気通信事業者に対して、利用者に関する重要な情報を適正に取り扱うことを求めています。
NTTドコモは、この制度の対象となる事業者です。
利用者に関する情報をどのように取得し、利用し、外部へ提供するのかについて、適切な管理が求められます。
今回、必要な同意を取得しないまま情報が第三者へ提供されたことについて、総務省は特定利用者情報が適切に管理されていなかったと判断しました。
企業が確認したい「データの流れ」
今回の事案は、通信事業者だけに関係する話ではありません。
多くの企業では、Webサイトやアプリから取得した情報を、外部のサービスへ送信しています。
例えば、決済サービス、CRM、広告サービス、メール配信サービス、アクセス解析、クラウドサービスなどです。
問題になるのは、自社内でその流れを把握できていない場合です。
顧客がフォームへ入力した情報が、どのシステムへ保存され、どの企業へ送られ、いつ削除されるのか。
サービスを追加したりWebサイトを変更したりするうちに、当初の設計から情報の流れが変わっていることもあります。
システム構成だけでなく、個人情報や顧客データの流れについても定期的に確認しておく必要があります。
システム変更時のチェック体制も重要
今回のような問題を防ぐには、システムを公開するときだけでなく、変更するときの確認が重要になります。
新しい機能を追加した際にセキュリティテストを実施していても、利用規約や同意画面、データ送信先の変更まで確認対象に含まれていなければ、別の問題が残る可能性があります。
特に個人情報を扱うシステムでは、改修時に次のような点を確認しておく必要があります。
・取得する情報が増えていないか
・情報の利用目的が変わっていないか
・新しい第三者への提供が発生していないか
・必要な説明や同意取得が画面上に存在するか
・同意前に情報が送信されていないか
・外部サービスとの連携内容が変更されていないか
こうした確認は、開発担当者だけに任せるのではなく、必要に応じて法務や個人情報保護の担当者も含めて行うことが重要です。
脆弱性診断だけでは防げない情報漏えいもある
CyberCrewでは、Webアプリケーションの脆弱性診断やペネトレーションテストを提供しています。
こうしたテストでは、攻撃者がシステムへ侵入できないか、権限のない情報を閲覧できないか、不正な操作ができないかといった技術的な問題を確認します。
一方、今回のような「必要な同意文言が表示されていない」という問題は、一般的な脆弱性診断だけで必ず検出できるものではありません。
システム上は想定通りに情報が送信されていたとしても、その前提となる同意手続きが適切でなければ、情報管理上の問題になります。
サイバーセキュリティ、プライバシー、法令対応は重なる部分がありますが、それぞれ確認する内容は異なります。
企業側では、技術的な安全性だけでなく、情報の取得から利用、第三者提供、削除までを含めて管理することが必要です。
11月に発生したドコモへの不正アクセスとは別の事案
NTTドコモでは、2026年11月4日にドコモオンラインショップとMy docomoへの外部からの不正アクセスも確認されています。
こちらでは最大約30万件の顧客情報が流出したことが公表されており、今回のAmazonへの情報提供とは別の事案です。
発生時期が近いため混同しやすいですが、原因も内容も異なります。
Amazonへの情報提供は、申込手続きの変更によって必要な同意を取得できていなかったことが問題となったものです。
一方、ドコモオンラインショップとMy docomoの事案は、第三者による不正アクセスによって情報が流出したものです。
同じ「情報漏えい」であっても、原因によって必要な対策は大きく変わります。
まとめ
NTTドコモは、ドコモMAXなどのオンライン契約において、利用者情報をアマゾンジャパンへ提供することについて有効な同意を得ないまま、34万4,213人分の電話番号と利用者識別子を送信していました。
総務省は、特定利用者情報が適切に管理されていなかったとして、再発防止などを求める行政指導を行っています。
今回の事案は、不正アクセスがなくても情報漏えいが発生することを示しています。
企業が個人情報を守るためには、外部からの攻撃を防ぐだけでなく、どの情報を取得し、どこへ送り、どのような同意のもとで利用しているのかを把握する必要があります。
Webサイトやシステムを変更する際には、機能やデザインだけでなく、利用者情報の取り扱いについても確認することが重要です。
※本記事は2026年11月10日時点の総務省、NTTドコモの公開情報および報道をもとに、株式会社CyberCrewが独自に整理・解説したものです。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
