ドコモに不正アクセス、本人確認書類の番号など最大約30万件が流出

最大約30万件、本人確認書類の番号まで流出

NTTドコモは2026年11月5日、ドコモのオンライン窓口であるMy docomoとオンラインショップが外部から不正アクセスを受け、顧客情報が流出したと発表しました。ドコモが不正アクセスに気づいたのは11月4日で、翌5日の午前1時5分ごろから両サイトで契約変更や購入受付を停止しています。

対象は最大約30万件にのぼり、ドコモは6日の記者会見で最大29万4,839件（個人20万4,157件・法人9万682件）としています。また、流出は対象者全員の連絡先と契約内容にまで及び、一部の人では口座番号も含まれていましたが、クレジットカード番号とマイナンバーは流出していません。

流出の概要（NTTドコモ公式サイトと記者会見より）

内容	詳細
対象件数	最大約30万件（会見では最大29万4,839件）
内訳（会見）	個人20万4,157件・法人9万682件
不正アクセスを確認した日	2026年11月4日
受付を停止した時刻	11月5日 午前1時5分ごろ
原因	外部からの不正アクセス（侵入経路は調査中）
サービスの復旧見込み	未定（My docomoの一部手続きは11月9日午後3時ごろに再開、ドコモ第四報）

国内では、不正アクセスによる情報流出の公表が相次いでいます。各社が公表した件数と原因は、時系列一覧にまとめています。

2026年に国内企業が公表した主な情報漏えい（公表日の新しい順）

公表日	企業・サービス	件数	流出した主な情報	原因
11月10日	日本商工会議所（ネット試験）	最大約98万人分（恐れ）	氏名・フリガナ・生年月日・合否結果・試験得点など	試験管理システムへの不正アクセス（不正ファイルの設置）
11月9日	オープンドア（トラベルコ）	38万1,926件	メールマガジン登録者のメールアドレス（一部に都道府県・郵便番号）	ウェブサイトへの第三者による不正アクセス
	シェアフル	最大約750万件（恐れ）	氏名・電話番号・住所・生年月日・給与振込用銀行口座情報など	社内管理システムへの第三者による不正アクセス
	技研製作所	約3,200名（恐れ）	氏名・会社名・メールアドレス・暗号化したパスワードなど	ランサムウェアを含む不正アクセス
	ラクスル	公表なし（集計中）	印刷データ等に記載された氏名・住所・電話番号など	認証情報の不正取得による不正アクセス
	NTTデータ（住友生命Vitality）	約8万名	氏名・住所・電話番号・一部マスキングしたカード番号など	受託システムへの第三者による不正アクセス
	クレディセゾン（選べるゴールド優待）	19万8,660名	氏名・生年月日・電話番号・顧客識別番号など	提携先ベネフィット・ワンの委託先への不正アクセス
	ニトリホールディングス	最大3,762万件（恐れ）	会員番号・氏名・住所・電話番号・生年月日など	システムへの第三者による不正アクセス
11月8日	teket	公表なし（精査中）	氏名・メールアドレス・住所・電話番号・チケット情報ほか	会員情報等を管理するシステムへの不正アクセス
11月7日	使えるねっと	公表なし	「使えるポータル」の登録情報（項目は調査中）	システムへの第三者による不正アクセス
	Maru-Jan（シグナルトーク）	185万5,578人	メールアドレス・パスワード	管理システムの機能を悪用した不正アクセス
11月6日	エディオン	1万3,685名未満（恐れ）	氏名・メールアドレス・電話番号・生年月日・住所など	ECサイトのログファイル領域への脆弱性を突いた不正アクセス
	小学館	199万3,665件（恐れ）	メールアドレス・生年月日・性別・ニックネームなど	委託先アララのメール配信システムへの不正アクセス
	JNSA（理解度チェック）	最大1万5,128件（恐れ）	管理者の氏名・メールアドレス、受講者のIDなど	サービスへの不正アクセス
	三井ダイレクト損保	約23.4万件	氏名・住所・電話番号・生年月日・メールアドレス・車両情報・保険契約の条件	Webサイトへの不正アクセス
	NTTドコモ	最大約30万件	氏名・本人確認書類の番号など	外部からの不正アクセス
	あいおいニッセイ同和損保	約44.4万件	氏名・住所・電話番号など	契約者向けページへの不正アクセス
	ロート製薬	279万7,545人	氏名・住所・通話音声など	電話システムのアカウント不正利用
11月5日	GMOメイクショップ	約1,260万件	メールアドレスのみ	委託先への不正アクセス
	アイリスプラザ	約770万人分（恐れ）	氏名・住所・パスワードなど	外部クラウドへの不正アクセス
	SMBCコンシューマーファイナンス	最大32万118人	氏名・運転免許証番号など	保証システムへの不正アクセス
