NTTドコモへの不正アクセスによる顧客情報流出（最大約30万件）
公表日
NTTドコモは2026年11月5日、「ドコモオンラインショップ」と「My docomo」への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。で、顧客情報が最大約30万件流出したことを確認したと発表しました。
対象者は？
流出の対象は最大約30万件で、氏名、住所、生年月日、携帯電話番号、連絡先電話番号などが含まれます。流出が確定した件数は公表されていません。「など」の内訳も示されておらず、カード情報やパスワードが含まれるかは、今回の資料ではわかりません。
ドコモの公式お知らせで最新の案内を確認してください。対象者への個別の連絡があるかどうかは、まだ発表されていません。
いますぐできること
- ドコモの公式お知らせで、対象範囲や再開の案内など続報を確認する。
- 急ぎの端末購入や契約手続きは、ドコモショップや量販店などの店頭窓口で相談する。
- 身に覚えのない電話やSMS、メールが届いたときは、すぐに応じず、内容をよく確認する。
何が起きたのか
ドコモは11月4日に、ドコモオンラインショップとMy docomoへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認しました。5日午前1時5分ごろから、両サービスの各種手続きを止めて緊急メンテナンスに入りました。5日午前9時の第一報では、原因と影響範囲を調査中としていました。同日午後6時30分の第二報で、顧客情報が最大約30万件流出したことを確認したと発表しました。端末購入や機種変更、料金プラン変更などのオンライン手続きが止まっています。データ通信量や料金の確認など一部の機能は使えるとされていました。なお、5日午前に起きた5G SA契約者向けの通信障害は、サイバー攻撃によるものではないとドコモは説明しています。
なぜ起きたのか・なぜ広がったのか
ドコモは、自社サーバーに外部から不正なアクセスが行われた可能性が高いと判断しました。どのサーバーがどんな方法で狙われたのか、弱点が悪用されたのかなどは、まだ発表されていません。
いまの状況2026-11-05 時点続報待ち
2026年11月5日夜の時点で、ドコモは原因の究明と影響範囲の調査を進めているとされています。手続きの再開時期や、対象者への個別の連絡、再発防止策については、まだ発表されていません。
企業として考えたいこと
自社のサービスで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認したとき、手続きを止める判断と、流出の有無や件数の上限を調べて利用者に伝える手順は整っていますか？
技術的な要約
NTTドコモは2026年11月4日に自社サーバーに対する外部からの不正アクセスを確認し、翌5日午前1時5分ごろから「ドコモオンラインショップ」および「My docomo」の各種手続きを停止して緊急メンテナンスを実施した。同日午前9時の第一報時点では調査中としていたが、午後6時30分の第二報において、両サービスへの不正アクセスにより最大約30万件の顧客情報（氏名、住所、生年月日、携帯電話番号、連絡先電話番号など）が流出したことを確認したと発表した。端末購入や機種変更、料金プラン変更などのオンライン手続き全般が停止しており、急ぎの手続きには店頭窓口を案内している。なお、同日午前に発生した5G SA契約者向けの通信障害について、ドコモはサイバー攻撃によるものではないと説明している。
攻撃の分類
- 侵入口
- 不明発表時点ではアクセスされたサーバーや侵入経路、手口は公表されていない。公式発表では自社サーバーに対して外部から不正アクセスが行われた可能性が高いと判断したと説明されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ドコモオンラインショップでの端末購入や機種変更、My docomoでの料金プラン変更や契約内容確認などの各種オンライン手続きが停止した。My docomoのデータ通信量や利用料金確認など一部機能は利用可能とされた。期間：継続中
- データ
- 確定上限 300,000確定 —件氏名住所生年月日電話2026年11月5日午後6時30分の第二報にて、ドコモオンラインショップおよびMy docomoへの不正アクセスにより最大約30万件の顧客情報流出を確認したと発表された。対象情報には氏名、住所、生年月日、携帯電話番号、連絡先電話番号などが含まれる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-22
- 2026-10-27
- 2026-11-04 10:15店頭やオンラインショップ、My docomoで一部手続きが行えない事象が発生8
- 2026-11-04 22:55d払いでシステム故障による障害が発生（5日0時49分復旧、サイバー攻撃ではないと確認）6
- 2026-11-05 01:05
- 2026-11-05 09:00NTTドコモが公式Webサイトで「ドコモオンラインショップ、My docomoの緊急メンテナンス実施について」を公表9
- 2026-11-05 11:18
- 2026-11-05 16:00NTTドコモが通信障害の第五報で、事象発生前後を含め不正アクセスやサイバー攻撃を示す事象は確認されていないと説明6
- 2026-11-04
- 2026-11-05 18:30
技術解説
第一報から第二報までの経緯：調査中から流出確認へ 事実
NTTドコモは2026年11月4日にドコモオンラインショップとMy docomoへの外部からの不正アクセスを確認した。5日午前1時5分ごろから両サービスの各種手続きを停止し、同日午前9時の第一報では不正アクセスの可能性が高いとして緊急メンテナンスを案内し、原因と影響範囲は調査中とした。午後6時30分の第二報で、不正アクセスにより顧客情報が最大約30万件流出したことを確認したと発表した。第一報の「調査中」から、第二報で流出確認へ説明が更新された。
流出した情報の範囲と件数の位置づけ 事実
