NTTドコモで、利用者の個人情報をめぐる問題が相次いで明らかになりました。2026年11月6日、総務省は約34万人分の契約者情報を本人の同意なくアマゾンジャパンに提供していた問題について、ドコモに行政指導を行いました。
さらに同日、別の問題として、ドコモのシステムに対する外部からの不正アクセスにより、最大29万4839件の顧客情報が流出したことも公表されました。
一方は社内の設定ミスによる無断提供、もう一方は外部の攻撃者による不正アクセスです。通信大手であるドコモで、なぜこのような問題が続いているのでしょうか。2つの事案の経緯と利用者への影響を見ていきます。
約34万人分の情報をアマゾンに無断提供
最初に問題となったのは、ドコモの料金プランをオンラインで契約した利用者の情報を、本人の同意を得ないままアマゾンジャパンに提供していた事案です。
対象となったのは、2026年4月21日から8月20日までの期間に、ドコモMAX、ドコモ ポイ活 MAX、ドコモ ポイ活 20、ドコモ miniなどをオンラインで申し込んだ利用者の一部で、対象は34万4213回線に上ります。
提供された情報は、利用者の電話番号と契約している料金プランです。これは、Amazonプライムの月額料金割引などの特典を適用するために、アマゾン側と契約情報を連携する仕組みでした。
本来、こうした情報を第三者に提供する場合には、利用者から個別に同意を得る必要があります。しかし、ドコモが申し込み画面の説明文を変更した際、情報提供への同意を確認する記述を誤って削除してしまいました。
その結果、利用者が同意する機会がないまま、約4カ月間にわたって情報提供が続いていました。ドコモは8月18日に問題を把握し、20日に修正しています。
なお、アマゾン側は提供された情報を利用しておらず、9月12日までに削除が完了したことをドコモが確認したとしています。
総務省が「重大な過失」として行政指導
この問題を受け、総務省は11月6日、ドコモに対して厳重注意の行政指導を行いました。
総務省は、利用者の同意を得ずに契約者情報を第三者に提供したことについて、電気通信事業法に抵触すると判断しました。また、利用者の利益を損なうおそれがある重大な過失があったと指摘しています。
ドコモには再発防止策の実施状況について、12月末までに文書で報告するよう求めています。
単なる画面上の表示ミスとも受け取れますが、個人情報を第三者に提供する際の同意確認は、通信事業者にとって基本的な管理事項です。しかも、約34万人分の情報が長期間にわたって提供されていたことを考えると、社内の確認体制にも問題があったといえます。
最大29万4839件の顧客情報が不正アクセスで流出
さらに11月6日、ドコモは別の情報漏洩について記者説明会を開き、被害の詳細を公表しました。
こちらは、11月4日に発生した外部からの不正アクセスによるものです。ドコモオンラインショップとMy docomoに対して大量のアクセスがあり、同日午前10時30分ごろ、システムが異常を検知しました。
外部の攻撃者は、複数のシステムが連動する仕組みを悪用し、顧客情報を機械的に検索して取得したとされています。流出した可能性がある情報は最大29万4839件で、内訳は個人20万4157件、法人9万682件です。
情報には、氏名、生年月日、住所、電話番号、メールアドレス、本人確認書類の番号、携帯電話の契約情報、料金プランなどが含まれています。さらに、一部の利用者については、勤務先や法人の情報、金融機関名、支店名、口座番号、口座名義なども対象となっています。
特に注意したいのは、単なる氏名や電話番号だけでなく、本人確認書類の番号や金融機関の口座情報まで含まれていることです。こうした情報が悪用されれば、なりすましや標的を絞った詐欺などにつながるおそれがあります。
ドコモオンラインショップなどを停止 見舞金も検討
ドコモは不正アクセスへの対応として、11月5日午前1時5分ごろからドコモオンラインショップとMy docomoの各種手続きを停止しました。攻撃経路を遮断し、11月6日時点で新たな情報流出は確認されていないとしています。
また、不正アクセスは確認されていないものの、予防的な措置としてahamoの新規受付サイトも11月6日午後6時から停止しました。各サービスは安全性を高めるためのシステム改修を行い、確認が取れ次第、再開する方針です。
対象となる個人利用者には11月6日からSMSで案内を送付しており、法人利用者にも順次連絡するとしています。また、被害を受けた利用者への見舞金の支払いも検討しています。
個人情報流出を悪用した詐欺にも注意
今回の不正アクセスでは、氏名や住所、電話番号などに加え、一部では口座情報や本人確認書類の番号まで流出しています。
このような情報が悪用されると、利用者の名前や契約内容を把握したうえで、ドコモや金融機関を装ったメール、SMS、電話が送られてくる可能性があります。
例えば、「ドコモの契約情報に問題がある」「不正利用を確認したので本人確認が必要」などと連絡し、偽サイトに誘導してパスワードや金融情報を入力させる手口が考えられます。
ドコモも、不審なメールやSMS、電話に注意するよう呼びかけています。メールやSMSに記載されたURLには安易にアクセスせず、個人情報やパスワード、クレジットカード情報などを入力しないことが大切です。
相次ぐ情報漏洩で問われるドコモの管理体制
今回のドコモの問題で気になるのは、性質の異なる情報漏洩が相次いで発覚したことです。
約34万人分の情報提供問題は、社内の設定変更に伴う確認不足が原因でした。一方、約29万件の情報流出は、外部の攻撃者が複数のシステムの連携部分を悪用したサイバー攻撃です。
いずれも原因は異なりますが、利用者の大切な個人情報を預かる企業として、管理体制が十分だったのかという疑問が残ります。
近年は企業へのサイバー攻撃が相次いでおり、情報を盗み出す手口も巧妙になっています。しかし、外部からの攻撃を完全に防ぐことが難しいとしても、システムの脆弱性を把握し、被害を最小限に抑える対策は企業側に求められます。
今回の問題についても、単にサービスを再開するだけでなく、不正アクセスの侵入経路や情報流出に至った原因を明らかにし、再発防止策を徹底できるかが問われています。