11月4日	ソラシドエア	約49万件	メールアドレスのみ	委託先への不正アクセス
	モスフードサービス	751万7,087件	メールアドレス・年齢・性別など	委託先への不正アクセス
11月3日	アソビュー	約1,582万件	メールアドレス・氏名など	委託先への不正アクセス
11月2日	サントリーグループ	10万6,038人	従業員・採用応募者の氏名など	外部クラウドへの不正アクセス
	@cosme（アイスタイル）	約300万人	氏名・住所・肌質・髪質など	不正アクセス
	ビックカメラグループ	約1,490万件	メールアドレスなど	委託先への不正アクセス
	ノジマ	約700万件	氏名・住所・電話番号など	会員管理システムへの不正アクセス
	ライフカード（Vプリカ）	69件	氏名・メールアドレスなど	委託先での不正な行為
10月31日	クラブツーリズム	約432万件	氏名・住所・電話番号など	サーバーへの不正アクセス
10月30日	ソニー銀行	621名	氏名、4名は住所・口座番号も	委託先への不正アクセス
	無印良品	最大約2,726万件	メールアドレス・生年月日・性別	不正アクセス
	松屋フーズ	約238万件	氏名・住所・電話番号など	管理システムへの不正アクセス
	KDDI・ライフネット生命	2万2,541件	氏名・電話番号など	連携先システムの脆弱性
10月29日	CNポイント（クラブネッツ）	1万6,936件（恐れ）	会員ID・氏名、一部は住所・電話番号も	脆弱性を突いた不正アクセス
10月28日	JAL・JTA	約9万2,000人	予約番号・氏名など	委託先への不正アクセス
10月27日	So-net・plala	約258万件	氏名・電話番号など	会員DBへの不正アクセス
10月23日	パナソニック	約33万4,000人	社員番号・住所・電話番号など	利用禁止の生成AIへのアップロード
10月21日	お名前.com デスクトップクラウド	サーバー26,739件	取引口座のログイン情報など	不正プログラムの設置
10月15日	ソースネクスト	約2,252万件	メールアドレス・パスワードなど	APIの不正利用
	エムスリー	医師会員の1割未満ほか	氏名・勤務先など	不正アクセス
10月13日	アルカディア	約313万6,000件	名前・メールアドレスなど	不正アクセス
10月9日	スカイチケット	約1,464万件	氏名・生年月日など	3件の不正アクセス
	ブックオフ	最大約643万件	氏名・生年月日など	子会社への不正アクセス
	バイトル	最大約388万件	メールアドレスのみ	脆弱性を突く不正アクセス
10月8日	ローソンID	215万5,345件	メールアドレスと氏名	不正アクセス
	第一興商	約872万4,000件（恐れ）	顧客と従業員の情報	委託先PCのマルウェア感染
10月7日	IDCFクラウド	えきねっと最大約167万件	メールアドレスなど	ランサムウェア攻撃
10月6日	旭化成セラピューティクス	最大約51万4,000名ほか	医療従事者の情報	委託先DBへの不正アクセス
	スカラコミュニケーションズ	延べ最大71万3,126件	問い合わせ情報	FAQシステムへの不正アクセス
10月5日	焼肉きんぐ	1,078万8,963件	会員番号・氏名など	アプリへの不正アクセス
	infoQ	最大94万8,498件	氏名・生年月日など	不正アクセス
9月25日	タイムズカー	約660万件	氏名・免許証の画像など	不正アクセス
6月30日	アフラック生命保険	約440万人	氏名・生年月日・口座情報など	不正アクセス
6月23日	KDDI（ISP向けメール）	1,223万1,954名	メールアドレス・パスワード	ソフトウェアの脆弱性

対象者全員の氏名や住所、契約内容が流出

流出した情報の範囲は、対象者によって異なります。まず、対象になった人は全員、氏名や生年月日に加えて住所・電話番号・メールアドレス、本人確認書類の番号、料金プランや割引の契約内容まで流出しています。 会見での説明によると、流出したのは番号だけで、マイナンバーカードなのか運転免許証なのかといった書類の種類まではわからないとのこと。

対象者全員の分で流出した情報（NTTドコモ公式サイトより）

分類	情報
本人の情報	氏名・生年月日・年齢など
連絡先	住所・連絡先電話番号・メールアドレスなど
本人確認	本人確認書類の番号
契約の情報	携帯電話番号・契約開始年月日など
契約内容	料金プラン・オプション・割引など

一部の人は口座番号や勤務先も対象になる

「一部のお客さま」の分は、契約形態によって対象者が限られます。さらに、一部の人では、金融機関名・支店名・口座番号・口座名義や、勤務先の名称と所在地、代理人の連絡先も流出しました。 子育て応援プログラムに登録した人は、その登録情報も対象になっています。

