KDDIウェブコミュニケーションズ「CPI」メールサービスへの不正アクセス（メールアカウント情報1,250,543件漏えい、KDDIのISP向けメール基盤の脆弱性悪用）
公表日
レンタルサーバー「CPI」のメールサービスで、全プランの顧客のメールアカウント情報1,250,543件の漏えいが確認されました。原因は、CPIが基盤として使っていたKDDIのメールシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。です。
対象者は？
CPIでメールサービスを提供している全プランの顧客が対象です。漏えいが確認されたのはメールアカウント情報1,250,543件です。「ビジネス スタンダード」と「KWCメール」では、ハッシュ化（元に戻しにくい形に変換）されたパスワード情報も漏えいしましたが、平文のパスワードそのものの漏えいは確認されていません。その他のプランはパスワードを別のシステムで管理していたため、パスワードへの影響はありません。
CPIは7月7日から9日にかけて、影響を受けた顧客へ個別にメールで連絡しました。パスワード強制変更の対象アカウントは、管理者用コントロールパネルで確認できます。
いますぐできること
- CPIから届いた個別のお知らせメールと、管理者用コントロールパネルの表示を確認する。
- メールパスワードをまだ変更していなければ変更する。同じパスワードを他のサービスでも使っている場合は、そちらも変更する。
- CPIを装ったフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが出回っているとの注意喚起が出ている。メール内のリンクは開かず、公式の案内を確認する。
何が起きたのか
KDDIが開発し、複数のインターネット事業者に提供していたメールシステムに、第三者が不正にアクセスしました。CPIは、このシステムをメールサービスの基盤として使っていました。KDDIは6月17日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認し、同日中にシステムを改修しました。KDDIウェブコミュニケーションズがKDDIから最初の連絡を受けたのは6月21日です。KDDIは6月23日に、CPIも同日に最初の発表を行いました。7月6日に影響の範囲が確定し、CPIは対象の顧客に個別に連絡しました。CPIへの影響は6月8日から出ていました。
なぜ起きたのか・なぜ広がったのか
KDDIのメールシステムで使われていた第三者製ソフトウェアに脆弱性（弱点）があり、これが悪用されました。KDDIの報告によると、この弱点は6月17日の時点で、ソフトウェアの開発元も把握していないものでした。同じシステムはCPIのほか、JCOM、ニフティ、ビッグローブ、STNet、中部テレコミュニケーションの計6社のメールサービスにも使われており、影響が複数の会社に及びました。ソフトウェアの名前や弱点の詳しい内容は、まだ発表されていません。
いまの状況2026-08-24 時点
2026年8月24日時点で、CPIは調査結果と対応完了を公表しています。新たな被害は確認されておらず、CPIの対象サービスは通常どおり利用できます。CPIは7月21日に、パスワードが未変更だった対象アカウントのパスワードを強制的に変更しました。KDDIは総務省から7月29日に文書による行政指導を受け、再発防止として、第三者製ソフトウェアの設計書とプログラムを詳しく分析する方針です。攻撃者の情報や、個人情報保護委員会の指導の詳しい内容は、まだ発表されていません。
企業として考えたいこと
自社が使っているメールやクラウドの基盤の提供元で事故が起きたとき、自社は何日以内に連絡を受け、利用者にどの行動を案内できる体制になっていますか。
技術的な要約
KDDIが開発しISP事業者へ提供していたメール基盤で第三者製ソフトウェアの脆弱性が悪用され、同基盤をCPIのメールサービスに利用していたKDDIウェブコミュニケーションズの顧客のメールアカウント情報1,250,543件が漏えいした。CPIへの影響は2026年6月8日から発生しており、KDDIは6月17日に不正アクセスを確認して同日システムを改修し、6月21日にCPI側へ第一報を入れ、6月23日に第一報が公表された。「ビジネス スタンダード」と「KWCメール」ではハッシュ化されたパスワード情報も漏えいしたが平文は漏えいしておらず、その他プランはパスワードを別システムで管理していたため影響はない。KDDI全体ではメールアドレス12,231,954名、パスワード7,616,173名の漏えいで、総務省は7月29日にKDDIへ文書による行政指導を行った。CPIは8月24日に調査結果と対応完了を公表し、新たな被害は確認されておらず対象サービスは通常どおり利用できる。
攻撃の分類
- 侵入口