第二報によると、流出の対象は最大約30万件で、氏名、住所、生年月日、携帯電話番号、連絡先電話番号などが含まれる。「最大」とされており、流出が確定した件数は公表されていない。「など」の内訳も示されておらず、クレジットカード情報やパスワードなどが含まれるかどうかは、今回の資料からは確認できない。侵入日、侵入経路、アクセスされたサーバーの種類、悪用された脆弱性、攻撃者の主張や認定も、発表時点では公表されていない。
同時期の通信障害は不正アクセスとは別と説明 事実
2026年11月5日午前11時18分ごろから、5G SA契約者を対象に音声通話・データ通信・SMSがつながりにくくなる通信障害が発生した。ドコモは同日16時の第五報で、事象の発生前後を含めて不正アクセスやサイバー攻撃を示す事象は確認されていないと説明した。また4日22時55分ごろに発生したd払いの障害も、システム故障でありサイバー攻撃ではないと確認され、5日0時49分に復旧している。これらは今回の情報流出とは別の事象として説明されている。
初動停止と段階的な開示の評価 解釈
不正アクセスの可能性が高いと判断した段階で、被害範囲が確定する前にオンライン手続きを止めた点は、被害拡大の防止を優先した判断と読める。一方で、4日に不正アクセスを確認してから、流出確認を含む詳細が示されるまで約1日半かかっている。停止の開始と流出の公表の間に時間差があり、その間の利用者への周知は限られていた可能性がある。ただしこの間の社内での判断や通知の経緯は公表されておらず、評価は公表内容に基づく推測にとどまる。
10月の別件との関係は未確認 解釈
報道によれば、10月27日にもドコモ光の契約者ら44万件超の個人情報流出が明らかになっていた。事案データでは、この件は委託先への不正アクセスに関するものとされている。今回の件は自社サーバーへの不正アクセスとされ、両者の関連は公表されていない。短期間に複数の流出が重なったことで、利用者の不安や問い合わせが増えた可能性はあるが、同一の攻撃や原因によるものと判断できる根拠は現時点でない。
対応
- 封じ込め
- 自社サーバーへの不正アクセスの可能性が高いと判断したため、2026年11月5日午前1時5分ごろから「ドコモオンラインショップ」および「My docomo」の各種手続きを緊急停止し、原因究明と影響範囲の特定に向けた調査を開始した。急ぎの手続きが必要な顧客に対してはドコモショップや量販店等の店頭窓口を案内している。
- 公表の仕方
- 2026年11月5日午前9時時点の第一報で不正アクセスの可能性による緊急メンテナンスを発表した後、同日午後6時30分の第二報で自社サーバーへの不正アクセスにより顧客情報（最大約30万件）が流出したことを確認したと公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 不正アクセスの確認から流出確認までの間も、停止の事実と調査状況を段階的に伝える必要がある。 | インシデント対応手順に、第一報で出す項目（停止範囲、再開見込み、調査中の事項）と、第二報で追加する項目（流出の有無、件数上限、対象データ種別）をテンプレート化し、更新時刻を明記して公開できるようにしておく。 |
| 件数は『最大』と『確定』を分けて管理しないと、対象者への案内が遅れる。 | アクセスログと顧客DBの参照ログを突き合わせ、対象アカウントを一覧化できるクエリを事前に用意する。上限件数の算出と確定件数の絞り込みを別工程として手順書に書く。 |
| 顧客向け窓口の機能は、参照系と更新系で分けて止められる設計にしておく。 | 認可境界とデプロイ単位を参照系と更新系で分離し、フィーチャーフラグで更新系のみを遮断できるようにする。遮断と再開の手順を定期的に訓練する。 |
| 障害とインシデントが近接して起きたときは、サイバー攻撃との関係を切り分けて伝える必要がある。 | ネットワーク、決済、Webの各ログを同じ時刻基準で相関分析できる基盤を整える。各事象について『攻撃の兆候の有無』を確認する担当と確認項目を決めておく。 |
| オンライン窓口の停止時は、店頭やコールセンターに問い合わせが集中する。 | 停止時の代替手続きと本人確認の運用手順を店頭向けに整備し、通知文面に急ぎの手続きの案内先を含める。問い合わせ増加を見込んだ人員計画を用意する。 |
自組織などでの確認項目
- 自組織の顧客向けWebサービスで不正アクセスを確認したとき、更新系機能だけを先に止める判断基準と手順が決まっているか。
- 第一報の時点で、停止範囲・調査中の事項・次回の更新予定を、どの部署が何分以内に出すか定めているか。
- 自組織の顧客DBで、特定期間にアクセスされたレコードの上限件数を、ログから何時間で算出できるか確認したことがあるか。
- 複数の障害やインシデントが同日に起きたとき、サイバー攻撃の関与の有無を確認して社外に説明する担当者と手順が決まっているか。
未解明点
- 不正アクセスを受けたサーバーの種類、侵入経路、悪用された脆弱性や認証情報の有無はどうだったのか。
- 流出が確定した件数は何件か。最大約30万件の算出根拠は何か。
- 「氏名、住所、生年月日、携帯電話番号、連絡先電話番号など」の『など』にはどの情報が含まれるのか。
- 対象となる顧客への個別通知の有無と方法、時期はどうなるのか。
- ドコモオンラインショップとMy docomoの再開時期と、再発防止策はどうなるのか。
- 10月27日に公表された別件の流出と、今回の件に関連はあるのか。
出典
- 1株式会社アクト2026-11-05研究者本文確認済
- 2BigGo ファイナンス報道本文確認済
- 3ケータイ Watch2026-11-05報道本文確認済
- 4NHK2026-11-05報道本文確認済
- 5アスキー2026-11-05報道本文確認済
- 6テクノエッジ2026-11-05報道本文確認済
- 7ビジネス＋IT2026-11-05報道本文確認済
- 8セキュリティ対策Lab2026-11-05報道本文確認済
- 9NTTドコモ2026-11-05公式本文確認済
- 10ITmedia Mobile2026-11-05報道本文確認済
- 11日本経済新聞社報道本文確認済
- 12日本経済新聞2026-11-05T12:07:00+09:00報道本文確認済
- 13