# KDDIのISP向けメール不正アクセス(2026年6月公表)

> 2026年6月23日に公表されたKDDIのISP向けメールシステムへの不正アクセスについて、第三者製ソフトの未知の脆弱性という原因、6社のメールアドレス約1,223万人・パスワード約762万人の漏えい、総務省の対応、再発防止策を出典つきでまとめました。2026年10月6日時点。

発行: 株式会社ウェステリア(https://westeria.jp) / 特集: 国内のデータ流出・不正アクセス事案まとめ(https://westeria.jp/security-incidents/) / 出典: https://westeria.jp/security-incidents/cases/kddi-isp-mail-2026/

状態: 調査結果公表済み / 公開: 2026-10-06 / 最終更新: 2026-10-06

## 要点

- KDDIがISP事業者向けに提供するメールシステムが、組み込んでいた第三者製ソフトウェアの、ベンダーも把握していなかった脆弱性を突かれた。不正アクセスは2026年5月16日から続いていた。
- @nifty、BIGLOBE、J:COM NET、コミュファ光、ピカラ光、CPIの6社のメール利用者が対象。メールアドレス12,231,954人分、うちパスワード7,616,173人分の漏えいを確認した(2026年7月21日訂正の値)。
- 総務省は報告徴収のあと、2026年7月29日に文書による行政指導を行った。KDDIは全サーバへのEDR導入と、より安全な通信規格への移行などを再発防止策に挙げている。

## 概要

- 公表日: 2026年6月23日
- 発生: 2026年5月NaN日
- 検知・発覚: 2026年6月17日
- 最新の公表: 2026年7月NaN日
- 組織・業種: KDDI(ISP 6社に波及)(通信 / 通信・ISP)
- 手口: [利用しているSaaS・他社製ソフト](https://westeria.jp/security-incidents/tactics/saas-third-party/)、[委託先・取引先経由](https://westeria.jp/security-incidents/tactics/supply-chain/)、[設定・管理の不備](https://westeria.jp/security-incidents/tactics/misconfig/)
- 漏えいした情報・件数: メールアドレス12,231,954人分、うちパスワード7,616,173人分(当初は最大1,422万件と発表)。解約者・休眠者を含む
- 業務への影響: 6社のISP事業者が、利用者のメールパスワードの変更・強制変更を実施
- 業績への影響: 未公表
- 犯行グループ(攻撃者の主張): 未公表
- 行政の対応: 総務省が2026-06-24に電気通信事業法第166条第1項に基づく報告徴収、2026-07-29に文書による行政指導(報道)。個人情報保護委員会にも報告
- 調査報告書・再発防止策: https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-73_4619/kddi_nr_s-73_4619_pdf_01.pdf

## 経緯

- 2026年5月16日: 一部のISP事業者のメールサービスで、不正アクセスが始まる(7月6日の発表で判明)。 [2]
- 2026年6月17日: KDDIが不正アクセスを確認。同日、システムを改修して脆弱性に対処。 [1]
- 2026年6月21日: 外部と通信する全サーバへのEDR導入を完了。 [2]
- 2026年6月23日: 最大1,422万件のメールアドレスとパスワードが漏えいした可能性があると公表。 [1]
- 2026年6月24日: 総務省が電気通信事業法に基づく報告を求める。 [2]
- 2026年7月6日: 総務省に報告書を提出し、漏えいの確定値と再発防止策を公表。 [2]
- 2026年7月21日: メールアドレスの漏えい人数を12,231,954人に訂正。 [2]
- 2026年7月29日: 総務省がKDDIに文書による行政指導。 [4]

## 侵入経路と原因

被害を受けたのは、KDDIが開発し、ISP事業者向けに提供しているメール基盤です。メールアカウントの管理、送受信、Webメール、メールデータの保存などを一体で提供していました。

原因は、このシステムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたことです。KDDIによると、この脆弱性は確認時点の2026年6月17日には、ソフトウェアのベンダーも認識していないものでした。ベンダーは公的機関への届け出を行い、情報公開に向けて取り組んでいるとしています。ソフトウェアの名前は公表されていません。

不正アクセスは、一部のISP事業者で5月16日から起きていました。KDDIが確認するまで、約1カ月続いていたことになります。6月23日の発表は、漏えいの可能性があるパスワードには「ハッシュ化・暗号化されたものも含む」としていました。報道によると、総務省は行政指導で、パスワードが暗号化などの措置を講じない状態で保存されていた点などを指摘しています。