- 委託先経由公表で確認CPIがメール基盤として利用していたKDDIのISP事業者向けメールシステムで、第三者製ソフトウェアの脆弱性が悪用された。悪意のある第三者がKDDI運営の「サーバーA」にアクセスし、サーバーAの脆弱性が悪用された後、別の「サーバーB」に保存されていたメールボックスに紐づくメールアカウント情報が不正に取得された。具体的なサーバー製品名、第三者製ソフトウェア名、脆弱性の技術的内容は公表されていない。
- 脆弱性
- CVE 非公表公表で確認KDDIのISP事業者向けメールシステムで利用されていた第三者製ソフトウェアの脆弱性。製品名・CVE番号は未公表。KDDIの7月6日付報告によると、6月17日時点でソフトウェアベンダーも認識していない脆弱性で、ベンダーは公的機関へ届け出を行い情報公開に向けた取り組みを進めている。「ゼロデイ」は報道見出しの表現で、KDDIやCPIは同語を用いていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はなく、2026年8月24日時点でCPIの対象サービスは通常どおり利用できる状態。
- データ
- 確定上限 1,250,543確定 1,250,543件メールハッシュ化PW漏えいが確認されたメールアカウント情報は1,250,543件で、対象はCPIでメールサービスを提供している全プラン。「ビジネス スタンダード」と「KWCメール」ではメールアカウントに加えハッシュ化されたパスワード情報も漏えいしたが、平文のパスワードの漏えいは確認されていない。その他プランはパスワードを別システムで管理しており影響なし。報道見出しでは1,250,543名分と表記されている。
- 波及先
- 6 社
- KDDI全体: メールアドレス12,231,954名、パスワード7,616,173名（7月21日訂正。パスワード人数はメールアドレス人数の内数）
- BIGLOBE: メールアドレス5,016,432人、パスワード4,631,775人
- JCOM: メールアドレス2,593,076名（報道）
- @nifty: メールアドレス2,248,708人、メールパスワード1,862,462人
- 中部テレコミュニケーション: 727,176名分（報道）
- STNet: 397,152名分のアドレスとパスワード（報道）
- 金銭影響
- —
- サプライチェーン
- KDDIが開発したISP事業者向けメール基盤をCPIのメールサービスの基盤として利用しており、KDDI側の脆弱性悪用の影響を受けた。同基盤はCPIのほか、JCOM、ニフティ、ビッグローブ、STNet、中部テレコミュニケーションなど複数のISP事業者へ提供されていた。
時系列
- 2026-05-16
- 2026-06-01
- 2026-06-08CPIへの影響が発生（CPI側の影響開始日）。3
- 2026-06-17
- 2026-06-21
- 2026-06-22KDDIウェブコミュニケーションズがKDDIから詳細報告を受け、社外公表に向けた準備を開始。8
- 2026-06-23
- 2026-06-24
- 2026-07-01
- 2026-07-06
- 2026-07-07
- 2026-07-08パスワード強制変更対象のメールアカウントを管理者用コントロールパネルで確認できる表示機能をリリース。8
- 2026-07-21対象のうちパスワードが変更されていなかったアカウントのパスワードを強制変更。KDDIは漏えい人数を訂正（メールアドレス12,231,954名、パスワード7,616,173名）。3
- 2026-07-29
- 2026-08-24
技術解説
事案の経過（公表ベース） 事実
KDDIは2026年6月23日、ISP事業者に提供するメールシステムへの不正アクセスを発表した。KDDIは6月1日に別のISP事業者からパスワード漏えいの可能性について調査依頼を受け、製品ベンダーや外部調査会社と調査を始めていた。6月17日に不正アクセスを確認し、同日中にシステムを改修して脆弱性への対処を完了した。CPIを運営するKDDIウェブコミュニケーションズがKDDIから第一報を受けたのは6月21日で、6月22日に詳細報告を受け、6月23日にプレスリリース（第一報）を公表した。7月6日に影響範囲が確定して続報を出し、8月24日に調査結果と対応完了を公表した。CPIへの影響は6月8日から発生しており、KDDIのメール基盤全体では一部ISPで5月16日から不正アクセスが発生していた。
侵入の流れと脆弱性の公表範囲 事実
公表によると、悪意のある第三者がKDDIが運営する「サーバーA」にアクセスし、サーバーAに存在した脆弱性が悪用された後、別の「サーバーB」に保存されていたメールボックスに紐づくメールアカウント情報が不正に取得された。原因は、CPIがメール基盤として利用していたKDDIのISP事業者向けメールシステムで、第三者製ソフトウェアの脆弱性が悪用されたことである。KDDIの7月6日付報告によると、この脆弱性は6月17日時点でソフトウェアベンダーも認識しておらず、ベンダーは公的機関へ届け出を行い情報公開に向けた取り組みを進めている。具体的なサーバー製品名、第三者製ソフトウェア名、CVE番号、攻撃者の属性は公表されていない。KDDIやCPIは「ゼロデイ」という語を用いていない。
