KDDI、760万人分のパスワード流出が確定 ― ISPメールシステム不正アクセスが突きつける「サードパーティ脆弱性」という死角
リード
2026年7月6日、KDDIは自社がインターネットサービスプロバイダー（ISP）向けに提供しているメールシステムへの不正アクセスについて、被害の全容を確定させたと発表した。漏えいが確認されたのはメールアドレス約1223万3087件、パスワード約761万6173件。6月17日の不正アクセス検知、6月23日の第一報（最大1422万件の可能性）を経て、約2週間で被害規模が確定情報として公表された形だ。対象は@niftyやBIGLOBEメールなど、KDDIが裏側でシステムを支える6社のメールサービス利用者に及ぶ。今回の事案が際立つのは、原因が自社システムの不備ではなく「第三者製ソフトウェアの脆弱性」、しかもKDDI確認時点ではベンダー自身も把握していなかった、いわゆるゼロデイに近い欠陥だった点だ。通信インフラの根幹を支える大手キャリアであっても、外部委託・外部製品への依存が思わぬ形で数百万人規模の個人情報漏えいにつながることを、この事案は改めて示している。
背景：何が起きたのか
KDDIは、自社が直接運営するauブランドの通信サービスとは別に、地方通信事業者やケーブルテレビ事業者向けにメールシステムを提供するBtoBの事業を手がけている。今回問題となったのはこの法人向けメールシステムで、2026年6月17日に不正アクセスを確認した。原因はシステムの一部に組み込まれていた第三者製ソフトウェアの脆弱性で、KDDIによれば確認当時、ソフトウェアベンダー自身もこの脆弱性を認識していなかったという。KDDIは検知当日にシステム改修を行い、被疑箇所の特定と技術的な防御措置を実施したと説明している。
6月23日の時点でKDDIは、最大1422万件のメールアドレスおよびパスワードが漏えいした可能性があると第一報を発表。この数字には現在利用中のアカウントだけでなく、すでに解約したユーザーや長期間利用のない休眠アカウントも含まれていた点が特徴的だった。そして7月6日、調査の進展を受けて数値が確定情報として更新され、メールアドレス約1223万件、パスワード約761万件という規模が明らかになった。なお、au携帯電話サービスやUQ mobile、au one net メールは異なる基盤で運用されているため、今回の不正アクセスによる直接的な影響はないとされている。
詳細1：対象となった6社とサービス
影響を受けたのは、KDDIが裏側でメールシステムを提供する以下の事業者・サービスだ。
・ニフティ：@niftyメール
・ビッグローブ：BIGLOBEメール
・STNet：「ピカラ光サービス」「ピカラモバイルサービス」等に係るメールサービス
・KDDIウェブコミュニケーションズ：レンタルサーバー「CPI」のメールサービス
・JCOM：「J:COM NET」およびケーブルテレビ事業者向けメールサービス
・中部テレコミュニケーション：コミュファ光・ビジネスコミュファのメールサービス
いずれも一般消費者が日常的に使う地域密着型のインターネット接続サービスであり、利用者の多くは自分の契約先がKDDIのシステムに依存していることを意識していなかった可能性が高い。BtoBの委託構造が持つ「見えないリスク」が、消費者に直接跳ね返った典型例と言える。漏えいしたパスワードの一部はハッシュ化・暗号化されていたとKDDIは説明しているが、平文に近い形式のものが含まれていた可能性も排除できず、対象ユーザーには速やかなパスワード変更が呼びかけられている。
詳細2：ゼロデイ脆弱性という「防ぎようのなさ」
今回の事案で専門家の関心を集めているのは、悪用された脆弱性がKDDI確認時点でソフトウェアベンダーにも未知だったという点だ。一般的な脆弱性対応では、ベンダーが脆弱性を公表し修正パッチを配布、利用企業がそれを適用するという順序をたどる。しかし今回は、攻撃側が先にこの欠陥を発見・悪用し、KDDI側が不正アクセスの結果としてはじめて脆弱性の存在を把握するという、防御側にとって極めて不利な展開になった。KDDIは脆弱性の内容について公的機関への届け出が進められているとしており、詳細は今後、ソフトウェアベンダーからの情報公開を待つ形になる。
この点は、大企業がどれほど自社のセキュリティ体制を強化しても、外部から調達したソフトウェアやライブラリに未知の欠陥が潜んでいれば防ぎきれないという、サプライチェーンセキュリティの根本的な課題を浮き彫りにした。KDDIは今回、全サーバーへの不正アクセスの有無を6月21日までに確認し、第三者機関による調査でも他に不正な侵入がないことを確認したとしている。加えて、AIを活用したソフトウェアの脆弱性プログラム解析を導入し、継続的かつ網羅的にチェックする体制や、プロバイダーとともにセキュリティレベルの高い通信規格への移行を早めるといった再発防止策を掲げている。
