KDDI

日本の通信大手KDDIは、国内の5社のインターネットサービスプロバイダー（ISP）が利用しているメールプラットフォームが攻撃者に侵害され、数百万人のメールアドレスとパスワードが流出したことを明らかにした。

KDDIは、従業員数4万5,000人、年間売上高324億ドルを誇る、日本第2位の携帯電話通信事業者である。

同社は先月、6月17日にこの事案を発見した後、攻撃者のアクセスを遮断し、防御措置を講じたと明らかにしたほか、この侵害がSTNet、JCOM、中部テレコムC、ニフティ、BIGLOBEといったISP事業者に影響を及ぼしたことを明らかにした。

image

KDDIはさらに、この事件により、現在および過去の顧客、ならびに休眠アカウントのメールアドレスとパスワードが最大1,422万件漏洩した可能性があると付け加えた。 また、一部のパスワードはハッシュ化および／または暗号化された形式で保存されていた（これによりアカウント乗っ取りへの悪用が困難になる）と指摘したが、平文で保存されていたアカウントの数や、どのような種類の暗号化が使用されていたかについては明らかにしなかった。

7月6日の更新情報で、KDDIは、攻撃者がサードパーティ製ソフトウェアのゼロデイ脆弱性を悪用し、5月16日にプラットフォームへの侵入に成功したことを明らかにした。

「調査の結果、当社が確認した2026年6月17日時点で、この脆弱性はソフトウェアベンダーによって認識されていなかった」とKDDIは述べた。「ソフトウェアベンダーは、この脆弱性を公的機関に報告しており、情報の開示に向けて取り組んでいる。」

1,200万件以上のメールアドレスが流出

攻撃者により12,233,087人のメールアドレスと7,616,173人のパスワードが不正に取得されたことを受け、この通信大手は現在、影響を受けたメールアカウントのセキュリティ確保に取り組んでいる。

「現在、影響を受けたお客様のメールアカウントのパスワード変更を進めています。これまでに、主にメールサービスを頻繁に利用されている多くのお客様が、すでにパスワードを変更済みです」と同社は述べた。

「さらに、メールサービスを頻繁に利用しないお客様のセキュリティを確保するため、ISPプロバイダーに対し、1～2日以内にパスワードの強制変更を完了させるよう働きかけています。」

この攻撃を受けて、KDDIは今後の侵入試行を検知するためにエンドポイント検知・対応（EDR）ソフトウェアを導入しており、6月23日のフォレンジック監査により、悪用された脆弱性は修正済みであり、システムが他のセキュリティ問題の影響を受けていないことが確認されたと述べた。

また、KDDIは侵害の発見後、個人情報保護委員会および総務省に報告しており、現在、影響を受けたISP各社と連携して、今回の情報漏洩に起因するリスクを軽減するためのセキュリティ対策を実施している。