ドコモ最大29万件超の顧客情報流出、「システム連携の隙」狙われる

　外部からの不正アクセスにより最大29万4839件の顧客情報が流出したNTTドコモ。複数のシステム間連携を悪用した手口により、実際には何が起きたのか。同社は現在、対策と原因究明を進めている。

大量アクセス検知から流出確認までのタイムライン

　4日10時30分ごろ、監視システムが大量アクセスによる異常なシステム負荷アラートを検知した。ドコモは直ちに負荷対策と攻撃への対応を開始した。

　外部攻撃の疑いが高まったため、同日14時30分に海外IPアドレスからのアクセスを遮断した。しかし攻撃は止まらず、国内も含めて特定のIPアドレスを順次遮断する対応をとった。

　同日16時20分から「My docomo」を停止し、18時10分に特定の攻撃経路を遮断した。同社は安全性が確保されたと判断し、20時32分に「My docomo」の運用を一時的に再開した。

　だが並行して進めていた検証で情報流出の懸念が強まった。攻撃再開のリスクも考慮し、翌5日1時5分にサイトを再度閉鎖した。最終的に同日2時10分、顧客情報の流出を確認した。

　その後のログ解析により、アラート閾値には達していなかったものの、4日7時ごろから探りと思われる事前アクセスが始まっていたことが後から判明した。同社はこの朝7時まで遡って通信を分析し、流出範囲の特定を進めた。

「バグではない」システム間連携を狙った攻撃手法の正体

　今回の不正アクセスは「dアカウント」が攻撃の起点となった。2段階認証やパスキーといったアカウント認証機能自体は正常に機能していた。攻撃者は認証突破ではなく、リクエストを受けたドコモ内部の複数システムや機能が連動してデータを処理するプロセスの隙を突いた。

　外部の攻撃者は複数のシステム機能が有機的に連動する仕組みを悪用した。データベースの保管時や通信時の暗号化は施されていたが、システム間でデータを受け渡し解釈・処理するプロセスの中で情報が機械的に検索・取得された。

　坪谷寿一CISOは、「我々が今まで考えていなかった組み合わせの中で起きた」と語る。同社は定期的に脆弱性診断を実施していたが、従来の診断手法では検知できなかった盲点だった。

代表取締役副社長 坪谷寿一氏

　データベース上の保管時やシステム間通信時の暗号化やマスキングは施されていた。しかし特定のシステムでデータを解釈する段階で保護が解除され、その隙間を狙われたという。

29万件超の流出データと被害拡大防止策

　流出した可能性があるのは個人20万4157件と法人9万682件を合わせた最大29万4839件。氏名や生年月日、住所、電話番号、本人確認書類の番号（番号のみでマイナンバーカードなど書類の種類を特定するものではないという）などの契約情報が含まれる。

　さらに一部の顧客では金融機関の口座情報なども流出した。一方で、マイナンバーデータや画像は保持しておらず、クレジットカード番号もマスキング処理済みのため流出していない。

　同社は対象ユーザーへ11月6日から順次SMSで通知を開始した。不審な連絡やフィッシング詐欺への注意を呼びかけている。また被害を受けたユーザーへのお見舞金の支払いも検討中だ。

　あわせて専用窓口（0120-451-360）を開設し相談を受け付けている。不正利用の監視を迅速に行い、ユーザーの保護と二次被害防止に全力を挙げて対応する方針。

今後の展開と安全再開に向けた体制強化

　ドコモは予防的措置として、11月6日18時から「ahamo新規受付サイト」の運用も停止した。システムの安全改修を実施し、安全性が確認され次第、各サービスを順次再開する。

　坪谷氏は、「復旧ルールやITガバナンスのあり方を含めて見直しを図る」と語る。従来の復旧判断基準をアップデートし、高度化する攻撃に対応できる管理体制を構築する。