## 影響

対象は、STNet(ピカラ光など)、KDDIウェブコミュニケーションズ(CPI)、JCOM(J:COM NETとケーブルテレビ事業者向け)、中部テレコミュニケーション(コミュファ光)、ニフティ(@nifty)、ビッグローブ(BIGLOBE)の6社のメールサービスです。

漏えいが確認されたのは、メールアドレス12,231,954人分と、そのうちのパスワード7,616,173人分です。当初は最大1,422万件と発表し、7月6日に確定値を出しました。メールアドレスの人数は7月21日に訂正されています。解約した人や、しばらく使っていない人も含まれます。報道では、メールボックス内の情報が第三者に閲覧された可能性も指摘されています。

利用者の側では、各ISPがパスワードの変更を呼びかけ、使っていない人も含めて強制変更を進めました。なお、KDDI自身のauメール、UQ mobileメール、au one netメールは別の設備で動いており、影響はないとしています。業績への影響は公表されていません。

## 会社の対応と再発防止策

KDDIは不正アクセスを確認した6月17日にシステムを改修し、脆弱性に対処しました。6月21日には、外部と通信する全サーバにEDR(端末やサーバの不審な動きを検知する仕組み)を入れ終えています。6月23日には第三者機関のフォレンジック調査(ログなどから何が起きたかを調べること)で、この脆弱性以外の不審な痕跡がないことを確認したとしています。

今後の対策としては、問題のソフトウェアの設計書とプログラムを、AIも使って網羅的に分析し、ほかに欠陥がないかを細かく確認するとしています。加えて、従来型のメールソフトの利用者への影響を考えながら、ISP事業者と共に、よりセキュリティ強度の高い通信規格への移行を早めるとしています。

総務省は6月24日に電気通信事業法に基づく報告を求め、KDDIは7月6日に報告書を出しました。報道によると、総務省は7月29日に文書で行政指導を行い、利用者への情報提供の継続や定期的な報告などを求めています。

## この事案から学べること

- 自社で作ったシステムでも、中に組み込んだ他社製ソフトの未知の脆弱性が入口になる。
- 1つの基盤を複数の事業者が使っていると、1回の侵害が6社・1,000万人規模に一度に広がる。
- パスワードの保存方法は、漏れたときの被害の大きさを決める。
- 解約者や休眠者のアカウントも、残っていれば漏えいの対象になる。

## 自社で確認すること

- 自社のサービスに組み込んでいる他社製ソフトの一覧と、それぞれの脆弱性情報を誰が見ているかを決めていますか。
- 利用者のパスワードを、復元できない形(ハッシュ化)で保存していることを確認していますか。
- 解約・休眠した利用者のアカウントとデータを、いつ消すかのルールがありますか。
- 確認項目の全体: https://westeria.jp/security-incidents/guide/checklist/

## よくあるご質問

### auメールの利用者も影響を受けましたか?

KDDIの発表では、auメール、UQ mobileメール、au one netメールは異なる設備で構築されており、影響や情報の漏えいはないとしています。対象はISP 6社のメールサービスです。

### 原因になったソフトウェアは何ですか?

「システムの一部として導入していた第三者製のソフトウェア」と発表されていますが、製品名は2026年10月6日時点で公表されていません。

## 出典

1. [ISP事業者向けメールシステムに対する不正アクセスの発生について](https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-71_4593/kddi_nr_s-71_4593_pdf_01.pdf)(KDDI株式会社、2026-06-23)
2. [ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告](https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-73_4619/kddi_nr_s-73_4619_pdf_01.pdf)(KDDI株式会社、2026-07-06)
3. [KDDI、ISP向けメールシステムへの不正アクセスで続報。1223万件のメールアドレス、762万件のパスワードが漏えい](https://internet.watch.impress.co.jp/docs/news/2122740.html)(INTERNET Watch、2026-07-06)
4. [総務省がKDDIに行政指導、ISP向けメールシステム不正アクセス 約762万人に影響](https://k-tai.watch.impress.co.jp/docs/news/2129178.html)(ケータイ Watch、2026-07-30)
5. [KDDIのISP向けメールシステムに不正アクセス、BIGLOBE、J:COM、ニフティなど最大1422万件の情報漏えいの可能性](https://internet.watch.impress.co.jp/docs/news/2119351.html)(INTERNET Watch、2026-06-23)

## 関連ページ

- 2026年の事案一覧: https://westeria.jp/security-incidents/2026/
- 事案まとめ(ハブ): https://westeria.jp/security-incidents/

---

株式会社ウェステリアはAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。本ページは公式発表と報道で確認できた事実だけをまとめたものです。