KDDIメール漏洩、共通基盤とパスワード再利用の本当の危険性

共通メール基盤を突いた不正アクセスの深刻度

KDDIがISP事業者向けに提供していたメールシステムへの不正アクセスは、通信会社一社の情報漏えいにとどまらない問題です。表面上は「メールアドレスとパスワードの漏えい」ですが、実際には複数のプロバイダーが同じ基盤に依存していた構造と、古くから使われてきたメール認証の弱さが同時に露呈しました。

KDDIは2026年7月6日、電子メールアドレス1223万3087人分、パスワード761万6173人分の漏えいを確認したと公表しました。攻撃の本質は、KDDIや個別ISPのブランドではなく、他サービスのログインにも転用され得る認証情報をまとめて奪う点にあります。本稿では、公表資料と関係機関の注意喚起をもとに、共通基盤のリスク、二次被害の経路、利用者と企業が取るべき対策を整理します。

六つのISPに広がった漏えい範囲

KDDI続報で確定した漏えい人数

KDDIの初報は2026年6月23日でした。同社は、ISP事業者向けメールシステムで同年6月17日に不正アクセスを確認し、同日中にシステムを改修して技術的な防御措置を実施したと説明しました。初報時点では、対象メールサービスで作成されたメールボックスにひも付くメールアドレスとパスワードが、最大1422万件漏えいした可能性があるとされていました。

続報で明らかになった重要点は三つあります。第一に、漏えいは「可能性」から「確認」に進み、電子メールアドレス1223万3087人分、パスワード761万6173人分という規模が示されたことです。第二に、対象はSTNet、KDDIウェブコミュニケーションズ、JCOM、中部テレコミュニケーション、ニフティ、ビッグローブの6社にまたがったことです。第三に、auメール、UQ mobileメール、au one netメールは別設備で構築されており、本件の影響はないとKDDIが説明したことです。

発生時期にも注意が必要です。KDDIは、一部のISP事業者で不正アクセスが2026年5月16日から発生していたとしました。つまり、確認された6月17日まで約1カ月の間、攻撃者が何らかの形で基盤に接触していた可能性があります。製造現場でいえば、単一設備の不具合ではなく、複数ラインに部品を供給する共通工程で異常が起きた状態に近いです。影響範囲の特定に時間がかかるのは、利用事業者ごとのデータ構造や保存方式、顧客通知の導線が異なるためです。

事業者別対応に表れた影響の濃淡

各社の続報を見ると、同じKDDI基盤を使っていても、漏えいした情報の範囲と対応は一様ではありません。ビッグローブは、BIGLOBEメールアドレスとBIGLOBE IDが501万6432人分、パスワードが463万1775人分漏えいしたと公表しました。ニフティは、電子メールアドレス224万8708名分、メールパスワード186万2462名分を確認したとしています。

中部テレコミュニケーションは、コミュファ光・ビジネスコミュファのメールアドレス72万7176名分、メールパスワード72万4344名分の漏えいを公表しました。STNetは、ピカラ光などの利用者について、お客さま数39万7152名、メールアドレスとメールアドレスのパスワード45万6159件の漏えいを確認しています。JCOMは、J:COM NETの一部顧客247万3191名分の電子メールアドレスに加え、ケーブルテレビ事業者向けメールサービスで11万9885名分の電子メールアドレスと1257名分のパスワード漏えいを示しました。

一方、KDDIウェブコミュニケーションズのCPIでは、電子メールアドレス125万543名分の漏えいを確認し、パスワードそのものの漏えいはないと説明しています。ただし、同社は安全確保の観点からパスワード変更や強制変更の案内も続けています。この差は、同じ基盤に乗っていても、各サービスの認証情報の管理方法、ハッシュ化の有無、顧客への通知手段、休眠アカウントの扱いが違うことを示しています。

総務省は2026年6月24日、電気通信事業法に基づきKDDIに報告徴収を行い、発生原因、影響範囲、対応状況、利用者対応、再発防止策の報告を求めました。これは、メールが単なる付帯サービスではなく、通信サービスの信頼性と利用者保護に直結する社会インフラだと行政が見ていることを意味します。

認証情報流出が招く二次被害の連鎖

メールボックスが復旧鍵になる構造

メールアカウントの危険性は、メールを読まれることだけではありません。多くのWebサービスでは、パスワードを忘れたときの本人確認や再設定リンクの送付先としてメールアドレスが使われます。つまり、メールボックスは他サービスの復旧鍵でもあります。攻撃者がメールにログインできれば、EC、SNS、クラウドストレージ、業務サービスのパスワード再設定を試みる入口になります。

KDDIの初報では、対象に解約済み利用者や一定期間使われていない休眠利用者も含むとされていました。ここが厄介です。普段使っていないメールアドレスほど、利用者は不正ログイン通知や迷惑メールの増加に気づきにくくなります。古いプロバイダーメールを、銀行やネット通販、古いSNSの登録先として残しているケースも少なくありません。

