Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-jcom通信最終確認 2026-10-14 17:47

JCOMメールサービスへの不正アクセス（KDDI提供メール基盤の脆弱性悪用、約259万名分のメールアドレス漏えい）

公表日

JCOM株式会社
続報あり不正アクセス脆弱性悪用サプライチェーンサプライチェーン：波及先

JCOMのメールサービスで、KDDIのメール基盤への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により、利用者のメールアドレスが漏えいしました。J:COM NETで2,473,191名、ケーブルテレビ事業者向けで118,752名のメールアドレス漏えいが確認されました。

対象者は？

「J:COM NET」のメールサービスを使う一部のお客さまと、JCOMがケーブルテレビ事業者に卸しているメールサービスを使う一部のお客さまです。確認された漏えいは、J:COM NETでメールアドレスのみ（2,473,191名）、ケーブルテレビ事業者向けでメールアドレス（118,752名）で、うち1,257名はパスワードも漏えいしました。J:COM NETでは、氏名やパスワードなど他の個人情報の漏えいは確認されていません。

対象のお客さまには、JCOMから2026年6月24日以降、メールで個別に案内されています。心当たりがある場合は、J:COMカスタマーセンター（0120-998-809、年中無休9:00〜18:00）に問い合わせてください。

JCOM 第一報（2026年6月23日） ↗JCOM 更新（7月21日訂正を含む） ↗JCOM お客さま向けお知らせ（更新） ↗

いますぐできること

  • JCOMから届いた個別の案内メールがあれば内容を確認し、パスワード再設定の案内があれば従う。
  • メールアドレスのみ漏えいした場合も、JCOMは、より安全性の高いパスワードへの変更を案内しているため、変更を検討する。
  • 同じパスワードを他のサービスでも使っている場合は、そちらも変更する。

何が起きたのか

JCOMのメールサービスが使っているのは、KDDIが開発した事業者向けのメールシステムです。このシステムの中の他社製ソフトウェアの弱点を突かれ、2026年5月16日から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が発生していました。KDDIが6月17日に確認し、その日のうちにシステムを直しました。JCOMは6月18日にKDDIから連絡を受け、6月23日に公表しました。その後の調査で、メールアドレスの漏えいが確認されました。KDDIのシステム全体では、メールアドレス12,231,954名、うちパスワード7,616,173名の漏えいが確認されています。JCOMのほか5社のメールサービスも対象でした。

なぜ起きたのか・なぜ広がったのか

KDDIが提供するメールシステムの一部だった第三者製ソフトウェアに弱点があり、悪用されました。この弱点は、KDDIが確認した6月17日の時点では、ソフトウェアの開発元も把握していないものでした。ソフトウェアの名前や弱点の詳しい内容は、まだ発表されていません。同じシステムを複数の会社が使っていたため、JCOMを含む6社に影響が出ました。JCOMのサービスは、ケーブルテレビ事業者にも提供されているため、そのお客さまにも影響しました。

いまの状況2026-07-29 時点続報待ち

JCOMは、メールアドレスとパスワードが漏えいした対象のお客さま全員のパスワードリセットを、2026年7月21日に完了したと発表しました。メールアドレスのみ漏えいしたお客さまには、強制的な変更はせず、より安全なパスワードへの変更を案内しています。KDDIは、システムの修正や、サーバーへの検知ソフトの導入などを進めています。総務省は7月29日、KDDIに文書で行政指導を行いました。JCOMは、セキュリティ対策と個人情報の管理体制を強化するとしています。原因や再発防止策の詳しい内容は、KDDIの発表を参照するよう案内しています。攻撃した者については、まだ発表されていません。

