KDDIは、インターネットサービスプロバイダー（ISP）事業者向けに提供しているメールシステムが外部から不正アクセスを受け、顧客情報の一部が外部に漏洩したと明らかにした。今回の調査の結果、約1223万3087人分のメールアドレスに加え、そのうち約761万6173人分のメールシステム用パスワードが漏洩したことを確認している。
事案の詳細
KDDIの発表によると、同社がニフティ、ビッグローブ、JCOM、STNet、中部テレコミュニケーション、KDDIウェブコミュニケーションズの計6社のISP事業者向けに提供しているメールシステムが外部から不正アクセスを受け、調査の結果として、個人や企業のメールアドレス約1223万3087人分、およびそのうち約761万6173人分のパスワードの漏洩が確認された。
今回の不正アクセスは、同メールシステムの一部として導入していた第三者製ソフトウェアの未知の脆弱性（ゼロデイ脆弱性）を悪用されたことが原因で、一部のISP事業者では2026年5月16日から不正アクセスが発生していた。KDDIは2026年6月17日に不正アクセスを確認し、同日中にシステムの改修と脆弱性への対処を実施している。
同社は、外部からの侵入による不正アクセスが原因であると説明しており、攻撃者は第三者製ソフトウェアの脆弱性を突いてメールシステムに侵入したとみられている。なお、侵入した攻撃者の属性や、より詳細な攻撃手法・経路については、現時点で公表されている情報の範囲では詳細は現時点で不明としている。
被害状況については、メールアドレスが約1223万3087人分、パスワードが約761万6173人分という大規模な漏洩が確認されており、KDDIは対象となる利用者のパスワードを順次強制変更する対応を進めている。同社によれば、現時点で二次被害（不正送信や不正ログインなど）は確認されていないとしている。
影響と背景
パスワードはメールアカウントの認証に用いられる重要な情報であり、約761万6173人分ものパスワードが漏洩したことから、利用者への影響が広範かつ重大になり得る事案と位置づけられる。漏洩したメールアドレス約1223万3087人分という規模も含め、通信事業者が提供するインフラに対する大規模な不正アクセス事案として社会的な注目を集めている。
今回の攻撃は、メールシステムの一部として導入されていた第三者製ソフトウェアの未知の脆弱性（ゼロデイ脆弱性）を悪用したものであり、ソフトウェアの開発元も当初は脆弱性の存在を把握していなかったとされる。大企業が利用する基盤ソフトウェアの未知の脆弱性を突いたサイバー攻撃により、多数の利用者が意図せぬ形で被害を受ける構図が改めて浮き彫りとなった。
対策・今後の展望
KDDIは不正アクセスを確認した2026年6月17日に被害拡大防止のためシステムを改修し、問題の脆弱性に対する対処を実施した上で、メールシステム利用者のパスワード強制変更や、関連プログラムの潜在的な問題のチェックなどの対応を進めている。対象となるISP事業者と連携しながら、順次ユーザーアカウントの安全確保を図っている状況だ。
利用者側としては、KDDIおよび各プロバイダーからの案内に従って、メールシステムのパスワード変更などアカウント保護のための対応を行うことが重要となる。同じパスワードを他サービスでも使い回している場合、他のサービスのパスワードも変更するなど、パスワード管理の見直しが求められる。
事案の全容把握や影響範囲のさらなる特定は、KDDIおよび関係各社の追加調査の進展に依存するため、今後も同社からの続報や案内に注意し、具体的な指示が示された場合には速やかに対応することが重要となる。