件数の整理（上限と確定） 事実
CPIで漏えいが確認されたメールアカウント情報は1,250,543件で、対象はメールサービスを提供している全プランである。「ビジネス スタンダード」と「KWCメール」ではハッシュ化されたパスワード情報も漏えいしたが、平文のパスワードそのものの漏えいは確認されていない。その他プランはパスワードを別システムで管理しており、パスワードへの影響はない。KDDI全体では、6月23日の第一報時点で最大1422万件の流出可能性が示され、調査継続中のため最大値とされていた。その後、7月21日の訂正でメールアドレス12,231,954名、パスワード7,616,173名となった。パスワード人数はメールアドレス人数の内数である。総務省の行政指導に関する報道では、約762万人に影響したとされている。
対応と当局の指摘 事実
KDDIは6月17日の改修に加え、6月18日〜21日に技術的防護措置を実施し、6月21日までに外部通信を制御する全サーバーへEDRを導入した。6月23日には第三者専門機関のフォレンジック調査を完了し、当該脆弱性以外に不審な痕跡がないことを確認した。CPIは7月1日に影響範囲の確定を待たずパスワード変更を要請し、7月7日〜9日に対象顧客へ個別通知した。7月8日には強制変更対象アカウントの確認機能を公開し、7月21日に未変更アカウントのパスワードを強制変更した。総務省は6月24日に報告を求め、7月29日に文書による行政指導を行い、通信の秘密の漏えいに当たると認定した。覚知から公表まで22日を要した点はスピード感に欠けると指摘された。8月24日時点で新たな被害は確認されていない。
共通基盤を介した波及の構造 解釈
公表事実から読み取ると、この事案はCPI単独の侵害ではなく、KDDIが開発したメール基盤を複数のISP事業者が共有していたことで、1つの脆弱性の影響が6社のサービスに及んだ構造と考えられる。CPIは基盤の利用側であり、第一報を受けたのは6月21日と、KDDIの確認から4日後だった。基盤の内部は利用側から見えにくく、利用側が単独で脆弱性を発見・修正するのは難しかった可能性がある。一方、CPIの一部プランではパスワードを別システムで管理していたため、パスワードへの影響がなかった。認証情報とメールボックス情報を分けて保持する設計が、影響範囲を限定する方向に働いた事例と読める。ただし、製品名や脆弱性の詳細が非公表のため、これ以上の技術的な評価はできない。
通知の連鎖と公表までの時間 解釈
総務省はKDDIについて、対処を優先したことを踏まえても公表までに22日を要したと指摘している。KDDIの調査は6月1日の依頼から始まり、脆弱性が判明したのは6月17日だった。原因特定に時間を要した事情もあったと考えられる。他方、基盤の提供元、ISP事業者、エンドユーザーの順に情報が伝わるため、利用側の事業者にとっては通知が届くまでの時間が公表時期を左右しやすい構造がある。CPIは第一報から2日後に公表し、影響範囲の確定前からパスワード変更を要請し、確定後は個別通知と管理画面での確認機能を用意した。この点は、情報が不確定な段階でも利用者が取れる行動を先に示した対応と評価できる。ただし、公表資料だけでは、各社間の通知基準や契約上の取り決めは確認できない。
対応
- 封じ込め
- KDDIは2026年6月17日に被害拡大防止のためシステムを改修して脆弱性への対処を完了し、不正アクセスの被疑箇所を特定して技術的な防御措置を講じた。6月18日〜21日に技術的防護措置を実施し、6月21日までに外部通信を制御する全サーバーへEDRを導入、6月23日に第三者専門機関のフォレンジック調査で当該脆弱性以外に不審な痕跡がないことを確認した。CPIは7月1日にメールパスワード変更を要請し、7月7日〜9日に対象顧客へ個別通知、7月8日に強制変更対象アカウントの確認機能をリリース、7月21日に未変更アカウントのパスワードを強制変更した。再発防止として、KDDIは第三者製ソフトウェアの設計書とプログラムをAI等も活用して詳細に分析する方針。KDDIは総務省に、ソフトウェアのアップデート、ネットワーク設備監視体制の強化、原因脆弱性の修正、セキュリティ強度が高い通信規格への早期移行などを報告した。
- 公表の仕方
- 2026年6月23日にKDDIが発表し、CPIもプレスリリース（第一報）を公表。7月6日に影響範囲確定を受けて続報を公表し、7月10日付で「CPI メールサービスにおける不正アクセスのご報告」を掲載。8月24日に調査結果と対応完了を公表した。総務省はKDDIについて、対処を優先したことを踏まえても問題の覚知から公表まで22日間を要したことはスピード感に欠けると指摘した。
