11月6日の夜から、ドコモが情報流出の対象になった人へ、お詫びのSMSを送り始めています。

その知らせがまだ届かず、そわそわしている人も少なくありません。

「SMSが来ていない人は、大丈夫ってことなのかな？オンラインで手続きはしてないし」という声も上がりました。

いっぽうで、実際にSMSを受け取った人は、こんなふうに書いています。

何が起きたのかというと、ドコモオンラインショップとMy docomoに外から不正なアクセスがあり、最大29万4,839回線ぶんのお客さまの情報が流出しました。

中には、本人確認書類の番号や、一部の人の銀行口座の番号まで入っています。

 

来ていない人はセーフなのか。

先に言ってしまうと、「SMSが来ていない＝対象外」とは、ドコモはどこにも書いていません。

ただ、来ていない人がほっとしてよい材料も、ちゃんとあるんです。

ドコモの発表と、実際に届いたSMSの画面を並べると、その両方が見えてきます。


ドコモで何が流出したのか

ドコモが不正なアクセスに気づいたのは、11月4日の水曜日です。

報道によると、この日の朝7時ごろから少しずつ怪しい動きがあり、10時30分ごろに大量のアクセスを知らせる警報が鳴りました。

夕方にいったん入り口をふさぎ、夜にMy docomoを再開したものの、その日の深夜にまた不正なアクセスの疑いが見つかっています。

そこで11月5日の午前1時5分ごろ、ドコモオンラインショップとMy docomoの手続きを止めた、という流れです。

  • 11月4日 朝7時ごろ：少しずつ怪しい動きが始まる
  • 11月4日 10時30分ごろ：大量アクセスの警報
  • 11月4日 18時10分：攻撃の入り口をふさぐ
  • 11月4日 20時32分：My docomoを再開
  • 11月4日 23時16分：また不正なアクセスの疑い
  • 11月5日 1時5分ごろ：オンラインショップとMy docomoを停止
  • 11月5日 2時10分：お客さまの情報の流出を確認
  • 11月6日：記者会見、対象の人へSMSを送り始める
  • 11月6日 18時：ahamoの新規受付サイトも念のため停止

攻撃した側は、いくつものシステムがつながっている仕組みを悪用して、お客さまの情報を機械的に検索しては抜き出していった、とドコモは説明しています。

前もって行っていた安全の点検では見つからなかった、想定していなかった組み合わせの攻撃だったそうです。

 

流出した情報は、対象の人全員に共通するものと、一部の人だけのものに分かれています。

  • 全員：氏名、生年月日、住所、電話番号、メールアドレス
  • 全員：本人確認書類の番号
  • 全員：携帯電話番号、契約を始めた日、料金プランやオプション
  • 一部：法定代理人・手続代理人の氏名と連絡先
  • 一部：勤務先や法人の名前と所在地
  • 一部：銀行名、支店名、口座番号、口座名義
  • 一部：子育て応援プログラムに関する情報

クレジットカードの番号は伏せて保存していたので流出しておらず、マイナンバーはそもそも保存していなかった、と報じられています。

それでも、名前と住所と生年月日に、契約の中身までそろってしまった形です。

件数の内訳は、個人の契約が20万4,157回線、法人の契約が9万682回線でした。

ドコモはお見舞金を払うことを考えているものの、誰に・いくら・どう払うかは、まだ決まっていません。


本物のSMSはこう届いた

では、対象の人にはどんなSMSが届いたのか。

受け取った人が、その画面をXに上げていました。

画面を見ると、送り主の名前は「NTT DOCOMO」で、届いたのは11月6日の19時26分でした。

中身は「【重要/お詫び】」から始まり、何が起きたか、流出した主な情報、怪しい連絡への注意、そして問い合わせ先の電話番号が並んでいます。

 

ここで覚えておきたいのは、この画面のSMSには、押せるURLがひとつも入っていないことです。

案内されているのは、ドコモ不正アクセス特設センターの電話番号（0120-451-360）だけでした。

あとから「対象の方はこちらで確認を」とリンク付きのSMSが来たら、まずは疑ってかかったほうが安全です。

ドコモ自身も、ドコモを名乗る怪しいメールやSMSのURLは開かないで、と呼びかけています。

このSMSを受け取った人は、特設センターに電話をしたところ「誰がどこまで漏れているのかは分からない」と言われた、とも書いていました。

対象かどうかは教えてもらえても、自分の情報のうち何が流出したのかまでは、まだ一人ずつ答えられる段階ではないようです。


SMSが来ない人は大丈夫？

ここが、いちばん気になるところですよね。

結論から言うと、11月6日の夜までにSMSが来ていない人は、対象から外れている可能性が高そうです。

ただ、ドコモがそう約束したわけではないので、言い切るには自分で確かめるしかありません。

ほっとしてよい材料と、言い切れない理由、そして確かめ方を、3つに分けて見ていきます。

「6日から順次」の意味

報道によると、ドコモは対象になった個人のお客さまに、11月6日からSMSで知らせ始めました。

そのうえで、今後もSMSやダイレクトメールで順次案内するとしています。

「6日に全員へ送り終えた」とは言っていないわけです。

しかも、ドコモの公式サイトのお知らせ（11月7日の朝の時点で最新の、6日18時時点の第三報）には、SMSを送ったことそのものが書かれていません。

11月5日には、5G SAという方式の回線で、電話やSMSがつながりにくくなる通信障害も起きていました。

この障害は、6日の午前1時20分ごろに直っています。

SMSが送られたのは同じ日の夕方なので、通信障害のせいで届かなかった、ということは考えにくいはずです。

 