企業として考えたいこと

自社のメールやシステムの一部を外部の事業者が提供している場合、その事業者で事故が起きたときに、自社のお客さまへ何日以内に連絡して案内できる体制になっていますか。

技術的な要約

JCOMのメールサービス（J:COM NETおよびケーブルテレビ事業者向けISP卸メール）が基盤として利用するKDDI開発のISP事業者向けメールシステムで、導入されていた第三者製ソフトウェアの脆弱性を悪用した不正アクセスが2026年5月16日から発生していた。KDDIは6月17日に確認して同日システムを改修し、JCOMは6月18日に第一報を受け、6月23日に公表した。JCOMではJ:COM NETで2,473,191名、ケーブルテレビ事業者向けで118,752名（7月21日訂正）のメールアドレス漏えいが確認され、パスワード漏えいはケーブルテレビ事業者向けの1,257名である。KDDIシステム全体では最大1,422万件の可能性から、メールアドレス12,231,954名・パスワード7,616,173名の確認へ更新された。JCOMはメールアドレスとパスワードが漏えいした対象者のパスワードリセットを7月21日に完了し、総務省は7月29日にKDDIへ文書による行政指導を行った。

侵入
2026-05-16
被害発生
2026-05-16
検知
2026-06-17
第1報公表
2026-06-23
最新続報
2026-07-29
侵入 → 検知
32日
侵入日から算出
検知 → 公表
6日
データ（上限）
259.2万人
確定 2,591,943
波及先
—

攻撃の分類

侵入口
公開サーバの脆弱性公表で確認
KDDIが本システムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたもの（製品名・CVEは非公表）。KDDIが確認した6月17日時点ではソフトウェアベンダーが認識していない脆弱性で、ベンダーは公的機関へ届け出を行い情報公開に向けて取り組んでいる。
脆弱性
CVE 非公表公表で確認
KDDIのISP事業者向けメール基盤に導入されていた第三者製ソフトウェア（製品名非公表）
2026年6月17日時点でベンダー未認識の脆弱性。報道（ScanNetSecurity関連記事見出し）ではゼロデイ脆弱性の悪用とされている。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1114 Email Collection

影響

業務停止
あり 初期調査でパスワード漏えいの可能性を否定できなかったため、一部のお客さまのパスワードを予防的に無効化し、利用できなくなったお客さまにはパスワード再設定を依頼した。7月13日時点でパスワード変更ページはアクセス集中でつながりにくい状況が発生。サービス全体の停止は公表されていない。
データ
確定上限 2,591,943確定 2,591,943人
メール
J:COM NET 2,473,191名＋ケーブルテレビ事業者向け118,752名（7月21日訂正）＝2,591,943名（当ページでの合算）。当初公表のCATV向け119,885名で合算すると2,593,076名（ScanNetSecurity報道の数値）。パスワード漏えいはCATV向けの1,257名（メールアドレス漏えい人数の内数）。J:COM NETでは氏名やパスワードなど他の個人情報の漏えいは確認されていない。パスワードの保存形式（ハッシュ等）の内訳は公表されていない。
波及先
—
  • JCOMがISP卸サービスとしてメールサービスを提供するケーブルテレビ事業者の一部のお客さま（メールアドレス118,752名、うちパスワード1,257名）
  • 同じKDDIメールシステムを利用する他5社（STNet、KDDIウェブコミュニケーションズ、中部テレコミュニケーション、ニフティ、ビッグローブ）でも漏えいが確認された
金銭影響
—
サプライチェーン
JCOMのメールサービスは、KDDIが開発したISP事業者向けメール基盤を利用している。KDDIシステムの脆弱性悪用の影響を受け、JCOMはさらにケーブルテレビ事業者へ卸提供しているメールサービスの利用者にも影響が及んだ。

