KDDIメール漏えいで露呈した認証情報と社会インフラのリスク

メール基盤漏えいが社会問題化した理由

KDDIがISP事業者向けに提供するメールシステムへの不正アクセスは、単なる「大手通信会社の情報漏えい」として片づけるには範囲が広すぎます。漏えいが確認されたのは、2026年7月21日更新のKDDI発表で、電子メールアドレス1223万1954名分、パスワード761万6173名分です。

重要なのは、攻撃対象がKDDIの携帯電話サービスそのものではなく、複数のプロバイダーやホスティング事業者が共通利用するメール基盤だった点です。メールアドレスは連絡先であるだけでなく、多くのオンラインサービスで本人確認やパスワード再設定の起点になっています。つまり、メール基盤の侵害は、攻撃者にとって別サービスへ横展開するための足場になります。

本稿では、公開資料から確認できる事実をもとに、何が起きたのか、なぜメールアドレスとパスワードの組み合わせが危険なのか、利用者と企業がどこを点検すべきかを整理します。製造業のサプライチェーン管理と同じく、見えにくい共通部品の弱さが全体の品質を左右する構図として読むべき事案です。

ゼロデイ悪用で広がった六社への波及

発覚から強制変更までの時系列

KDDIの初報は2026年6月23日です。同社は6月17日に、ISP事業者向けメールシステムが不正アクセスを受けていたことを確認し、同日中に被疑箇所を特定してシステムを改修したと説明しました。初報時点では、対象となるメールボックスに紐づくメールアドレスとパスワードが最大1422万件漏えいした可能性があるとしていました。

続く7月6日の発表では、原因がより明確になりました。メール基盤の一部として導入していた第三者製ソフトウェアの脆弱性が悪用され、一部のISP事業者では5月16日から不正アクセスが発生していたとされています。さらに、その脆弱性はKDDIが確認した6月17日時点でソフトウェアベンダーも認識していなかったものだと説明されています。いわゆるゼロデイ脆弱性です。

同発表では、KDDIが6月24日に総務省から電気通信事業法に基づく報告を求められ、7月6日に報告書を提出したことも明らかにされています。実施済みの対策としては、6月17日のシステム改修、6月21日の全サーバーへのEDR導入、6月23日の第三者機関によるフォレンジック調査が挙げられました。

一方で、KDDIのモバイルおよび固定インターネットのメールサービスであるauメール、UQ mobileメール、au one netメールは異なる設備で構築されており、本件の影響や情報漏えいはないとされています。この区別は重要です。KDDI全体の全メールサービスが一様に侵害されたわけではありません。

六社で異なる漏えい範囲

KDDIが対象として挙げたISP事業者は、STNet、KDDIウェブコミュニケーションズ、JCOM、中部テレコミュニケーション、ニフティ、ビッグローブの6社です。各社の発表を追うと、共通基盤を利用していても、漏えい範囲や対応は同じではありません。

BIGLOBEは7月6日、BIGLOBEメールアドレスとBIGLOBE IDが501万6432人分、パスワードが463万1775人分漏えいしたと発表しました。直近2カ月でメールサービス利用があった利用者は総数の約18％とされ、使っていないように見えるメールアカウントが多数含まれていたことがうかがえます。

中部テレコミュニケーションは、コミュファ光・ビジネスコミュファのメールサービスで、メールアドレス72万7176名分、メールパスワード72万4344名分の漏えいを確認したとしています。STNetは、ピカラ光サービスなどで、顧客数39万7152名、メールアドレスとパスワード数45万6159件の漏えいを確認しました。

JCOMは7月21日更新の発表で、J:COM NET利用者の一部について電子メールアドレス247万3191名分、ケーブルテレビ事業者向けメールサービス利用者の一部について電子メールアドレス11万8752名分、パスワード1257名分の漏えいを公表しました。KDDIウェブコミュニケーションズは、CPI提供メールサービスで電子メールアドレス125万543名分の漏えいを確認し、パスワードそのものの漏えいはなかったとしています。