SMSが届きにくい人

SMSでは知らせが届かない人も、はじめから含まれています。

  • すでにドコモを解約した人（流出の対象に入っている）
  • 法人で契約している回線（営業担当などから連絡）

解約した人の場合、昔の電話番号はもう手元にないので、ダイレクトメールなどほかの手段で知らせることになるはずです。

家族の回線をまとめて契約しているとき、SMSがどの回線に届くのかも、発表には書かれていません。

 

電話で確かめた人の答え

いちばん確かなのは、特設センターに電話をして、直接調べてもらうことです。

家族全員がドコモという人が、実際にそうしています。

電話で調べてもらって「セーフ」と言われたなら、それがいちばん確かな答えです。

ただ、後半の「届いていない人は逆にセーフ」は、この人の受け止め方で、ドコモがそう約束したわけではありません。

特設センターの番号は0120-451-360で、受付は朝9時から夜8時までです。

SMSを待つより、気になる人は電話で白黒をつけてしまうほうが早いということですね。

電話番号は、届いたSMSや検索結果からではなく、ドコモの公式サイトのお知らせを自分で開いて確かめてください。


店頭だけの人も対象？

もうひとつの「オンラインで手続きはしてないし」という気持ちにも、答えておきます。

今回の攻撃の入り口がドコモオンラインショップとMy docomoだったのは、そのとおりです。

ただ、「オンラインで手続きした人だけが対象」とは、ドコモはひとことも書いていません。

 

流出した情報の中身を見ると、むしろ契約そのものの記録に近いものが並んでいます。

本人確認書類の番号は、不正な利用を防ぐために法律で保存が求められているもので、店頭で契約しても記録される情報です。

子どもの回線などで出てくる「法定代理人」の情報や、すでに解約した人の情報まで入っているのも、そのためでしょう。

攻撃した側は、つながったシステムをたどってお客さまの情報を検索していった、という説明でした。

つまり、自分がサイトを使ったかどうかと、データが抜かれたかどうかは、別の話として考えておいたほうがいいんです。

 

実際、「3回線とも連絡がない、本当に大丈夫なの？」と、かえって不安になっている人もいます。

Xでは「対象の人は11月の請求書に書かれてくる」という話も回っていますが、ドコモの発表にも報道にも、そうした説明は見当たりませんでした。

解約した人の情報まで残っていた、という点では、退会した人の免許証の画像まで流出したタイムズカーの件とよく似ています。

タイムズカーのステーションに並ぶ黄色い看板と車のイラスト
タイムズカーの情報漏洩…退会した人の免許証まで残っていたのが怖いタイムズカーの公式サイトの新着情報には、2026年9月1日に始まった「会員400万人突破記念キャンペーン」のお知らせが、いまも並んでいま...


10月のドコモ光とは別の件

まぎらわしいのが、ドコモでは10月にも別の情報流出があったことです。

ドコモ光を使っていない人にも、届いた知らせを見分けるうえで関係してきます。

10月27日、ドコモは、ドコモ光の「plala（Sコース）」を使っている人と、過去6か月以内に解約した人の情報、44万3,495件が流出したと発表しました。

こちらは、ドコモが仕事を任せていたソニーネットワークコミュニケーションズ（So-net）のサーバーが、10月19日に不正なアクセスを受けたものです。

 

  • 11月の件：ドコモオンラインショップとMy docomo／最大29万4,839回線／本人確認書類の番号や口座の情報も／特設ダイヤル0120-451-360
  • 10月の件：ドコモ光の「plala（Sコース）」／44万3,495件／口座やカードの情報は含まれない／特設ダイヤル0120-035-700

どちらも「ドコモから個別に連絡します」としているので、ドコモ光もスマホもドコモという人には、2つの件の連絡が別々に来ることがあり得ます。

届いた連絡がどちらの件なのかは、問い合わせ先の電話番号を見れば見分けられるでしょう。

11月6日の会見で、前田義晃社長は「お客様情報の取り扱いに関する事案が続いていることを極めて重く受け止めております」と頭を下げました。

10日あまりのあいだに2回、ドコモの名前で「お詫び」が出たことになりますね。


いま気をつけたいこと

対象だった人も、対象ではなかった人も、しばらく気をつけたいのは「ドコモを名乗る連絡」です。

今回は名前も住所も生年月日も、契約しているプランまで流出しているので、相手がこちらの名前や契約の中身を知っていても、それだけで本物とは限りません。

とくに危ないのは、これから出てくるお見舞金を口実にした連絡です。

お見舞金は、払い方も金額もまだ決まっていないので、「お見舞金の受け取りはこちら」と口座やカードの番号を聞いてくるものは、いったん手を止めてください。

  • SMSやメールのURLは開かない（本物のSMSにはURLがなかった）
  • 電話で口座やパスワードを聞かれても答えない
  • 確かめるときは、自分で開いたドコモの公式サイトから
  • dアカウントに、パスキーでの2段階の確認を設定する
  • 身に覚えのないログインや購入があれば、ドコモに相談する

dアカウントのパスキーの設定は、ドコモ自身がすすめている守り方です。

流出した情報がこの先どこへ回っていくのかは、別の記事でまとめています。

日本企業ばかりサイバー攻撃に遭う理由｜盗まれた個人情報はどこへ行く？
サイバー攻撃に遭う日本企業｜ダークウェブに流れた情報はどうなるのか？「また情報漏洩？」と思うニュースが、ここのところ本当に毎日のように流れてきます。 ニュースアプリを開くたびに「不正アクセス」「ランサムウ...

 

SMSが来たかどうかに一喜一憂する夜は、まだ少し続きそうです。

それでも、待つ以外の確かめ方はちゃんと用意されています。

待っているだけで落ち着かない夜なら、電話1本で終わらせてしまってもいいんですよね。