一方、会見での説明によると、ドコモはマイナンバーデータと本人確認書類の画像をそもそも保持していませんでした。クレジットカード番号も読めない形に置き換えて保管していたため、いずれも流出していないとしています。

一部の対象者で流出した情報（NTTドコモ公式サイトより）

分類	情報
代理人	法定代理人・手続代理人の氏名と連絡先
勤務先・法人	勤務先・法人の名称と所在地など
口座	金融機関名・支店名・口座番号・口座名義など
その他	子育て応援プログラムに関する情報

認証は破られず、システム同士の連携を悪用

ドコモは6日の記者会見で、不正アクセスの流れと手口を公表しています。それによると、攻撃者はログイン認証を破ったのではなく、ドコモ社内で複数システムがデータを引き継いで処理する流れを悪用して、顧客情報を機械的に引き出しました。 一方、ドコモの公式サイトのお知らせでは、原因を「外部からの不正アクセス」とするにとどめ、侵入経路は引き続き調査中です。

不正アクセスの検知から流出確認まで（記者会見での説明より）

日時	出来事
11月4日7時ごろ	偵察とみられるアクセスが始まる（後のログ解析で判明）
11月4日10時30分ごろ	大量アクセスによる負荷の警報を監視システムが検知
11月4日14時30分	海外IPアドレスからのアクセスを遮断するが、攻撃は続く
11月4日16時20分	My docomoを停止
11月4日18時10分	特定の攻撃経路を遮断
11月4日20時32分	My docomoを一時的に再開
11月5日1時5分	再び不正アクセスの可能性を検知し、両サイトを閉鎖
11月5日2時10分	顧客情報の流出を確認

大量アクセスの検知から翌日未明の流出確認まで

11月4日10時30分の警報以降、海外IPアドレスの遮断やMy docomoの停止を重ねても攻撃は止まらず、5日1時5分に両サイトを閉じた後の2時10分に流出を確認しています。 夜にはいったんMy docomoを再開したものの、不正アクセスの可能性を検知して再度停止しました。

その後のログ解析で、朝7時ごろから警報が出ない程度の偵察とみられるアクセスが始まっていたこともわかりました。

dアカウントを起点に、顧客情報を機械的に検索・取得

会見によると、攻撃の起点になったのは「dアカウント」で、2段階認証やパスキーは正常に動作していました。ところが、保管時と通信時に暗号化していたデータも、システムが読み取って処理する段階で保護が解除され、そこを突かれました。 攻撃者はこの段階で、顧客情報を機械的に検索・取得したとされます。

坪谷寿一副社長は、定期的な脆弱性診断では見つけられなかった攻撃経路だとしたうえで、「システム自体のバグではない」と述べました。いわゆるAPI攻撃でもないとしています。

対象者にはSMSで連絡、サービスの再開は未定

ドコモは、緊急メンテナンスに入ってから一切のアクセスを遮断しており、新たな流出は確認されていないと説明しました。一方、対象の個人にはSMSで知らせが届き、ドコモはお見舞金を検討していますが、オンラインショップとMy docomoの再開時期は、6日時点では未定でした（その後、My docomoの一部手続きは11月9日午後3時ごろに再開）。

対象者への連絡と問い合わせ先（NTTドコモ公式サイトと記者会見より）

内容	詳細
個人への連絡	11月6日から順次SMSで通知（複数回送信し、ダイレクトメールも発送）
法人への連絡	営業担当者やSMSなどで連絡
お見舞金	個人・法人とも支払いを検討中（詳細は後日発表）
問い合わせ	特設ダイヤル0120-451-360（午前9時〜午後8時）
サービスの再開	6日時点でMy docomoとオンラインショップは未定（ahamoサイトは11月8日に再開、My docomoの一部手続きは11月9日午後3時ごろに再開）

お見舞金を検討、問い合わせは特設ダイヤルで受け付ける

会見によると、対象の個人には11月6日から順次SMSで通知しており、複数回送信するほか、ダイレクトメールも発送する予定です。法人には、営業担当者やSMSなどを通じて連絡します。

お見舞金は個人と法人の両方を対象に支払いを検討しており、詳しい内容は後日発表するとしています。それまでの間、ご自身が対象かどうかを知りたいときや不安なことがあるときは、特設ダイヤル（0120-451-360・午前9時〜午後8時）に電話で問い合わせましょう。

ahamoの新規受付サイトも念のため停止

ドコモは11月6日18時から、不正アクセスが確認されていないahamoの新規受付サイトも予防的な措置として停止していました。その後、ahamoサイトは11月8日に再開しました。My docomoは、安全性が確認できた手続きから11月9日午後3時ごろに順次再開しています（2026年11月9日、ドコモが第四報で公表）。オンラインショップは、引き続き緊急メンテナンス中です。

