ドコモ口座問題で誰もが知っておきたいこと

公開 2020年09月16日 07時03分

[ITmedia]

印刷する Googleで優先するソースとして追加

　先週から大きな話題になっているNTTドコモ（以下、ドコモ）の決済サービス「ドコモ口座」を経由した不正送金問題。ドコモのスマートフォンや「dビデオ」などのサービスを利用していない人は「自分は無関係」という意識があるかもしれないが、実はドコモを使っていようが、いまいが、該当する銀行の利用者は被害に遭う可能性があった。問題のポイントと注意点、現在の状況をまとめた。

1）ドコモ口座はスマホ決済の一種

　サービス名に「口座」が付いていたり、同業のKDDIが子会社を通じて三菱UFJ銀行とネットバンキングサービスの「じぶん銀行」を行っていたりするため、ドコモがバンキングサービスを行っていると勘違いしやすいが、ドコモ口座は別モノだ。

ドコモ口座

　では何かといえば、単なるスマホ決済サービスの一種だ。KDDIでいえばじぶん銀行ではなく「au PAY」、ソフトバンクでいえば「Pay Pay」が競合といえる。そしてau PAYやPay Payと同様、ドコモ口座もドコモの携帯電話を持っていない人でも作れる。

　ドコモが「口座」を名乗っているのは、バンキングサービスを提供しているからではなく、チャージした金額を利用者の銀行口座に送金できるからだと思われる（今回の件にはあまり関係ない）。

　問題発覚以前、NTTドコモのブランド力もあってか、一部の地方銀行はドコモ口座との連携を利用者に勧めていたが、一方でメガバンクなどはほとんど言及しなかった。それも当然。ドコモ口座へのチャージは、プリペイドサービスを提供している会社への送金に過ぎないからだ。

2）ドコモユーザー以外も危ない理由

　ドコモが提供する様々なサービスを利用するために使用する「dアカウント」というものがある。これを利用してキャッシュレス決済を提供するのがドコモ口座の主旨。dアカウントさえあれば、誰でもドコモ口座の利用を申請できた（現在は新規受付停止中）。

　ただし、登録だけではその情報が実在の人物と結びついているのか分からない。このため、ドコモの携帯電話契約がない場合など、身元が確認されていないdアカウントのドコモ口座には、現金以外でのチャージはできないという制約がある。ここまでは問題ない。

　しかし銀行口座の情報をdアカウントに登録した時点で、そのドコモ口座は「本人確認済み」とみなされ、銀行口座からのチャージが可能になる。ドコモ側は、A銀行がAさんを確認しているのだから、A銀行が「連携OK」といえば、Aさんの身元を確認したことと同意であると見なした。しかし銀行側にとっては単に決済サービスが一つ増えたという意識だったのか、ドコモ口座登録時にも本人確認を行うかどうかは銀行によって差が出た。

　登録時に本人確認がないと、氏名、口座番号、暗証番号だけで任意のdアカウントと連携できてしまう。氏名は口座番号があれば送金準備をするだけで簡単に入手できる。つまり、たった4桁の暗証番号だけに依存する、極めて信頼性が低い状況の口座ができてしまった。

　悪意のある第三者がどのようにして口座情報や暗証番号を入手したかは調査中だが、結果としてそうした銀行では、dアカウントを作ってドコモ口座に登録するだけでお金を引き出せる“出口”ができてしまった。

　このように、少なくとも問題発覚時には「ドコモなんて使ってない」人でも勝手にドコモ口座を登録されている可能性があった。これが、各社の報道などで「ドコモと提携している35の銀行に口座を持っている人はすべて危ない」といわれた理由だ。