「非通信」強化が招いたドコモ口座不正　セブンペイの教訓どこへ

　NTTドコモは9月10日、電子決済サービス「ドコモ口座」を使った不正な利用が明らかになった問題で、記者会見を開いた。10日正午時点で被害件数は66件、被害総額は約1800万円に上る。丸山誠治副社長は「ドコモのユーザーではない方にご迷惑をおかけした。深くおわびしたい」と陳謝した。

記者会見を終え頭を下げるNTTドコモの丸山誠治副社長（中央）ら（写真：共同通信）

　ドコモ口座とは、ドコモの顧客ID「dアカウント」に登録すると使える金融サービス。銀行口座から預金を引き出してドコモ口座にチャージしたり、店舗での決済や個人間の送金に使えたりする。

　dアカウントはドコモ口座をはじめ、電子雑誌や動画配信サービスを利用できる顧客IDで、メールアドレスや氏名があれば登録可能だ。そのため、ドコモ口座も本人認証のステップを踏まなくても、手軽に開設できる。不正利用の犯人はこの甘さに付け込んだ。

　犯人はNTTドコモの携帯電話の契約者ではない人を狙った。dアカウントを使って被害者のドコモ口座を開設し、不正に手に入れたその人の地方銀行などの口座情報をドコモ口座に連携。銀行口座からドコモ口座へ預金を移し、キャッシュレス決済サービス「d払い」を使って商品を購入、現金化したとみられている。

　ドコモの携帯回線を契約している顧客であれば、ドコモ口座の開設には回線認証やネットワーク暗証番号を通じて、個人の情報をチェックする。ネットワーク暗証番号であれば携帯電話の契約時に免許証などで本人かどうかの確認がされた上で設定する。それに対し「dアカウント」はドコモの携帯電話の利用者ではないKDDIやソフトバンク、楽天、その他の格安スマホユーザーでも登録して利用できる。ただその場合、ドコモの携帯電話の契約者以外にはメールアドレスを使った認証しかしておらず、本人かどうかをその他の方法で確認するプロセスに穴があった。