ニフティは、5月24日にKDDI提供基盤で不正アクセスが発生したこと、5月29日に急激な負荷上昇を認知したこと、6月26日からパスワード未変更のメールアドレスを順次無効化したことを時系列で示しています。各社発表の差は、同じ基盤障害でも顧客影響、通知、強制変更、ログ確認の実務が事業者ごとに分かれることを示しています。

メールパスワードが宝の山になる構造

パスワード再設定を握る受信箱

メールアドレスとパスワードの漏えいが怖い理由は、受信箱が多くのサービスの「復旧口」だからです。EC、SNS、クラウドストレージ、決済、会員サイトは、ログインできない利用者に向けて、パスワード再設定リンクや認証コードをメールで送ります。攻撃者が受信箱を読める状態になると、別サービスの乗っ取りへ進む足場を得ます。

メールボックスには、契約通知、請求書、配送履歴、本人確認の控え、勤務先や取引先とのやり取りが蓄積されています。これは単発の個人情報リストではなく、本人の生活や業務を時系列で検索できるデータベースです。攻撃者は、過去のメールから利用サービスを推測し、パスワード再設定を試し、本人らしい文面でフィッシングを仕掛けられます。

もう一つのリスクは、正規のメールアカウントから送られるなりすましです。迷惑メールフィルターは、送信元ドメインや送信サーバーの評判を見ます。しかし実在するアカウントが乗っ取られた場合、受信者から見れば「いつもの相手」から届いたメールに見えやすくなります。取引先への請求書差し替え、家族への緊急連絡を装う詐欺、社内の添付ファイル誘導などに発展します。

今回の事案では、パスワードがどの形式で保存されていたかはサービスごとの発表に差があります。KDDIの初報は、ハッシュ化・暗号化されたものも含むと説明しました。CPIは一部プランについてパスワードがハッシュ化され、直ちに不正アクセスへ利用される可能性は低いとしました。平文漏えいと断定できない範囲がある一方、各社がパスワード変更や強制リセットを進めたこと自体が、将来的な悪用リスクを重く見ていたことを示しています。

休眠メールと使い回しの盲点

プロバイダーのメールアドレスは、回線契約時に作られたまま長く残ることがあります。現在はGmailやiCloudメールを主に使っていても、昔の通販サイト、金融系サービス、学校、自治会、管理会社などに登録したままのケースは珍しくありません。KDDIの初報でも、解約済みや一定期間利用のない休眠顧客が対象に含まれる可能性が示されていました。

休眠メールは、利用者の監視が薄い点で危険です。ログイン通知に気づかない、転送設定の改ざんに気づかない、古いメールソフトに保存したパスワードが更新されない、といった問題が重なります。企業の生産設備で言えば、稼働頻度の低い装置ほど点検リストから漏れ、古い制御ソフトや共有アカウントが残る構図に近いです。

パスワード使い回しも、被害を拡大させます。IPAは不正ログイン対策として、長く複雑で使い回さないパスワードと、多要素認証の利用を推奨しています。JPCERT/CCも、複数サービスで同一ID・パスワードを使わないよう呼びかけてきました。漏れた組み合わせが一つのメールサービスでしか使えなくても、同じ文字列が別サービスに使われていれば、攻撃者はリスト型攻撃を試します。

過去の具体例が、2019年のユニクロ・ジーユー公式オンラインストアの不正ログインです。ファーストリテイリングの発表では、他社サービスから流出した可能性のあるID・パスワードを用いるリスト型攻撃により、46万1091件のアカウントで不正ログインが確認されました。この事例は、漏えい元とは別のサービスが被害の現場になることを示しています。

メール基盤の漏えいは、このリスト型攻撃にさらに強い材料を与えます。メールアドレスは多くのサービスでIDとして使われ、メールパスワードは利用者が覚えやすい文字列として別サービスにも転用されがちです。攻撃者から見れば、単なる連絡先リストではなく、認証突破の候補リストです。

委託先依存で問われる通信基盤の設計責任

今回の本質は、メールのアウトソーシング基盤が社会インフラの一部になっている現実です。ISPやケーブルテレビ事業者、レンタルサーバー事業者は、すべての機能を自社で一から作るわけではありません。共通基盤、第三者製ソフトウェア、外部運用、再販の組み合わせでサービスを成立させています。

