KDDIのISP向けメール不正アクセス(2026年6月公表)
結論から
- KDDIがISP事業者向けに提供するメールシステムが、組み込んでいた第三者製ソフトウェアの、ベンダーも把握していなかった脆弱性を突かれた。不正アクセスは2026年5月16日から続いていた。
- @nifty、BIGLOBE、J:COM NET、コミュファ光、ピカラ光、CPIの6社のメール利用者が対象。メールアドレス12,231,954人分、うちパスワード7,616,173人分の漏えいを確認した(2026年7月21日訂正の値)。
- 総務省は報告徴収のあと、2026年7月29日に文書による行政指導を行った。KDDIは全サーバへのEDR導入と、より安全な通信規格への移行などを再発防止策に挙げている。
概要
- 公表日
- 2026年6月23日
- 発生
- 2026年5月NaN日
- 検知・発覚
- 2026年6月17日
- 最新の公表
- 2026年7月NaN日
- 組織・業種
- KDDI(ISP 6社に波及)(通信 / 通信・ISP)
- 漏えいした情報・件数
- メールアドレス12,231,954人分、うちパスワード7,616,173人分(当初は最大1,422万件と発表)。解約者・休眠者を含む
- 業務への影響
- 6社のISP事業者が、利用者のメールパスワードの変更・強制変更を実施
- 業績への影響
- 未公表
- 犯行グループ(攻撃者の主張)
- 未公表
- 行政の対応
- 総務省が2026-06-24に電気通信事業法第166条第1項に基づく報告徴収、2026-07-29に文書による行政指導(報道)。個人情報保護委員会にも報告
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
被害を受けたのは、KDDIが開発し、ISP事業者向けに提供しているメール基盤です。メールアカウントの管理、送受信、Webメール、メールデータの保存などを一体で提供していました。
原因は、このシステムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたことです。KDDIによると、この脆弱性は確認時点の2026年6月17日には、ソフトウェアのベンダーも認識していないものでした。ベンダーは公的機関への届け出を行い、情報公開に向けて取り組んでいるとしています。ソフトウェアの名前は公表されていません。
不正アクセスは、一部のISP事業者で5月16日から起きていました。KDDIが確認するまで、約1カ月続いていたことになります。6月23日の発表は、漏えいの可能性があるパスワードには「ハッシュ化・暗号化されたものも含む」としていました。報道によると、総務省は行政指導で、パスワードが暗号化などの措置を講じない状態で保存されていた点などを指摘しています。
影響
対象は、STNet(ピカラ光など)、KDDIウェブコミュニケーションズ(CPI)、JCOM(J:COM NETとケーブルテレビ事業者向け)、中部テレコミュニケーション(コミュファ光)、ニフティ(@nifty)、ビッグローブ(BIGLOBE)の6社のメールサービスです。
漏えいが確認されたのは、メールアドレス12,231,954人分と、そのうちのパスワード7,616,173人分です。当初は最大1,422万件と発表し、7月6日に確定値を出しました。メールアドレスの人数は7月21日に訂正されています。解約した人や、しばらく使っていない人も含まれます。報道では、メールボックス内の情報が第三者に閲覧された可能性も指摘されています。
利用者の側では、各ISPがパスワードの変更を呼びかけ、使っていない人も含めて強制変更を進めました。なお、KDDI自身のauメール、UQ mobileメール、au one netメールは別の設備で動いており、影響はないとしています。業績への影響は公表されていません。
会社の対応と再発防止策
KDDIは不正アクセスを確認した6月17日にシステムを改修し、脆弱性に対処しました。6月21日には、外部と通信する全サーバにEDR(端末やサーバの不審な動きを検知する仕組み)を入れ終えています。6月23日には第三者機関のフォレンジック調査(ログなどから何が起きたかを調べること)で、この脆弱性以外の不審な痕跡がないことを確認したとしています。
今後の対策としては、問題のソフトウェアの設計書とプログラムを、AIも使って網羅的に分析し、ほかに欠陥がないかを細かく確認するとしています。加えて、従来型のメールソフトの利用者への影響を考えながら、ISP事業者と共に、よりセキュリティ強度の高い通信規格への移行を早めるとしています。
総務省は6月24日に電気通信事業法に基づく報告を求め、KDDIは7月6日に報告書を出しました。報道によると、総務省は7月29日に文書で行政指導を行い、利用者への情報提供の継続や定期的な報告などを求めています。
この事案から学べること
- 自社で作ったシステムでも、中に組み込んだ他社製ソフトの未知の脆弱性が入口になる。
- 1つの基盤を複数の事業者が使っていると、1回の侵害が6社・1,000万人規模に一度に広がる。
- パスワードの保存方法は、漏れたときの被害の大きさを決める。
- 解約者や休眠者のアカウントも、残っていれば漏えいの対象になる。
自社で確認すること
- 1 自社のサービスに組み込んでいる他社製ソフトの一覧と、それぞれの脆弱性情報を誰が見ているかを決めていますか。
- 2 利用者のパスワードを、復元できない形(ハッシュ化)で保存していることを確認していますか。
- 3 解約・休眠した利用者のアカウントとデータを、いつ消すかのルールがありますか。
同じ手口の事案
利用しているSaaS・他社製ソフト
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
- バルテック (2026年10月22日) 業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- auメールの利用者も影響を受けましたか?
- KDDIの発表では、auメール、UQ mobileメール、au one netメールは異なる設備で構築されており、影響や情報の漏えいはないとしています。対象はISP 6社のメールサービスです。
- 原因になったソフトウェアは何ですか?
- 「システムの一部として導入していた第三者製のソフトウェア」と発表されていますが、製品名は2026年10月6日時点で公表されていません。
出典
- ISP事業者向けメールシステムに対する不正アクセスの発生について ↗ (KDDI株式会社、2026-06-23)
- ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告 ↗ (KDDI株式会社、2026-07-06)
- KDDI、ISP向けメールシステムへの不正アクセスで続報。1223万件のメールアドレス、762万件のパスワードが漏えい ↗ (INTERNET Watch、2026-07-06)
- 総務省がKDDIに行政指導、ISP向けメールシステム不正アクセス 約762万人に影響 ↗ (ケータイ Watch、2026-07-30)
- KDDIのISP向けメールシステムに不正アクセス、BIGLOBE、J:COM、ニフティなど最大1422万件の情報漏えいの可能性 ↗ (INTERNET Watch、2026-06-23)