ドコモオンラインショップ・My docomo 最大約30万件の情報漏えい、漏れた氏名・住所・電話番号・本人確認書類の番号で何をされるのかまとめました

2026年11月5日、株式会社NTTドコモは、同社の「ドコモオンラインショップ」と「My docomo」に外部から不正なアクセスがあり、一部のお客さま情報が流出したことを確認したと公表しました[2][11]。対象は最大約30万件です。11月6日の第三報で流出した情報の内容が詳しく示され、すべての対象者について氏名・生年月日・住所・連絡先電話番号・メールアドレス・本人確認書類の番号・携帯電話番号・料金プランなどの契約内容が、一部の対象者についてはさらに勤務先や金融機関の口座情報などが含まれるとしています[1]。原因と侵入経路は引き続き調査中です。11月9日の第四報では、対策を講じたうえでMy docomoの手続きを一部を除いて再開したとしています[1]。

公表文の流出項目に、パスワードやクレジットカード情報は挙げられていません。ただ、それで安心とは言い切れません。

「自分の名前と住所と電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、ドコモのサービスで認証が使われる場所を、公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• 氏名・住所・生年月日・電話番号・メールアドレスに契約内容までそろった「ドコモを名乗る連絡」が、SMSやメール、電話で届きやすくなります。
• 届いたSMSやメールのリンクからは開かず、dアカウントの2段階認証を「強」にするか、パスキーを設定しておくと安心です。
• 会社側がまず見直したいのは、「名前と生年月日と電話番号を知っている人」を本人と見なしてしまう場面がないか、です。

なお、本記事は公表文など公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2]によると、概要は次のとおりです。

公表文は利用者に向けて、ドコモや関係者などを装った不審なメール・SMS・電話が届く可能性があるとして、不審なメール等に記載のURLにアクセスしない、添付ファイルを開かない、個人情報やパスワード等を入力・回答しない、と呼びかけています[1]。問い合わせ先として特設ダイヤル（0120-451-360）も設けられています[1]。

漏れた情報で、何ができてしまうか

今回の項目は、いわば「契約の書類」そのものです。名前、住所、生年月日、携帯電話番号に、本人確認書類の番号や契約内容まで――本人と会社しか知らないはずの組み合わせが、まとめて外に出ました。

もう一つ大事なのは、ドコモは2026年1月から、ドコモを装って不正なアプリを入れさせ、dアカウントのID・パスワードなどを盗み取る手口に注意を呼びかけていた点です[7]。今回の情報は、そうした誘いの「宛名」をそろえる材料になりえます。

狙われる先は、ドコモのお店だけではありません。dアカウントは、d払いやdカード、dポイントクラブなど多くのサービスの入口です[4]。入口を一つ破られると、その先にまとめて届きます。

このサービスで認証が使われる場所

公開情報で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文は、原因と侵入経路を調査中としており、再発防止策はまだ書かれていません[1]。ログイン方式（多要素認証など）についての記載もありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 「知っている情報」で本人と見なす場面を洗い出す。店頭・電話・チャットで、氏名・生年月日・電話番号や本人確認書類の番号の一致だけで手続きが進む所がないかを確かめ、端末や回線を「持っているか」の確認を足すことが考えられます。
2. 2段階認証の標準を見直す。今は「弱（標準）」が標準で、「強」は利用者が選ぶ形です[3]。今回の対象者には、「強」やパスキーへの切り替えを個別に案内することが考えられます。
3. 対象者への連絡の出し方をそろえる。案内にログインのリンクを入れず、アプリや公式サイトから確かめてもらう形にしておくと、偽の連絡と見分けやすくなります。

認証の観点から：「知っている」と「持っている」は違う

今回漏れたのは、名前・住所・生年月日・電話番号・メールアドレス、そして本人確認書類の番号や契約内容でした。どれも、本人確認でよく聞かれる「知っている情報」です。そして一度漏れると、元に戻すことができません。

一方で、「本人の端末や回線を実際に持っていること」は、情報が知られても変わりません。ドコモ自身も、パスキーやモバイル回線による認証で、この「持っているか」の確認を用意しています[4][6]。漏えいの後に効いてくるのは、こうした確認をどこまで標準にできるかです。

SMSで届くセキュリティコードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[9]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインの流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら