2026年10月28日付の「CNET Japan」が、
『ドコモ光、44万件の顧客情報流出』
と題した見出し記事を報じていました。
連日報道される大手企業からの顧客情報流出報道。
この調子では、いずれ、国が管理している「マイナカード情報」にも悪質なハッカーは、突破してアクセスしてくるでしょう。
以下に、この記事を要約し、ドコモの再発防止策とマイナカード情報が流出した場合に想定される被害について、考察しました。
《記事の要約》
＜ドコモ光の顧客情報44万件超が流出 委託先So-netに不正アクセス＞
NTTドコモは、2026年10月27日、インターネット接続サービス「ドコモ光」の「plala（Sコース）」で、顧客情報44万3495件が流出したと発表した。
業務委託先のソニーネットワークコミュニケーションズが管理する「So-net」の会員データベースが、第三者から不正アクセスを受けたことが原因だ。
流出したのは、同コースを現在利用している顧客と、2026年3月以降に解約した元顧客の情報。
内訳は現会員42万2365件、元会員2万1130件で、氏名、電話番号、生年月日、性別、メールアドレス、ログイン用ユーザーID、インターネット接続用IDなどが含まれる。
一方、パスワードやクレジットカード情報、銀行口座情報などは、今回のドコモ光の対象情報には含まれていない。
「plala（ドコモ光）」など、別のコースの顧客情報も対象外としている。
不正アクセスが発生したのは10月19日。
委託先は、10月23日に事態を確認し、対象サーバーの停止と不正通信の遮断を実施した。ドコモは26日に報告を受け、翌27日に公表した。
なお、同じデータベースへの攻撃では、So-netの会員情報約214万件も流出。特定のメールサービスではパスワード約5万4000件、銀行口座情報16件の流出も確認されたが、これらはドコモ光の対象情報とは区別される。
ドコモによると、27日時点で情報の不正利用などの二次被害は確認されていない。対象者には個別に連絡し、不審なメールやSMS、電話に応じないよう注意を呼びかけている。
今回の事件は、顧客情報を外部に委託する企業の管理責任と、契約終了後の個人情報の保存・削除の在り方を改めて問いかけている。
（要約、ここまで）
《筆者の考察》
＜44万件の情報流出、責任は誰に？――ドコモの再発防止とマイナカードの安全性＞
NTTドコモの顧客情報44万3495件が流出した。
原因は業務委託先のSo-net会員データベースへの不正アクセスだ。
今回、マイナンバーカードの情報流出は公表されていないが、個人情報が大量に集積される社会の危険性を考える契機となった。
まず問われるのは、ドコモの委託先管理である。
顧客情報の管理を外部企業に委ねても、委託元としての監督責任までなくなるわけではない。
特に、攻撃が発生した10月19日から、ドコモへの報告が26日になるまでの経緯について、連絡体制が適切だったか検証すべきだ。
再発防止には、以下の点がポイントである。
1）委託先のセキュリティ管理状況を定期的に評価する
アクセス権限の最小化、多要素認証、脆弱性診断、通信監視などについて、契約書上の約束だけでなく実際の運用を確認する。
2）異常検知から報告、公表までの手順を明確にする
攻撃を完全に防ぐことは難しいが、早期発見と迅速な情報共有によって被害の拡大を抑えられる。
3）個人情報の保存期間を見直す
今回、解約後の顧客情報も流出した。
契約終了後も保存が必要な情報はあるが、目的や法令上の必要性を確認し、不要になった情報は適切に削除すべきである。
では、仮にマイナンバーカードの情報が流出したら、どのような被害が考えられるだろうか。
まず、住所、氏名、生年月日、顔写真などの情報が漏れれば、本人になりすました電話やメール、偽の本人確認書類を用いた詐欺に悪用される恐れがある。
また、12桁のマイナンバーが漏れた場合、他の個人情報と組み合わせた不正利用が懸念される。
ただし、番号を知っただけで銀行預金を引き出したり、マイナポータルへログインしたりできるわけではない。
重要なのは、カードの券面情報、マイナンバー、ICチップ内の電子証明書、暗証番号を区別することだ。
カードを紛失した場合でも、ICチップの情報を容易に読み出せる仕組みではない。暗証番号には入力回数の制限もある。
一方、カード本体と暗証番号が第三者に渡れば、電子証明書を悪用した本人認証などの危険性が高まる。紛失や盗難に気づいたら、速やかにカードの一時利用停止を申し出る必要がある。
今回のドコモの情報流出について、利用者は公式サイトで対象サービスを確認し、不審なメールやSMSのリンクを開かず、個人情報の再入力を求める連絡に警戒したい。
ISO思考でいえば、情報セキュリティは自社のシステムだけを守ればよいものではない。
委託先の管理、情報の保存・削除、事故対応、利用者への説明まで含めた仕組みが必要だ。
個人情報を預かる企業の責任は、情報を集めた時から、適切に削除する時まで続く。その責任を果たせるかどうかが、デジタル社会の信頼を左右する。
【好評発売中！】
『サービス業のISO（設計・環境側面・危険源・気候変動）』（令和出版）2025年4月30日発売
『～マーケット・クライアントの信頼を高めるマネジメントシステム～ サービス業のISO （設計・環境側面・危険源・気候変動の実践ガイド）』 著：有賀正彦 - 令和出版
『できるビジネスマンのマネジメント本』（玄武書房）
https://www.amazon.co.jp/dp/4909566066/
【よかったらメルマガ読者登録お願いします♪】↓
（パソコンでアクセスしている方）
http://www.mag2.com/m/0000218071.html
（携帯でアクセスしている方）
http://mobile.mag2.com/mm/0000218071.html
Twitter：https://twitter.com/ariga9001