01
1か月、気づかれなかった侵入
事件の概要
- 被害
- KDDIがプロバイダ向けに提供するメールシステム（6社が利用）
- 発覚・公表
- 2026年6月17日に確認、6月23日に公表
- 規模
- メールアドレス12,231,954名、うちパスワードも7,616,173名
- 原因
- 他社製ソフトウェアの脆弱性（開発元も未認識だったもの）。製品名は未公表
- 対応
- 当日中に改修、各社でパスワードの強制変更、総務省へ報告
- 2026/05/16
一部のプロバイダで不正アクセスが始まる
この時点では、だれも気づいていません。
- 2026/06/17
不正アクセスを確認し、その日のうちに改修
原因は、システムに組み込んでいた他社製ソフトウェアの脆弱性。開発元もまだ知らなかった弱点でした。
- 2026/06/23
最大1,422万件として公表
前々日の21日には、全サーバーに監視のための仕組み（EDR）を入れています。
- 2026/06/24
総務省が報告を求める
電気通信事業法にもとづく報告徴収。KDDIは7月6日に報告書を出し、調査結果を公表しました。
- 2026/07/21
人数を訂正して確定
メールアドレスの漏えいは12,231,954名、そのうちパスワードも漏れたのは7,616,173名。
影響を受けた6つのサービス
メールアドレスの末尾が下のプロバイダのものなら、対象だった可能性があります。auのメールは別の設備のため影響はありませんでした。
- BIGLOBE（ビッグローブ）
- @nifty（ニフティ）
- J:COM（JCOM）
- コミュファ光（中部テレコミュニケーション）
- ピカラ（STNet）
- CPI（KDDIウェブコミュニケーションズ）
12231954名
7616173名
02
プロバイダのメールを、仕事で使っているなら
メールのパスワードは、ほかのサービスのパスワード再設定にも使われます。メールを握られると、そこから芋づる式に入られかねません。漏れたアドレスは、本物そっくりの偽メールの宛先にも使われます。
メールを守る4つ
- 1変更のお願いが来たら、すぐ従うプロバイダからパスワード変更の案内が届いたら、後回しにしない。案内の真偽は公式サイトで確かめます。
- 2メールのパスワードを使い回さないほかのサービスと同じパスワードなら、そちらも変えます。
- 3仕事のメールは自社ドメインでプロバイダのアドレスは、乗りかえや事故の影響をそのまま受けます。取引先に伝えるアドレスは自社ドメインに。
- 4自社ドメインのなりすまし対策SPF・DMARCを設定すると、自社を名乗る偽メールを受け取った側が見分けやすくなります。
自社ドメインのメール、なりすましに備えていますか
ドメインを入力するだけで、SPF・DMARCなどメールの守りを含めて無料で点検します。
出典
- KDDI「ISP 事業者向けメールシステムに対する不正アクセスの発生について」（2026年6月23日）
- KDDI「ISP 事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」（2026年7月6日、7月21日更新）
- 総務省「KDDI株式会社に対する報告徴収」（令和8年6月24日）
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。