この構造は効率的です。顧客管理、メール送受信、WEBメール、保存機能を一体で提供すれば、事業者はコストを抑え、利用者は同じような機能を安定して使えます。しかし、共通部品に未知の脆弱性があると、被害は一社の境界を越えて広がります。製造業で共通部品の不具合が複数メーカーのリコールにつながるのと同じです。

KDDIは今後の対策として、第三者製ソフトウェアの設計書とプログラムをAIなども活用して分析し、潜在的な問題を網羅的に確認するとしています。また、ISP事業者とともに、よりセキュリティ強度の高い通信規格への移行を早期に進める方針も示しました。これは、単なるパッチ適用ではなく、古い認証方式やメール利用形態の見直しへ踏み込む必要があることを示唆します。

ただし、ゼロデイ攻撃を完全に防ぐ設計は現実的ではありません。重要なのは、侵入された場合に何を見られるのか、どの範囲まで横展開されるのか、どれだけ早く検知できるのかを小さく保つことです。パスワードを不可逆な形で保管する、サービスごとに認証情報を分離する、管理機能と利用者データを分ける、外部通信を監視する、異常なIMAP・POPアクセスを即時に制限する、といった多層の設計が必要です。

企業側も、委託先に「セキュリティ対策をしていますか」と聞くだけでは不十分です。どの機能を誰の基盤で動かしているのか、どの第三者製品が入っているのか、脆弱性公開前の緊急連絡はどう届くのか、顧客への通知文面と強制リセットの判断権限は誰が持つのかを契約と運用で確認すべきです。サイバー対策は情報システム部門だけの話ではなく、調達、法務、広報、顧客サポートを含む業務設計の問題です。

利用者と企業が直ちに確認すべき対策

利用者が最初にすべきことは、契約しているプロバイダーやメールサービスからの正式な案内を確認し、対象ならメールパスワードを変更することです。同じパスワードを使っているEC、SNS、クラウド、決済、会員サイトも別々の強いパスワードに変える必要があります。可能なサービスでは多要素認証を有効にしてください。

次に、メールボックス内の不審な転送設定、フィルター、送信済みメール、ログイン履歴を確認します。攻撃者はパスワード変更後も転送設定でメールを盗み読みしようとする場合があります。古いプロバイダーメールを重要サービスの復旧先にしている場合は、現在監視できるメールアドレスへ変更することも有効です。

企業は、自社ドメインのメールだけでなく、従業員や顧客対応で使う外部メール基盤を棚卸しすべきです。対象事業者の通知を待つだけでなく、使われている認証方式、強制リセットの実施状況、退職者・休眠アカウントの残存、委託先からのインシデント連絡経路を確認する必要があります。

KDDIの事案が示したのは、情報漏えいは公表やパッチ適用で終わらないということです。漏れた認証情報は、攻撃者の手元で長く使われます。メールは個人と企業のデジタル生活を束ねる基盤です。だからこそ、メールアカウントを「昔からある連絡手段」ではなく、最重要の認証インフラとして扱う視点が求められます。

参考資料:

• ISP事業者向けメールシステムに対する不正アクセスの発生について
• ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告
• （更新）当社メールサービスに対する不正アクセスの発生について
• 当社メールサービスに対する不正アクセスの発生に関するお詫びとご報告
• 弊社メールサービスへの不正アクセスに関するご報告とお詫び
• 「BIGLOBEメール」への不正アクセス発生のお詫びとご報告（第二報）
• 【第一報】当社メールサービスへの不正アクセスの発生について
• 【第二報】当社メールサービスへの不正アクセスについて
• メールパスワードの強制変更に関するお知らせ
• 弊社メールサービスへの不正アクセス事案に関するお詫びとご報告
• コミュファ光・ビジネスコミュファのメールサービスに対する不正アクセスの発生に関するお詫びとご報告
• IIJセキュアMXサービスにおけるお客様情報の漏えいについて
• 不正ログイン対策特集ページ
• STOP!! パスワード使い回し!!
• 「リスト型アカウントハッキング」による弊社オンラインストアサイトへの不正ログインの発生とパスワード変更のお願いについて