ケータイ Watchの報道（Yahoo!ニュース掲載）によると、NTTドコモは外部からの不正アクセスを受け、個人および法人を合わせて最大29万4839件の顧客情報が流出したことを公表しました。攻撃者はdアカウントを起点にしつつも、2段階認証などの認証機構を直接破るのではなく、複数の内部システムが連携してデータを処理する隙間を突いて情報を機械的に取得しました。契約者本人の情報だけでなく一部口座情報も含まれるため、連絡を装う不審な詐欺への警戒が求められます。
ケータイ Watch（Yahoo!ニュース）：ドコモ最大29万件超の顧客情報流出、「システム連携の隙」狙われる
単体機能の脆弱性診断だけでなく、複数システムが連携する業務フロー全体のセキュリティ検証を行いたい場合は、実際の攻撃シナリオに基づく診断が有効です。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人）My docomoなどを利用する個人契約者のアカウント（最大204,157件の契約情報および一部の口座情報）
- （企業）ドコモと法人契約を結んでいる顧客企業のアカウント（最大90,682件の契約情報および一部の口座情報）
- （企業）dアカウントと連携し内部で契約データを相互参照・処理するNTTドコモの業務システム群
今すぐ取るべき対応
- （個人・企業）ドコモから11月6日以降順次配信されるSMS通知を確認し、身に覚えのない不審な連絡やフィッシング誘導に警戒する
- （個人・企業）流出の有無や二次被害が懸念される場合は、ドコモが開設した専用相談窓口（0120-451-360）へ問い合わせる
- （企業）複数システム間でデータを受け渡し解釈する処理プロセスにおいて、暗号化解除やデータ抽出が発生する経路がないかアーキテクチャを総点検する
この記事に出てくる専門用語
- dアカウント：NTTドコモのサービスを利用するための共通認証ID基盤です。今回のインシデントでは攻撃の起点としてアクセスに利用されました。
- システム間連携：独立した複数のサーバーやアプリケーションがAPIなどを介してデータを送受信し、一連の処理を実行する仕組みです。今回はデータが解釈される処理の隙間が情報取得に悪用されました。
- マスキング：画面表示やデータ保存時に、クレジットカード番号などの一部を伏字（*など）にして隠すセキュリティ加工です。今回の事案ではカード番号にこの処理が施されていたため流出を免れました。
大量アクセス検知から情報流出を確認するまでの経緯
ケータイ Watchの報道によると、NTTドコモの監視システムが大量アクセスによる異常な高負荷アラートを検知したのは、11月4日10時30分ごろでした。その後のログ解析により、実際には検知アラートの閾値に満たない探り行為とみられる予備的なアクセスが、同日朝7時ごろから始まっていた事実が判明しています。
外部からの攻撃の疑いが高まった同社は、同日14時30分に海外IPアドレスからの接続を遮断しました。それでも攻撃トラフィックが収まらなかったため、国内を含む特定の接続元IPアドレスを順次遮断する対応へ移行しています。さらに16時20分には会員向けサイト「My docomo」の運用を停止し、18時10分には特定の攻撃経路の遮断措置を完了させました。
同日20時32分には安全性が確保されたとの判断からサービスを一時再開したものの、並行して進めていた調査でデータ漏えいの懸念が強まり、攻撃再開のリスクも考慮して翌5日1時5分に再度サイトを閉鎖しました。そして同日2時10分、正式に顧客情報の流出が確認されるに至っています。攻撃経路を遮断した後の再開判断において、データ整合性の裏付けが追いつかない場面はインシデント対応の現場でも特に判断が分かれやすい難所です。
認証突破を伴わずにデータが取得された仕組み
今回の攻撃はdアカウントを起点として行われましたが、多要素認証やパスキーといったユーザー認証機能自体に不備があったわけではありません。攻撃者は認証ロジックを直接突破するのではなく、リクエストを受けた内部システムが互いに連携してデータを処理する手続きの隙間を悪用しました。
ドコモの環境では、データベース保管時やシステム間通信時における暗号化は実装されていました。しかし、特定のシステム内部でデータを解釈・処理する段階で一時的に保護が解かれており、攻撃者は複数の機能が連動する処理フローを悪用して機械的に情報を検索および取得したと説明されています。個別のコンポーネントが仕様通りに暗号化されていても、処理の境界で平文化されたデータが露出する構成は、一般的な単体脆弱性診断では見落とされがちな死角となります。
同社CISOの坪谷寿一氏は、これまで想定していなかった組み合わせの中で発生した事象であると述べています。定期的な脆弱性診断を実施していたにもかかわらず検知できなかった背景には、単一機能のバグではなく、システム間を有機的につなぐ業務処理の組み合わせそのものに潜む構造的な課題がありました。
流出した顧客情報の内容と保護されていたデータの範囲
不正アクセスによって流出した可能性があるデータは、個人契約の20万4157件と法人契約の9万682件を合わせ、最大29万4839件にのぼります。対象となったデータには、氏名、生年月日、住所、電話番号のほか、本人確認書類の番号といった契約者情報が含まれています。なお本人確認書類の番号は数値のみであり、マイナンバーカードなどの書類種別を特定する情報は含まれていないと説明されています。
さらに一部の顧客については、金融機関の口座情報も流出対象に含まれました。一方で、ドコモ側でマイナンバーのデータ本体や券面画像を保持していなかったこと、またクレジットカード番号にはマスキング処理が施されていたことから、これらの重要情報についての流出は防がれています。
ドコモは二次被害を防ぐため、11月6日から対象者に向けてSMSによる通知を開始し、フィッシング詐欺や不審な連絡への警戒を呼びかけています。また予防的措置として、同日18時からahamoの新規受付サイトの運用も停止しました。連絡先情報と口座情報が同時に漏洩した場合、実在の契約内容を騙った精巧ななりすまし詐欺へ発展するリスクがあるため、届いた通知経路の真偽を慎重に見極める行動が欠かせません。
契約者およびシステム管理者が直ちに行うべき確認事項
ドコモの契約者の方は、まず公式から届くSMS通知の有無を確認してください。ドコモは不審な問い合わせや二次被害に対応するため、専用の相談窓口（0120-451-360）を開設しています。通知内容に不安がある場合や口座の不正利用が疑われる場合は、記載のURLなどを不用意に開かず、公表されている正規の電話窓口を通じて直接事実確認を行う姿勢が安全です。
企業で複数の業務システムを連携させている管理者の場合、認証基盤を通過した後の内部APIやデータ連携の設計を見直す必要があります。単一サーバーの脆弱性診断で問題が出なくても、あるシステムが別システムへ発行する検索クエリやデータ抽出要求に適切な権限制限とレートリミットがかかっているかを検証します。
私たち診断側の視点では、通信時と保存時だけでなく「どのコンポーネントが平文データをどのようにメモリ上で解釈しているか」の境界監査を真っ先に推奨します。ドコモも復旧ルールやITガバナンスの見直しを表明している通り、インシデント発生時のサービス再開判断基準と合わせて、システム連携フロー全体の安全性を再点検する手順を組織内で確立しておきます。
参考文献・記事一覧
認証機能やデータベース単体の保護にとどまらず、システム連携の隙を突く攻撃への耐性を確認したい企業は、実践的な検証をご相談ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
