2025年3月5日、NTTコミュニケーションズは、社内システムが不正アクセスを受け、システム上に保存されていた法人顧客関連情報の一部が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。
法人顧客1万7千社超に影響の可能性
- 不正アクセスにより情報流出の可能性が生じたのは、NTTコミュニケーションズがネットワークや音声サービスの開通、変更に関連する情報管理や流通に使用していた「オーダ情報流通システム」。*1 オーダ情報流通システムに保存されていた情報は以下の通り。同社によれば3月5日公表時点で二次被害は確認していないとしている。また個人顧客向けサービスに関する情報はこのシステムには保存していない。
- 今回の不正アクセスの影響を受けた可能性のある顧客へは担当営業や郵送にて順次連絡を進める方針。またメールでの連絡は行わないこともあわせて案内を行っている。
| 情報流出の可能性のある法人顧客数 | 17,891社 |
|---|---|
| 不正アクセスの影響のあったサービス | 一部の法人顧客向けサービス (NTTドコモ提供の法人向けスマートフォン、携帯電話契約は対象外) |
| 流出した可能性のある情報 | 契約番号 法人顧客名（契約名） 顧客担当者名 電話番号 メールアドレス 住所 サービスの利用に係る情報 |
エッジデバイスから侵入か
- 同社が不正アクセスに気づいた発端は当該システム内に設置された装置Aに対する通信において、同社情報セキュリティ部が不審なログを検知したことから。その後の調査で社内ネットワークと外部の境界に設置されていたとみられる*2別の装置Bを侵入の入り口として装置Aまで不正アクセスが及んでいたことが判明した。
- 同社は今回の不正アクセスへの対応として、発端となった装置Aへの入り口制限を初動対応として、その後の調査で特定された装置Bについては社内ネットワークからの遮断を判明した同日に行ったと説明。再発防止としての各システムの許可する通信経路や監視体制の見直しを進めるとした。一方で同社は不正アクセスの具体的な手口については公表しておらず、詳細な情報についてはセキュリティ確保を行う観点から回答を控える方針と報じられている。*3
関連タイムライン
| 日時 | 出来事 |
|---|---|
| 2025年2月5日 | NTTコミュニケーションズがオーダ情報流通システム内の装置Aにおいて不審なログを検知。 |
| 同日 | 初動措置として装置Aで入口制限を実施。 |
| 2025年2月6日 | 通信ログ解析結果よりオーダ情報流通システムから一部情報流出の可能性が判明。 |
| 2025年2月15日 | その後の調査より、装置Bが侵入口として不正アクセスを受けていたことが判明。 |
| 同日 | 装置Bを社内ネットワークから遮断。 |
| 2025年3月5日 | 不正アクセスによる情報流出の可能性について公表。 |
関連公表
- 2025年3月5日 当社への不正アクセスによる情報流出の可能性について
更新履歴
- 2025年3月6日 AM 新規作成
- 2025年3月6日 AM 関連公表を追加
*1:NTTコム、1万7000社の情報流出か 2月の不正アクセス,日本経済新聞,2025年3月5日
*2:公表内容より装置Bについての説明はされていないが、発生事象の概要図よりpiyokangoが推定したもの。
*3:ＮＴＴコムに不正アクセス １万７０００社の情報流出か,時事通信,2025年3月5日