メール本文には、過去の請求、通販履歴、問い合わせ、添付ファイル、家族や取引先とのやり取りが残っていることがあります。アドレス帳を参照されれば、知人や顧客を装う詐欺メールの素材にもなります。JPCERT/CCは以前から、Webメールのアカウント情報を詐取する攻撃では、盗まれたアカウントが次のフィッシングメール送信にも悪用されると注意喚起しています。

今回、フィッシング対策協議会は、国内ISPの認証情報を不正利用したとみられるフィッシングメールについて緊急情報を出しました。同協議会は、KDDI事案との直接的な関連は確認できていないとしつつ、漏えい対象サービスを使っている場合は速やかなパスワード変更が必要だと呼びかけています。重要なのは、直接関係が未確認でも、攻撃者は大規模漏えいのニュースそのものを詐欺の口実に使う点です。

再利用パスワードと便乗詐欺の連鎖

メールアドレスとパスワードの組み合わせは、単体の名簿よりも価値があります。攻撃者は、同じ組み合わせを他のサービスで試すクレデンシャルスタッフィングを行えます。IPAは不正ログイン対策として、パスワードを長く複雑にし、複数サービスで使い回さず、多要素認証を設定することを勧めています。警察庁も、同じIDとパスワードを複数サイトで使うと、銀行、SNS、通販サービスなどがまとめて乗っ取られる恐れがあると説明しています。

特にメール用パスワードは軽視されがちです。プロバイダーメールは、契約時に設定したまま長年変更していない利用者もいます。スマートフォンの主要アカウントやキャッシュレス決済ほど頻繁に意識されないため、実際には重要な認証資産であるにもかかわらず、管理の優先順位が下がります。今回のように大規模な漏えいが起きると、その弱点が一斉に表面化します。

便乗詐欺も現実的な脅威です。警察庁は、フィッシングメールでは「個人情報の漏えい」「不正アクセス検知」「取引停止」などの不安をあおる文面が使われると注意しています。今回も、パスワード変更を促す正規メールと、偽サイトに誘導する詐欺メールが混在しやすい状況です。利用者が焦ってメール内リンクを押せば、漏えいしたパスワードとは別に、現在使っている新しい認証情報まで奪われかねません。

この連鎖を断つには、利用者側の行動を単純化する必要があります。メール内のリンクからではなく、ブックマーク、公式アプリ、検索ではなく手入力した公式サイトから設定画面へ入ることです。対象ISPから通知が来た場合も、本文のURLではなく公式サイト上の重要なお知らせを起点に確認します。古いメールアドレスを他サービスの登録先にしている場合は、登録先を棚卸しし、パスワードをサービスごとに変えることが必要です。

共通基盤運用と復旧長期化の盲点

ゼロデイ脆弱性と第三者製ソフトの管理責任

KDDIは、今回の不正アクセスが第三者製ソフトウェアの脆弱性を悪用されたものだと説明しています。さらに、同社が確認した2026年6月17日時点では、ソフトウェアベンダーも認識していない脆弱性だったとしています。一般に、提供元も未把握の脆弱性を悪用される場合、予防だけで完全に防ぐのは難しく、検知、封じ込め、影響範囲の特定、顧客対応まで含めた運用力が問われます。

KDDIは6月17日にシステムを改修し、6月21日までに外部通信を制御する全サーバーへEDRを導入したと説明しました。6月23日には第三者機関によるフォレンジック調査で、当該脆弱性以外の不審な痕跡がないことを確認したとも公表しています。対策としては、設計書やプログラムの分析にAIなどを活用し、潜在的な問題を網羅的に確認するとしています。

ただし、ここで終わらせると「未知の脆弱性だから仕方ない」という理解に流れます。産業システムの観点では、外部部品を使うこと自体が悪いのではありません。重要なのは、どの部品がどの機能とデータに接続され、脆弱性が出たときにどの範囲へ波及し、どのログで異常を検知できるかを設計段階から管理することです。共通基盤は効率を高める一方、事故時には被害をまとめて拡大させます。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向け脅威として「サプライチェーンや委託先を狙った攻撃」と「システムの脆弱性を悪用した攻撃」が上位に挙げられています。今回の事案は、第三者製ソフト、共通メール基盤、複数ISP、利用者の認証情報が一本の線でつながった典型的な供給網リスクです。

休眠アカウントと古い通信規格の残存

もう一つの課題は、メールという古いインフラの運用制約です。ISPメールは、長年使われてきたメールソフト、POP、IMAP、SMTP認証、Webメール、迷惑メール対策を支えます。利用者の中には、古い端末や古いメールソフトを使い続ける人もいます。認証方式を急に強化すれば、サポート負荷や利用不能の問い合わせが増えるため、事業者は慎重になりがちです。

