概要
KDDIは2026年7月6日、同社のメールプラットフォームが第三者によるゼロデイ脆弱性の悪用を受け、メールアドレス約1,223万件・パスワード約761万件を含む顧客情報が流出したと発表しました。攻撃は2026年5月16日に発生し、6月17日の検知・遮断まで約1ヶ月にわたって侵害状態が継続しました。複数の傘下ISPのユーザーを対象とする大規模な不正アクセス事案であり、情シス担当者はパスワードリスト型攻撃への備えを含む対応が急務です。
目次
1. 何が起きたか
KDDIは2026年7月6日付の公式発表において、同社が運営するメールプラットフォームへの不正アクセスを確認し、大量の顧客情報が外部に流出した可能性があると明らかにしました。
タイムライン
| 日付 | 出来事 |
|---|---|
| 2026年5月16日 | 攻撃者がメールプラットフォームで使用していた第三者製ソフトウェアのゼロデイ脆弱性を悪用し、侵入 |
| 2026年6月17日 | KDDIがフォレンジック調査を通じて不正アクセスを検知し、アクセスをブロック |
| 2026年6月23日 | フォレンジック監査にて脆弱性の修正を確認 |
| 2026年7月6日 | KDDIが公式発表。同時に脆弱性の詳細を開示（発表時点でソフトウェアベンダーがゼロデイとして認識していた脆弱性） |
侵害の検知まで約1ヶ月を要しており、その間、攻撃者は侵入した状態でプラットフォームにアクセスし続けていた可能性があります。
2. 被害の規模と影響範囲
流出した情報の件数
| 情報の種類 | 件数 |
|---|---|
| メールアドレス | 12,233,087件（約1,223万件） |
| パスワード | 7,616,173件（約761万件） |
| 影響対象アカウント（最大） | 14,220,000件（約1,422万件） |
パスワードの一部はハッシュ化または暗号化された状態で保存されていましたが、KDDIは具体的なアルゴリズムや暗号方式については非公開としています。
影響を受けたISP
今回の被害は、KDDIの傘下企業・パートナーが運営する以下5つのISPを利用する現行・過去の顧客および休止アカウントに及んでいます。
- STNet
- JCOM
- 中部テレコミュニケーション（CTY-NET / コミュファ光 等）
- NIFTY Corporation（@nifty）
- BIGLOBE
現行顧客だけでなく解約済み・休止中のアカウントも対象であることに注意が必要です。
3. 攻撃手法と脆弱性
ゼロデイ脆弱性の悪用
攻撃者は、KDDIのメールプラットフォームが使用していた第三者製ソフトウェアのゼロデイ脆弱性を悪用しました。ゼロデイ脆弱性とは、ソフトウェアベンダーがまだパッチを提供していない未知の脆弱性であり、被害組織が既存のパッチ適用ポリシーだけでは防御できない点が特徴です。
KDDIによると、2026年7月6日の発表時点でも当該ソフトウェアベンダーはこの脆弱性を認識済みとして対応中であることが示されており、業界全体に対する影響がある可能性があります。
侵害後の動作
公式発表の時点では侵害後に攻撃者がプラットフォーム内でどの範囲にアクセスしたかの詳細は明らかにされていませんが、メールアドレスおよびパスワード情報が含まれるデータベースへのアクセスが行われたと判断されています。
4. KDDIの対応
KDDIは以下の対応を実施・報告しています。
| 対応内容 | 詳細 |
|---|---|
| 検知・アクセス遮断 | 2026年6月17日に不正アクセスを検知し、即座にアクセスをブロック |
| EDR導入済み | KDDIはすでにEDR（Endpoint Detection and Response）ソフトウェアを導入しており、フォレンジック調査に活用 |
| フォレンジック監査 | 2026年6月23日、外部監査によって脆弱性が修正されたことを確認 |
| 監督官庁への報告 | 個人情報保護委員会および総務省へ報告済み |
| 公式発表 | 2026年7月6日、脆弱性の詳細を含む公式プレスリリースを公開 |
KDDIはEDRを事前導入していたことで、フォレンジック調査の精度と速度を高めることができたとしています。ただし、検知まで約1ヶ月を要した点は、EDRだけでは防御できないゼロデイ攻撃の難しさを示しています。
5. 企業・担当者が取るべき対策
本件はメールプラットフォームの侵害によるメールアドレス・パスワード大量流出という、多くの組織が直面しうるシナリオです。情シス担当者として、今すぐ検討すべき対策を以下に整理します。
5-1. パスワードリスト攻撃への備え
流出したメールアドレス・パスワードは、他のサービスへのパスワードリスト型攻撃（クレデンシャルスタッフィング）に使用される可能性があります。
- 多要素認証（MFA）の全面導入 — パスワードが流出しても、MFAが有効であれば不正ログインを大幅に抑止できます
- パスワードポリシーの見直し — 社内で「メールアドレス ＋ 共通パスワード」を使いまわしているユーザーがいないか確認
- Have I Been Pwned 等のチェック — 自社ドメインのアドレスが流出データに含まれているか定期的に確認
5-2. 外部サービス・SaaSの棚卸し
今回侵害を受けたのは第三者製ソフトウェアのゼロデイ脆弱性でした。自社が利用する外部サービス・SaaSについて以下を確認してください。
- 利用中のメール系SaaSやコラボレーションツールの脆弱性情報の購読（ベンダーアドバイザリ・JVN等）
- 利用サービスのインシデント・障害情報を受け取れるか（ステータスページへの登録）
- 第三者サービスが侵害された場合のインシデントレスポンス手順の整備
5-3. EDRの導入検討
KDDIはEDRを事前導入していたことで、フォレンジック調査を迅速に進めることができました。未導入の組織は、以下の観点から導入を検討してください。
- エンドポイント（PC・サーバー）への侵害を早期検知できるか
- インシデント発生時にフォレンジックに活用できるログを収集できるか
- 管理工数を踏まえた適切なツール・運用モデルの選定
5-4. 影響アカウントへの対応
KDDI（または傘下ISP）のメールアカウントを業務用途で使用している場合は、速やかに以下を確認してください。
- 対象ISP（STNet / JCOM / 中部テレコミュニケーション / NIFTY / BIGLOBE）のアカウントが業務に紐づいていないか確認
- 紐づいている場合は、パスワードの即時変更と関連サービスへのクレデンシャルリセット
- 不審なログイン履歴・メール転送設定・フィルタルールがないか確認
6. まとめ
KDDIのメールプラットフォーム不正アクセス事案は、ゼロデイ脆弱性の悪用によって約1,223万件のメールアドレスと約761万件のパスワードが流出した、国内最大規模の情報漏洩事案のひとつです。現行顧客だけでなく解約済みアカウントも対象であることから、影響範囲の広さが際立ちます。
情シス担当者として最優先で対応すべきは、MFAの全面導入とパスワードの使いまわし排除です。流出したクレデンシャルを使った二次攻撃（パスワードリスト攻撃）への対策は、今回の影響有無にかかわらず必要な恒久対策です。また、第三者製ソフトウェアのゼロデイ脆弱性という攻撃手法は、自社が直接管理していないSaaS・外部サービスのリスク管理の重要性を改めて示しています。
自社のメールセキュリティや認証基盤の現状に不安がある場合は、専門家への相談をお勧めします。