なお、11月5日に起きた5G SA（5G専用の設備を使う通信方式）の通信障害は保守作業がきっかけで、ドコモは今回の不正アクセスとは別事象だと説明しました。

ドコモの契約者とシステム担当者が取るべき対策

流出したのは契約者の連絡先と本人確認書類の番号で、一部の人では口座番号まで含まれていました。契約者には詐欺の連絡が届く恐れがあり、複数システムを連動させて顧客情報を処理する企業も、同じ手口で狙われる可能性があります。したがって、契約者はドコモを装うSMSやメールに記載されたリンクにアクセスせず、システム担当者は個々のシステムだけでなく、システム同士の連携と権限まで点検しておきましょう。

立場ごとの対策（IPAの資料とNTTドコモ公式サイトより）

立場	対策
ドコモの契約者	ドコモを装うSMS・メール・電話に注意し、SMS・メールに記載のリンクにはアクセスせず、公式サイトか特設ダイヤルで確認する。身に覚えのない契約を防ぐには、信用情報機関に本人申告する。
顧客情報を処理するシステムの担当者	ログを段階的にさかのぼり、システム同士の連携ごとに権限と持ち続けるデータを見直す

契約者として：ドコモを装う連絡には返信しない

漏えいした連絡先はリスト化されて闇サイトなどで売られ、なりすましメールやSMS、詐欺電話に悪用される恐れがあります。ドコモも公式サイトで、流出した情報を悪用した不審なメールやSMS、電話が届く可能性があるとして、注意を呼びかけました。そのため、流出した氏名や住所、契約内容を書いたなりすましメールが届いたり、詐欺電話がかかってきたりしても、本物と思い込まずに公式窓口で確認しましょう。

メッセージ内のリンクにはアクセスせず、公式サイトから確認する

IPAは、突然届くメールやSMSを基本的にすべて詐欺と考えて削除するよう勧めています。ドコモからと書かれたメッセージでも、本文のURLにはアクセスせず、添付のファイルも開かないでください。ブラウザからご自身でドコモの公式サイトにアクセスしてお知らせを確認すれば、偽サイトに誘導されません。

電話で暗証番号や口座を聞かれても答えない

住所や電話番号が流出したため、ドコモを装う電話がかかってくる可能性もあります。ドコモは、個人情報やパスワード、クレジットカード情報などを入力・回答しないよう呼びかけています。電話で口座や個人情報を聞かれても、その場では答えないでください。いったん電話を切り、ドコモの特設ダイヤル（0120-451-360）にかけ直せば、相手が本物のドコモかどうかを確かめることができます。

身に覚えのない契約が心配なら信用情報機関へ本人申告

JICC・CIC・KSCという3つの信用情報機関に漏えいの事実を登録しておくと、第三者のなりすましによるカードやローンの申し込みを抑止できます。IPAはこの本人申告を、運転免許証などの本人確認書類の画像が漏えいした場合に勧めています。今回流出したのは書類の番号だけで画像は含まれていないものの、身に覚えのない契約が心配なら、各機関に相談してみましょう。

システム担当者として：システム同士の連携まで点検しておく

システムごとの脆弱性診断で問題が無くても、システム間の連携部分を経由すると顧客情報を引き出せる場合があるので、連携経路ごとに点検しておきましょう。 ドコモは定期的に脆弱性診断をしていましたが、今回の攻撃経路はその診断で特定できない組み合わせでした。IPAも10月9日の注意喚起で、外部公開しているアプリケーションやサービスへの侵害が起点になる事例が目立つとして、点検と対策を勧めました。

検知のしきい値に届かないアクセスもログでさかのぼる

ドコモでは大量アクセスが始まる前の朝から、警報が出ない程度の偵察アクセスが続いていました。IPAは、アプリケーションやサービスごとに直近のログに異常がないかを点検するよう勧めています。外部公開しているサービスごとに、エラーの量や平時との差を、直近1か月分から3か月分へと範囲を広げて確かめておきましょう。

APIなどの連携先ごとに権限を棚卸し

システム同士をつなぐ窓口ごとに、どのデータをどれだけ取り出せる権限があるかを洗い出し、業務に不要な分は取り消しておきましょう。IPAは、API連携などアプリケーションの構成要素ごとに、管理状況と権限の与え方を見直すよう勧めています。ドコモの事例でも、攻撃者はログイン認証ではなく、その裏でシステム同士が連動する部分を突いていました。

持ち続けるデータと置き場所を見直す

今回の事例では、保管時や通信時に暗号化していた情報も、システムが処理のために読み出した段階で取得されました。持っていない情報は、侵入されても盗まれることがありません。本人確認書類の番号や口座番号のように悪用されやすい情報は、持ち続ける必要があるか、どこに置くかを見直し、読み出しの記録を残しておきましょう。