KDDIは今後、ISP事業者とともに、よりセキュリティ強度の高い通信規格への移行を早期に進めるとしました。この方向性は妥当です。ただし、移行には「古い利用者を切り捨てないこと」と「古い方式を永遠に残さないこと」の両立が必要です。製造設備の更新と同じで、老朽設備を残すほど日々の運用は楽に見えますが、事故時の損失は大きくなります。

休眠アカウントの整理も不可欠です。使われていないメールボックスや古い転送設定は、利用者にとって意識されないまま攻撃面になります。一定期間利用がないアカウントには、通知、段階的な機能制限、削除または再認証を組み合わせるべきです。事業者側は、単にパスワードを強くするだけでなく、不要な認証資産を減らす設計へ進む必要があります。

強制変更で表面化した利用者導線の弱点

今回の対応では、多くの事業者がパスワードの変更依頼、無効化、強制変更を実施しました。ニフティは6月26日から未変更アドレスのパスワード無効化を進め、ビッグローブ、STNet、中部テレコミュニケーションも一両日中の完了見込みとして強制変更やリセットを進めました。JCOMは、パスワード漏えい対象者のリセット完了を公表し、KDDIウェブコミュニケーションズもCPIの一部プランで強制変更を予定しました。

この措置は必要ですが、利用者側には別の負担を生みます。メールソフトの再設定、スマートフォンのアカウント更新、古い控え書類の確認、家族や法人内の複数アドレスの棚卸しが必要になるためです。特に法人メールやレンタルサーバーのメールでは、担当者が退職していたり、管理画面の権限が分からなかったりするケースがあります。安全対策そのものが業務停止に近い影響を持つ場合もあります。

事業者に求められるのは、単なる「変更してください」ではありません。対象判定、正規通知の見分け方、メールソフト別の再設定手順、問い合わせ窓口の混雑状況、法人管理者向けの一括確認方法を、同じページで迷わず確認できるようにすることです。復旧導線が複雑だと、利用者は検索結果やメール内リンクに頼り、かえって便乗フィッシングへ誘導されやすくなります。

今後は、パスワード変更の完了率だけでなく、どれだけ安全に変更できたかが問われます。警察庁やフィッシング対策協議会が指摘するように、正規メールであってもリンクを押させる運用は詐欺と見分けにくい面があります。事業者は、重要手続きではメール本文に直接ログインリンクを置かず、公式サイトやアプリからの導線を明確にする運用へ改めるべきです。

個人と企業が今すぐ点検すべき認証資産

利用者が最初にすべきことは、対象ISPの公式サイトで自分のメールアドレスが対象か確認し、メールパスワードを変更することです。同じパスワードを他サービスで使っている場合は、そちらも別々の強いパスワードへ変えます。メール内リンクからではなく、公式サイト、公式アプリ、ブックマークから入ることが重要です。

次に、古いプロバイダーメールを登録しているサービスを洗い出します。金融、通販、SNS、クラウド、仕事用ツールの復旧メールが残っているなら、現在管理できるアドレスへ移すか、多要素認証を設定します。使っていないメールアドレスは、放置せず削除や無効化を検討すべきです。

企業側は、共通基盤に置いている認証情報の一覧化、第三者製ソフトの部品表管理、休眠アカウントの棚卸し、強制リセット時の顧客導線を点検する必要があります。メール基盤は古い技術に見えても、いまなお社会の認証インフラです。今回のKDDI事案は、便利な共通化の裏側にある単一障害点と、パスワード依存から抜け出す必要性を示す警告です。

参考資料:

• KDDI ISP事業者向けメールシステムに対する不正アクセスの発生について
• KDDI ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告
• KDDIウェブコミュニケーションズ 当社メールサービスに対する不正アクセスの発生に関するお詫びとご報告
• CPI 弊社メールサービスへの不正アクセスに伴うお客さま影響確定のお知らせ
• JCOM （更新）当社メールサービスに対する不正アクセスの発生について
• STNet 弊社メールサービスへの不正アクセス事案に関するお詫びとご報告
• 中部テレコミュニケーション コミュファ光・ビジネスコミュファのメールサービスに対する不正アクセスの発生に関するお詫びとご報告
• ニフティ 〖第二報〗当社メールサービスへの不正アクセスについて
• BIGLOBE 「BIGLOBEメール」への不正アクセス発生のお詫びとご報告（第二報）
• フィッシング対策協議会 国内ISPの認証情報を不正利用して送信されたフィッシングメール
• IPA 情報セキュリティ10大脅威 2026
• IPA 不正ログイン対策特集ページ
• 警察庁 フィッシング対策
• JPCERT/CC Webメールサービスのアカウントを標的としたフィッシングに関する注意喚起