時系列

  1. 2026-05-16
    JCOMのメールサービスで、KDDIメールシステムの第三者製ソフトウェアの脆弱性を悪用した不正アクセスが発生（KDDIが認識するのは6月17日）。79
  2. 2026-05-29
    ニフティ（同じKDDIシステム利用）でメールシステムに急激な負荷上昇が発生。IMAP経由の不正ログインを疑い該当者へ通知。4
  3. 2026-06-17
    KDDIが不正アクセスを確認し、同日システムを改修して脆弱性へ対処、不正アクセス被疑箇所を特定し技術的な防御措置を実施。897
  4. 2026-06-18
    JCOMがKDDIからの第一報により本事案を把握。67
  5. 2026-06-21
    JCOMがKDDIからお客さま情報漏えいの可能性について正式な報告を受領。KDDIは外部通信を制御する全サーバーへのEDR導入を完了。79
  6. 2026-06-23
    KDDIとJCOMが本件を公表（KDDI側は6事業者で最大1,422万件の漏えい可能性）。KDDIは第三者機関のフォレンジックで本脆弱性以外の不審な痕跡がないことを確認。25689
  7. 2026-06-24
    総務省がKDDIに電気通信事業法第166条第1項に基づく報告を要求。JCOMは対象のお客さまへの個別メール案内を開始。910
  8. 2026-07-06
    KDDIが続報を公表しメールアドレス1,223万件超・パスワード761万件超の漏えいを確認、総務省へ報告書を提出。JCOMも続報を公表（J:COM NET 247万3191件、CATV向け11万9885件・パスワード1257件）。3912
  9. 2026-07-10
    JCOMがお知らせを更新。漏えいが確認された情報はメールアドレスのみ（J:COM NET）で、パスワード漏えいは確認されていないと案内。10
  10. 2026-07-21
    JCOMが更新。CATV向けメールアドレス漏えい人数を118,752名に訂正し、対象のお客さま全員のパスワードリセット完了を報告。KDDIも総数を12,231,954名に訂正。79
  11. 2026-07-29
    総務省がKDDIへ文書による行政指導を実施。13

技術解説

攻撃の構造：KDDI提供のメール基盤にある第三者製ソフトの脆弱性 事実

JCOMのメールサービスは、KDDIが開発したISP事業者向けメール基盤を利用している。この基盤はアカウント管理、メール送受信、Webメール、メールデータ保存を一体で提供する。不正アクセスは、KDDIが基盤の一部として導入していた第三者製ソフトウェアの脆弱性を悪用したものと公表されている。JCOMでは2026年5月16日から発生していた。KDDIが確認したのは6月17日で、同日に基盤を改修して脆弱性へ対処した。この脆弱性は、6月17日時点ではソフトウェアベンダーが認識していないものだった。ベンダーは公的機関へ届け出て、情報公開に向けて取り組んでいる。製品名とCVE番号は公表されていない。

漏えい人数の推移と内訳 事実

KDDIは6月23日、6事業者で最大1,422万件が漏えいした可能性があると公表した。7月6日の続報で、確認された漏えいはメールアドレス約1,223万件、パスワード約761万件となった。7月21日の訂正後は、メールアドレス12,231,954名、パスワード7,616,173名である。JCOMでは、J:COM NETのメールアドレス漏えいが2,473,191名。ケーブルテレビ事業者向けは、当初の119,885名から118,752名に訂正され、うちパスワードも漏えいしたのは1,257名である。J:COM NETでは氏名やパスワードなど他の情報の漏えいは確認されていない。パスワードの保存形式の内訳は公表されていない。

JCOMの対応と公表の経過 事実

JCOMは6月18日にKDDIから第一報を受け、6月21日に漏えいの可能性について正式な報告を受けた。6月23日に公表し、6月24日から対象のお客さまへメールで個別に案内した。初期調査ではパスワード漏えいの可能性を否定できなかったため、一部のお客さまのパスワードを予防的に無効化した。その後の調査で、J:COM NETではメールアドレスのみの漏えいと確認された。7月13日時点では、パスワード変更ページにアクセスが集中し、つながりにくい状況があった。7月21日には、メールアドレスとパスワードが漏えいした対象のお客さま全員のパスワードリセットが完了した。原因と再発防止策の詳細は、KDDIの発表を参照するよう案内している。

共通基盤を介して影響が広がった構造 解釈

この事案では、1つの基盤の脆弱性が、基盤を利用する複数の事業者に同時に及んだ。影響を受けたのは、JCOMのほか5社のメールサービスである。JCOMの場合は、さらにケーブルテレビ事業者へのISP卸サービスの利用者にも及んだ。基盤が複数の事業者に共通で、しかも卸提供で多段になっていたことが、影響範囲を大きくした一因と考えられる。解約済みや休眠の利用者の情報も対象に含まれた点も、件数が大きくなった要因とみられる。発生から確認までは約1か月あった。ただし、検知の難しさや事業者ごとの監視の違いについては、公表資料から判断できない。

