KDDIのメール情報漏えい｜ISP6社に広がった不正アクセスの原因と影響

会社で使っているメールを外部サービスに任せていても、思わぬところに弱点が潜んでいることがあります。

2026年、KDDIがISP事業者向けに提供しているメールシステムが不正アクセスを受け、約1,223万人のメールアドレスの漏えいが確認されました。

原因となったのは、メールシステムの一部に使われていた第三者製ソフトウェアの脆弱性です。

法人向けのメールサービスも被害を受けており、「大手企業の話だから関係ない」とは言い切れません。

今回は、KDDIの事例から何が起きたのか、自社では何を確認しておきたいのかをわかりやすくご紹介します。

KDDIのメールシステムで何が起きた？

今回、不正アクセスを受けたのは、KDDIがISP事業者向けに提供しているメールシステムです。

ISPとは、インターネット接続やメールなどのサービスを提供する事業者を指します。

利用者はニフティやBIGLOBEなどの事業者と契約していますが、そのメール機能を支えるシステムの一部をKDDIが提供していました。

不正アクセスの対象となったメールサービスの提供事業者は、次の6社です。

• STNet
• KDDIウェブコミュニケーションズ
• JCOM
• 中部テレコミュニケーション
• ニフティ
• ビッグローブ

KDDIウェブコミュニケーションズが提供する法人向けレンタルサーバー「CPI」のメールサービスも対象に含まれています。

一方、auメール、UQ mobileメール、au one netメールについては別の設備を使用しており、KDDIは今回の不正アクセスによる影響はないと説明しています。

同じようなサイバー攻撃の事例は、サイバー攻撃の事例一覧でも確認できます。

KDDIの不正アクセスの原因・被害・対応

ここからは、今回の不正アクセスがなぜ起きたのか、どのような被害が確認されたのか、その後どのような対応が行われたのかを見ていきましょう。

なぜ不正アクセスされたの？

原因は、KDDIのメールシステムの一部に使われていた第三者製ソフトウェアの脆弱性です。

脆弱性とは、ソフトウェアなどに存在する、サイバー攻撃に悪用されるおそれがある弱点を指します。

KDDIによると、不正アクセスを確認した2026年6月17日の時点では、ソフトウェアの提供元もその脆弱性を認識していませんでした。

ソフトウェアの製品名や詳しい攻撃方法、攻撃者については公表されていません。

どんな被害が出た？

KDDIの調査では、12,231,954名、約1,223万人のメールアドレスの漏えいが確認されています。

そのうち、7,616,173名、約762万人についてはパスワードの漏えいも確認されました。

さらに、総務省や個人情報保護委員会は、約762万人のメールボックス内の情報が第三者から閲覧できる状態になっていたとしています。

ですが、これは実際にメールの中身が読まれたことまで確認されたという意味ではありません。

また、被害の内容はサービスによって異なり、「CPI」や「J:COM NET」ではパスワードの漏えいは確認されていません。

KDDIはどのように対応した？

KDDIは2026年6月17日に不正アクセスを確認し、同日にメールシステムを改修しました。

その後、対象となった事業者では、利用者へのパスワード変更の案内や、変更されていないパスワードの無効化・リセットなどが進められています。

KDDIは不審な動きを監視する仕組みも追加し、再発防止に向けた対策を行いました。

その後、総務省や個人情報保護委員会からも、アクセス制御やセキュリティ対策などについて指導を受けています。

主な流れは次のとおりです。