詳細3：相次ぐ通信・IT業界の情報漏えいという構造問題
KDDIの事案は、2026年に入ってから日本の通信・IT業界で相次いでいる大規模情報漏えいの一つとして位置づけられる。LINEヤフーは3月28日にLINEアプリを狙った不正ログイン試行を公表したほか、従業員などの個人データ約5万7611件が不正アクセスにより流出した可能性があると発表している。またJCOM（J:COM）は、メッシュWi-Fiサービスの利用者について、提携先である米Plume Design社への外部不正アクセスを通じ、メールアドレスなど最大22万件の個人データが漏えいした可能性があると公表した。ソフトバンクでも同種の不正アクセス事案が報じられている。
これらの事案に共通するのは、自社が直接開発・運用するシステムだけでなく、業務委託先や連携先、組み込みソフトウェアといった「外部依存部分」が攻撃の起点になっている点だ。通信キャリアやISPは膨大な数の利用者データを預かる立場にありながら、実際のサービス提供は多層的な委託・提携関係の上に成り立っている。今回のKDDIの事案も、KDDIそのものではなく、KDDIが裏側で支える中小ISP事業者のサービス利用者が被害を受けた点で、この構造的な脆弱性を象徴している。個人情報保護委員会や総務省への報告・相談が今回も行われており、行政側の監督体制がこうした「間接被害」にどこまで実効的に対応できるかも今後の論点となる。
影響・今後
利用者に求められる直接的な対応は、対象サービスのパスワード変更だ。KDDIおよび各ISPは対象ユーザーへの連絡を進めており、同じパスワードを他のサービスでも使い回している場合は、それらすべてを変更することが望ましい。パスワードとメールアドレスの組み合わせが流出した場合、フィッシング詐欺や他サービスへの不正ログイン試行（パスワードリスト攻撃）に悪用されるリスクが高まる。特に休眠アカウントの利用者は、自分が影響を受けていることに気づきにくい点にも注意が必要だ。
企業側の課題としては、委託先・調達先のソフトウェアに対する継続的な脆弱性管理の強化が急務となる。従来の「パッチが出たら適用する」という受け身の対応だけでなく、AIを活用した脆弱性の事前検知や、通信インフラ全体でのセキュリティ水準の底上げが求められている。また今回のように、直接契約関係のないエンドユーザーが被害を受けるケースでは、被害の通知や補償のあり方についても社会的な議論が必要になるだろう。総務省や個人情報保護委員会による行政指導の内容、そしてKDDIが今後どのような再発防止策を具体的に実行していくかは、他の通信事業者にとっても重要な参考事例になる。
まとめ
KDDIのISP向けメールシステムへの不正アクセスは、約761万人分のパスワードと約1223万件のメールアドレスという極めて大規模な情報漏えいに発展した。原因はKDDI自身の不備というより、組み込まれた第三者製ソフトウェアの未知の脆弱性であり、防御の難しさを改めて突きつけた。同時に、LINEヤフーやJCOMなど同時期に相次ぐ他社の漏えい事案と合わせて見れば、これは一企業の問題にとどまらず、委託・提携関係が複雑に絡み合う日本の通信インフラ全体が抱える構造的なリスクだと言える。利用者はまず自衛策としてパスワード変更を徹底し、企業と行政は、目に見えにくい「外部依存の連鎖」にどう向き合うかを問われている。
参考ソース
- KDDI株式会社 報道発表資料「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」（2026年7月6日）
- ITmedia Mobile「KDDIのメールシステム不正アクセス、約1223万件のアドレス／約762万のパスワードが漏えい パスワード強制変更へ」（2026年7月6日）
- ケータイWatch「KDDI基盤に不正アクセス、ニフティやビッグローブなど最大1422万件のメール・パスワード漏洩の可能性」（2026年6月23日）
- 朝日新聞「761万人のパスワード流出を確認 KDDI、不正アクセスで」（2026年7月6日）
- 日本経済新聞「KDDI、761万人分のパスワード漏洩確認 不正アクセスで」（2026年7月6日）
- Yahoo!ニュース／ITmedia NEWS「KDDI、パスワード760万人分漏えい メアドも1220万人分」（2026年7月6日）