対応

封じ込め
KDDIは2026年6月17日に被害拡大防止のためシステムを改修し脆弱性へ対処、被疑箇所を特定して技術的防御措置を実施。6月21日に外部通信を制御する全サーバーへEDR導入を完了し、6月23日に第三者機関のフォレンジックで本脆弱性以外の不審な痕跡がないことを確認した。JCOMは初期調査でパスワード漏えいを否定できなかったため一部のお客さまのパスワードを予防的に無効化し、メールアドレスとパスワードが漏えいした対象者のパスワードリセットを7月21日に完了した。メールアドレスのみ漏えいした対象者へは個別に連絡し、強制変更は行わずより安全性の高いパスワードへの変更を案内している。
公表の仕方
JCOMは2026年6月23日に第一報を公表し、7月6日に続報、7月10日と7月21日に更新した（CATV向け人数の訂正、パスワードリセット完了）。KDDIは6月23日に公表、7月6日に続報を公表し、7月21日に人数を訂正した。JCOMは原因・再発防止策の詳細はKDDIの報道発表を参照するよう案内し、セキュリティ対策と個人情報管理体制の強化による再発防止に取り組むとしている。
当局対応
  • 個人情報保護委員会（KDDIが報告・相談を実施。ScanNetSecurityの関連記事見出しでは個人情報保護委員会による行政指導が報じられている）
  • 総務省（KDDIに6月24日に電気通信事業法第166条第1項に基づく報告を要求、7月6日に報告書提出、7月29日に文書による行政指導）

教訓と対策

教訓具体的な対策
共通基盤の脆弱性は、利用する全事業者に同時に影響する。委託先や卸元の基盤について、構成要素（第三者製ソフトを含む）と脆弱性への対応体制を契約や定期確認で把握する。重大事案の連絡経路と連絡までの時間もSLAとして明文化する。
ベンダーが未認識の脆弱性は、パッチ適用だけでは防げない。外部公開サーバにEDRを導入し、不審なログイン・大量認証・負荷上昇を検知する。IMAP/POP/SMTP認証のログを集約し、通常時の水準からの逸脱にアラートを設定する。
漏えいの範囲確定に時間がかかる場合は、最大値で公表したうえで確定値へ更新する方法が有効である。公表時に「可能性の最大値」と「確認済みの件数」を分けて載せ、訂正履歴を明示する。内訳を事業者別・情報種別に整理できるよう、ログとアカウント台帳を突合できる形で保管する。
パスワード漏えいの可能性を否定できない段階では、予防的な無効化と再設定が必要になる。パスワードの一括無効化と再設定の手順を事前に用意する。再設定ページのアクセス集中に備えて、負荷試験を行い、スケール設計とメール以外の案内手段（Webやコールセンター）も準備する。
解約済み・休眠アカウントの情報も流出対象になりうる。解約後のアカウントとパスワード情報の保持期間を定め、期限後は削除またはデータ分離する。パスワードは強度の高いハッシュで保存し、休眠アカウントの定期棚卸しを実施する。

自組織などでの確認項目

  1. 自組織のメールや認証基盤で、外部事業者が提供・開発する部分と、そこで使われる第三者製ソフトの一覧を把握しているか。
  2. 委託先や卸元で重大な不正アクセスが起きたとき、何日以内に自組織へ連絡が届く契約や仕組みになっているか。
  3. 解約済み・休眠の利用者のメールアドレスやパスワードを、いつまで保存しているか。削除ルールは実際に運用されているか。
  4. パスワードの一括リセットが必要になったとき、再設定画面やコールセンターは、短時間の集中アクセスに耐えられるか。

未解明点

  • 悪用された第三者製ソフトウェアの製品名、脆弱性の識別番号（CVE）、攻撃手法の詳細は公表されていない。
  • 攻撃者の特定や目的は公表されていない。
  • JCOMでのパスワードの保存形式（ハッシュ等）の内訳は公表されていない。
  • 発生（5月16日）から確認（6月17日）まで約1か月かかった経緯や、検知が遅れた理由は公表されていない。
  • 漏えいしたメールアドレスが悪用されたかどうかについて、JCOMから公表された情報は確認できない。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14