9月10日、NTTドコモが都内で記者会見を開き「ドコモ口座」で発生している不正利用について説明を行った。
ドコモ口座はネットで買い物や送金ができる電子決済サービス。銀行口座などからドコモ口座にチャージしてスマホ決済の「d払い」で利用したり、友だちや家族に送金したり出金ができる。
ドコモ口座を使っていないにも関わらず不正に預金が引き出されているとの被害報告が寄せられ、ドコモも8日に不正引き出しを確認していた。
UPDATE:2020/09/14 11:53ドコモが9月14日13時からオンライン会見を実施すると発表した。不正利用に関する現状を説明するとのこと。
UPDATE:2020/09/14 14:53ドコモ口座の不正利用による最新の被害額が2,500万円を超えたと発表された
今後は口座開設時の本人確認を強化
ドコモ口座を経由した銀行口座の不正引き出しによる被害件数は66件、約1,800万円の被害が（8月〜9月10日正午時点。銀行申告ベースで）確認されているという。被害額の補償については銀行と連携の上、全額を補償するよう真摯に対応するとのこと。
ドコモはドコモ口座を利用した不正利用について第三者が銀行口座番号やキャッシュカードの暗証番号等を不正に入手してドコモ口座に銀行口座を登録することで発生したと説明。
原因については不正利用で使われたドコモ回線を契約していないdアカウントでドコモ口座を開設する際の本人確認（メールアドレスによる二段階認証）が甘かったとしている。
今後の対策としてドコモ口座の開設時にSMSによる二段階認証と免許証など本人確認書類の撮影・提出が必要になるeKYCによる本人確認を導入するとのこと。導入時期についてはSMSによる二段階認証は可及的速やかに、eKYCは2020年9月末に導入予定とのこと。
質疑応答
今回の被害にあっていないか確認する方法は？
銀行口座の通帳や残高、取引履歴で不正利用がないか確認する
被害額について
銀行口座からのチャージ額の上限が1ヶ月30万円に設定されている。8〜9月にわたって被害にあった人もいるため1人あたりの被害額は最大60万円となる
補償の時期は
現在はすべての被害を確認できていない。全体の被害を確認後、早い段階で補償したい
今後の被害拡大について
今後の被害拡大の可能性がないとは言えない。被害の実態は銀行（11行）からの情報に基づいて確認をしている。銀行で生じている不正利用がすべて把握されているものだとすると、1800万円から桁が変わるほど拡大することは想定していない。
今後の不正利用を防ぐためにチャージ機能を止めないのか
銀行口座からドコモ口座にチャージ件数が非常に多い。直近で1万3000件/日の口座からのチャージがある。ニーズがあるなかでの機能停止は影響が大きい
ドコモ側で不正利用を確認できないのか
銀行口座からドコモ口座へ不正にチャージされたことを知り得るのは銀行またはユーザーのためドコモが直接的に知ることはできない
サービス再開の判断基準は
2段階認証やeKYCによる本人確認といった対策が取れれば再開できると思っているが、不信感を払拭するにはドコモだけではなく関係者一同で安心して使えるような仕組みを作らなくてはいけない。少し時間がかかると考えている
ドコモ側に原因があると表現していたが金融機関側には問題がなかったという認識か
ドコモ側のセキュリティと金融機関側のセキュリティがあるが、利用者側の立場になってトータルで考えなくてはいけない。今回のケースはドコモ側の本人確認が十分ではなかったことが少なくとも一因になっている
2019年5月にりそな銀行でも不正利用が発生していたが、なぜ当時対策を取らなかったのか
当初はドコモ口座はドコモ回線契約者にのみサービスを提供しており、回線契約で本人確認ができているという前提のもと口座情報の入力で銀行口座を登録できた。そのなかでりそな銀行からいくつかの不正利用が発生していたとの報告があった。当時は回線名義と口座名義が一致しなくてもよかったが、不正利用を受けて名義の同一チェックを入れた。それ以降、ドコモ回線契約者がドコモ口座を利用するなかでの不正利用は発生していない
2019年10月にドコモ口座をキャリアフリー化（ドコモの回線契約がなくてもサービスが利用できること）したことでセキュリティが甘くなったのでは
本人確認が甘い状態でサービスを提供していたと認識している。ドコモ口座に限らずほかのドコモのサービスも含めてドコモの回線契約を持っていない人にも手軽に使ってもらいたいという思いだったが、今回のようなお金が絡むサービスに関してはより厳重に確認するべきだった
ドコモ口座の不正利用について
ドコモ口座の不正引き出しは同サービスに他人の銀行口座を登録し、ドコモ口座にチャージする形で発生した。
不正引き出しが確認されている銀行のネット口座振替サービスはワンタイムパスワード等が必要な2段階認証を導入せず、口座名義や口座番号、暗証番号、生年月日等の入力で利用可能なことから他人の銀行口座を比較的容易に登録できる状態にあった。
また、ドコモ口座は身分証明書などの提出が不要で本人確認を銀行口座の登録で置き換えている。ドコモ口座を利用するにあたって必要なdアカウントもメールアドレスだけでアカウントの作成ができるため犯人に狙われやすい状況だった。
