（株）ＮＴＴドコモは１４日、ドコモの携帯電話利用者のｄアカウントを乗っ取り、通販サイト「ドコモオンラインショップ」で『ｉＰｈｏｎｅＸ（テン）』などのスマートフォンを不正に購入する被害が約１０００件確認されたと公表した。ドコモは不正購入が確認できた場合は代金の請求を見送り、また、間違えて支払ってしまった場合にも返金に応じるとしている。『ｉＰｈｏｎｅＸ』の料金は１台１１～１３万円（Ａｐｐｌｅの日本公式通販サイト）で、ドコモの被害額は１億円程度に上ると見られる。

すでに流出したＩＤ・パスワードの組み合わせから不正アクセスか

　「ドコモオンラインショップ」には、７月下旬から不正に入手したｄアカウントからのアクセスが１８００件あり、このうち約１０００件で不正購入があった。５日に利用者からドコモに「身に覚えがない購入履歴がある」という連絡があり、調査したところ、６日に不正購入が行われていることが発覚した。

!nextpage!

　ドコモによると、今回の不正購入にきっかけとなるＩＤ・パスワードなどのｄアカウントの情報は、ドコモ側からは流出していないことが確認されている。他サイトのＩＤ情報など、すでに流出されているＩＤ・パスワードの組み合わせから、不正にアクセスしたと見られる。

　ドコモでは、不正アクセス後、今回のリスト攻撃を防ぐ対策を実施。１４日には、ｄアカウントを利用した不正ログインを防ぐため、ＩＤ・パスワードだけでなく、セキュリティコードの入力を求める「２段階認証」の利用を呼び掛けた。また、他社サービスとは異なるパスワードの設定、定期的なパスワードの変更、安易に予測できるパスワードにしないこと、パスワードを第三者に見られないようにすることなどを推奨している。

オンラインショップで強制２段階認証を実施

　１５日からは「ドコモオンラインショップ」の購入時に、強制的に２段階認証を求め、本人であることを確認する仕組みを取り入れた。２２日からは、オンラインショップで購入手続きがあった場合に、購入者にメールやＳＭＳでメッセージを送信する。９月中旬からは、ｄアカウントのログイン画面を２画面に分割し、ＩＤとパスワードを別画面で入力するように変更する。こうした取り組みで、今回のようなアカウントの乗っ取りを未然に防止する。また、今回の不正アクセスによる被害は、警視庁に被害届を出す予定。

　他サイトで流出したＩＤ・パスワードの組み合わせによる不正アクセスは、他の通販サイトでも確認されており、消費者・通販事業者ともに、これまで以上に注意する必要がある。

▽関連記事

セシールＥＣサイトに不正アクセス、リストの精度向上が目的か