- 当局対応
- 総務省: 6月24日に電気通信事業法第166条第1項に基づく報告を求め、KDDIは7月6日に報告書を提出。7月29日に文書による行政指導を行い、通信の秘密の漏えいに当たると認定。ユーザーへの情報提供の継続、二次被害が発覚した場合の対応、定期的な報告を求めた。
- 個人情報保護委員会: KDDIは6月23日の第一報で報告・相談を含む対応を進めていると説明。8月24日付で行政指導が行われたと報じられている（見出しのみ確認）。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共通基盤を提供元から借りる場合、提供元の事故が自社の事故になる。依存関係と連絡経路を把握しておく必要がある。 | 利用中のSaaS・基盤・OSSの依存関係台帳を作り、提供元ごとに障害・侵害時の連絡窓口と通知期限（例：確認後24時間以内に一報）を契約や運用手順に明記する。四半期ごとに連絡訓練を行う。 |
| 認証情報とメールボックスなどのデータを別システムで管理すると、漏えい時の影響を限定できる。 | 認証DBとデータ保存系を別ネットワーク・別アカウント権限に分離する。保存するパスワードはArgon2idやbcryptなどのソルト付き低速ハッシュにし、侵害時に平文復元できない状態を維持する。 |
| ベンダーも未認識の脆弱性は、パッチ適用だけでは防げない。侵入後の検知が重要になる。 | 外部通信を制御するサーバーにEDRを展開し、サーバー間の通信ログ（サーバーAからサーバーBへのアクセス等）を集約してアラート化する。通常と異なるメールボックス一括読み出しを検知するルールを作る。 |
| 影響範囲が確定する前でも、パスワード変更のように利用者が取れる行動は先に案内できる。 | パスワードの強制失効と再設定メール送信を、対象アカウント一覧を指定して一括実行できる機能を事前に用意する。管理者画面に対象アカウントの表示機能を設け、案内と実行日を段階的に告知する手順書を作る。 |
| 解約済みや休眠の利用者情報が残っていると、漏えい対象が広がる。 | 解約後・長期未利用後のデータ保持期間を定め、期限が来たアカウントの認証情報とメールデータを自動削除または失効するバッチを運用する。削除対象の件数を定期レビューする。 |
自組織などでの確認項目
- 自組織が使っているメールやクラウドの基盤は、どの事業者のどの製品に依存しているか。提供元で侵害が起きたとき、何時間以内にどの経路で連絡が来るか、契約や運用で確認できるか。
- 自組織のサービスでは、パスワードなどの認証情報と、メールや業務データを別システム・別権限で管理しているか。片方が侵害されたとき、もう片方に影響が及ばないことをどう確認するか。
- パスワードを全利用者に強制変更する場合、対象一覧の抽出、案内メール、強制実行、問い合わせ対応を、何日で実施できるか。実際に手順を試したことがあるか。
- 解約済み・休眠アカウントの情報は、何年分が保持されているか。保持期間の根拠と削除の運用は文書化されているか。
未解明点
- 悪用された第三者製ソフトウェアの製品名、脆弱性のCVE番号、攻撃者の属性は公表されていない。ベンダーによる情報公開の時期も不明である。
- CPIの1,250,543件に、解約済みや休眠の利用者が含まれるか、また件数の内訳は公表資料から確認できていない。
- CPIではメールアカウント情報の漏えいが確認されているが、メールボックス内の情報が閲覧された可能性があったかは、確認した範囲では記載がない。
- 7月29日にCPIが注意喚起したCPIを装うフィッシングメールと、今回の漏えい情報との因果関係は公表されていない。
- 個人情報保護委員会による行政指導が8月24日付で報じられているが、見出しのみの確認で、内容は確認できていない。
- KDDI全体の件数は、7月6日の報告と7月21日の訂正で値が異なる。J:COMの件数も出典ごとに異なる（2,473,191名と2,593,076名）。差が生じた理由は確認できていない。
出典
- 1＠IT（ITmedia）2026-06-25報道本文確認済
- 2ケータイ Watch（Impress）2026-07-30報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-26報道本文確認済
- 4ScanNetSecurity2026-07-08報道本文確認済
- 5ScanNetSecurity2026-08-10報道本文確認済
- 6ScanNetSecurity2026-08-31報道本文確認済
- 7ScanNetSecurity2026-07-08報道本文確認済
- 8株式会社KDDIウェブコミュニケーションズ2026-07-10公式本文確認済
- 9Impress Watch2026-07-06報道本文確認済