KDDIのISP向けメールシステムで約1,223万件のアドレス漏えい — 総務省が行政指導、暗号化されないパスワード保存を「看過できない」と指摘

KDDIは2026年7月6日、複数のインターネットサービスプロバイダ（ISP）に提供するメールシステムへの不正アクセスで、メールアドレス約1,223万件とパスワード約762万件が漏えいしたと発表した。総務省は7月29日付で、電気通信事業法第4条第1項が保護する「通信の秘密」の漏えいとして、KDDIに文書による行政指導を行った。国内の主要ISPのメール基盤が一度に侵害された、近年まれに見る規模の事案だ。

何が起きたのか

標的になったのは、KDDIが開発し複数のISPに提供するメール基盤だ。メールアカウントの管理、送受信、Webメール、メールデータの保存といった機能を一体的に提供するシステムで、影響を受けたのは次の6社のメールサービスだった。

• ニフティ「@nifty メール」
• ビッグローブ「BIGLOBE メール」
• JCOM「J:COM NET」とケーブルテレビ事業者向けメールサービス
• 中部テレコミュニケーション「コミュファ光・ビジネスコミュファ」のメール
• STNet「ピカラ光サービス」などのメール
• KDDIウェブコミュニケーションズ レンタルサーバー「CPI」のメール

不正アクセスは2026年5月16日から6月17日にかけて一部のISPで発生していた。KDDIは6月17日に事態を確認し、同日システムを改修した。原因は、システムに導入していた第三者製ソフトウェアの脆弱性を悪用されたことによるものだ。この脆弱性は6月17日時点でベンダーも認識しておらず、いわゆるゼロデイだった。ベンダーは公的機関への届け出を行い、情報公開を進めている。

漏えいしたのは、システムで作成されたメールアドレス12,231,954件（7月21日訂正後）と、ログイン用パスワード7,616,173件（アドレスの内数）だ。6月23日の最初の発表時点では、解約済みや休眠のアカウントを含め「最大1,422万件の可能性」として公表されていた。総務省によると、パスワードを窃取した第三者により、約762万人分のメールボックス内の情報が閲覧可能な状態になっていたという。なお、auメール、UQ mobileメール、au one netメールは別の設備で構築されており、影響はない。

総務省の行政指導 — 「看過できない」とされた3点

総務省は7月29日付で「通信の秘密の保護の徹底に向けた措置について（指導）」（総基用第71号）をKDDIに交付した。指導文書は、本事案を電気通信事業法第4条第1項に規定する通信の秘密の漏えいと認定し、次の点を問題視している。

1. 多層的な防御態勢が機能しなかった — メールシステムは本来多層的な防御が敷かれるべきだが、有効に機能せず約762万人分の通信の秘密が漏えいした
2. パスワードが暗号化されずに保存されていた — 漏えいしたパスワードは「暗号化等の安全管理措置が講じられない状態で保存されていた」として、「看過できない」と指摘。厳重注意とした
3. 公表まで22日を要した — 最初に覚知したプロバイダ1社から第一報を受けてから公表まで22日間かかった点を「迅速な対応とは言い難い」と指摘

あわせて総務省は、システムにおける多層的な防御態勢の再検討、セキュリティ事案発生時の対応能力の向上、経営層への報告を含む社内体制と関係事業者への情報共有の確認、全社的な体制改善を求めている。KDDIは8月31日までに再発防止策の実施状況と二次被害の状況を報告し、その後1年間、四半期ごとの報告を求められた。

KDDIの対応 — 確認から5日以内にEDR導入

KDDIは6月17日に不正アクセスを確認して以降、被害拡大防止と再発防止の対策を進めた。主な対応は次のとおりだ。

• 6月17日 — システムを改修し、脆弱性への対処を実施
• 6月21日 — 外部通信を制御する全サーバーにEDR（端末の不正挙動を検知する仕組み）を導入
• 6月23日 — 第三者機関によるフォレンジック調査を実施し、今回の脆弱性以外に不審な痕跡がないことを確認
• 6月24日 — 総務省から電気通信事業法第166条第1項に基づく報告を求められ、7月6日に報告書を提出
• パスワード対策 — 各ISPと連携し、対象ユーザーのパスワード変更を要請。利用頻度の低いユーザーを含め、ISPによる強制変更を進めた

再発防止策としては、原因となったソフトウェアの設計書とプログラムをAIも活用して分析し、潜在的な問題を網羅的にチェックする方針を示した。あわせて、よりセキュリティ強度の高い通信規格への移行を早期に進め、業界全体の安全性向上に貢献する姿勢を明らかにしている。

利用者が今できること

@nifty、BIGLOBE、J:COM NET、コミュファ光、ピカラ、CPIの各メールを利用している場合、まず次の対応を取ってほしい。

1. パスワードを変更する — ISPからの強制変更の案内が届いたら必ず対応する。まだ案内が届いていない場合も、公式サイトからパスワードを変更する
2. パスワードの使い回しをやめる — 漏えいしたパスワードを他のサービスでも使っていると、そのサービスにも不正ログインされる恐れがある（リスト型攻撃）。別のパスワードに変更する
3. フィッシングに警戒する — 漏えいしたメールアドレスや氏名・住所を使い、「パスワード再設定」「荷物の再配達」「未払い料金」などを装う偽メールや偽SMSが届く可能性がある。メール本文のリンクはクリックせず、公式サイトや公式アプリから確認する
4. 二段階認証を有効にする — メールサービスで対応していれば、ログイン時の二段階認証を有効にする

認証情報の漏えいは「パスワードを変えれば終わり」ではない。今回のようにパスワードが暗号化されずに保存されていたケースでは、影響の範囲が特に大きくなる。パスワードの使い回しをやめ、重要なアカウントには多要素認証を適用することが、この先の被害を防ぐ第一歩だ。

出典: 総務省 — KDDI株式会社に対する通信の秘密の保護に係る措置（指導）（2026年7月29日） / 総務省 — 指導文書「通信の秘密の保護の徹底に向けた措置について（指導）」（総基用第71号） / 総務省 — KDDI株式会社に対する報告徴収（2026年6月24日） / KDDI — ISP事業者向けメールシステムに対する不正アクセスの発生について（2026年6月23日） / KDDI — ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告（2026年7月6日）