Signal
📡 Signal｜ドコモ、dポイント会員1億1000万件の流出説を否定
dポイント会員1億1000万件がダークウェブで販売中とする SNS の投稿に、ドコモが「該当する事実は確認されていない」と発表した。楽天でも同様の販売説が出ていた。
NTTドコモは10月9日、ポイントサービス「dポイント」の会員データがダークウェブで売られているとする SNS の投稿について、調査の結果「該当するような事実は確認されておりません」と公式 X で発表した。投稿は8日ごろから、1億1000万件規模のデータが販売されていると主張して広がっていた。
10月に入り、国内では数百万件規模の漏えいの公表が毎日のように続いている。本物の公表が積み重なるほど、真偽の分からない「販売中」の主張も信じられやすくなる。ドコモの否定は、2つを分けて読む必要があることを示した。
出どころは英語の X アカウント、本人も「未検証」
報道によると、情報を広めたのは英語で投稿する X アカウントで、そのアカウント自身が内容を未検証だと記していた。主張されたのは件数と「dポイント」という名前だけで、どの項目が含まれるのか、いつ・どこから取られたのかを示す材料は、報道からは見当たらない。
ドコモは投稿を把握したうえで調査し、9日に結果を出した。ITmedia NEWS の取材に対し、広報担当者は「dポイントクラブの会員データの情報流出は確認しておりません」と答えている。発表は「引き続きドコモではセキュリティ強化に努めてまいります」と結んだ。
件数の大きさは、それだけでは主張の確かさを示さない。
本物の公表と、真偽不明の販売説が並ぶ10月
同じ時期に公表された漏えいは、どれも企業自身の発表が起点になっている。J-CAST ニュースのまとめでは、タイムズカーが9月28日に約660万件、焼肉きんぐが10月5日に公式アプリの会員約1079万件の漏えいを報告した。JR東日本とビューカードは9日、最大約609万件に漏えいの可能性 があると発表している。政府も9日、国家サイバー統括室が事業者向けに 注意喚起 を出した。
一方で、企業の発表を伴わない販売説も続いた。ITmedia NEWS によると、7日ごろには楽天会員の情報約1億100万件がサイバー犯罪のフォーラムで売られているとの情報が X で広がり、楽天は取材に「情報漏えいが発生したという事実は確認されておりません」と答えた。2件とも、主張は億単位の件数と社名だけだった。
本物の漏えいが続く局面では、偽の販売情報を流す側にも動機が生まれる。注目を集めること自体が目的の場合もあれば、偽のデータを売りつけること、企業に揺さぶりをかけることが狙いの場合もある。
見分けるときの手がかり
利用者の側で頼れる手がかりは、企業の公式発表の有無だ。不正アクセスのように不正な目的で行われたおそれがある漏えいは、件数にかかわらず個人情報保護委員会への報告が企業に義務づけられ、本人への通知も求められる。委員会への速報は、発覚から3〜5日以内が目安とされている。
SNS の「販売中」の主張だけで、パスワードを慌てて変えたり、「漏えいのお詫び」を名乗るメールのリンクを開いたりする必要はない。騒ぎに便乗した偽の連絡のほうが現実の危険になる。ドコモや楽天を名乗るメールや SMS が届いたら、リンクからではなく公式アプリやブックマークからログインして確かめるのが安全だ。
次に見るもの
確認先はドコモの公式サイトの「お知らせ」と公式 X だ。ドコモは今回、調査を経て「事実は確認されていない」と書いており、追加の調査で何かが見つかれば同じ場所で続報が出る。楽天についても、同社のニュースリリースの欄に発表が出るかどうかで、販売説の扱いが決まる。
ことば
- ダークウェブ — 通常の検索や閲覧では届かず、専用の仕組みを使って接続するネットワーク上の領域。盗まれた個人情報の売買の場として知られる一方、売り手の主張がそのまま本物とは限らない。
- 漏えい等報告 — 個人情報保護法にもとづき、不正アクセスによる漏えいなどが起きた企業が個人情報保護委員会へ行う報告。発覚から3〜5日以内の速報と、30日以内 (不正な目的のおそれがある場合は60日以内) の確報の2段階からなる。
🔗 一次ソース
