Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-kddi-isp-mail通信最終確認 2026-10-13 10:00

KDDIのISP事業者向けメールシステムへの不正アクセス（ISP 6社・約1,223万人のメールアドレス、約762万人の平文パスワード漏えい）

公表日

KDDI株式会社 · 上場
続報あり脆弱性悪用不正アクセス認証情報悪用サプライチェーンサプライチェーン：起点

KDDIがプロバイダ（ISP）各社に提供しているメールシステムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、6社の利用者約1,223万人のメールアドレスと、そのうち約762万人のパスワードが漏えいしました。

対象者は？

ビッグローブ（BIGLOBEメール）、ニフティ（@nifty メール）、JCOM（J:COM NETなど）、中部テレコミュニケーション（コミュファ光）、STNet（ピカラ光）、KDDIウェブコミュニケーションズ（CPI）のメールを使っていた方です。解約した方や、しばらく使っていない方も含まれます。最初は最大約1,422万件のおそれと発表され、漏えいが確定したのはメールアドレス約1,223万人、パスワード約762万人です。個人情報保護委員会は、漏えいしたパスワード約762万人分が、そのまま読める形（平文）で保存されていたと認定しています。au メール、UQ mobile メール、au one net メールは別の設備のため対象外です。

対象かどうかは、利用しているプロバイダの公式のお知らせで確認できます。対象の方には、各プロバイダからパスワード変更の案内が行われ、変更していない方のパスワードは順次、強制的に変更・無効化されました。

KDDIのお詫びとご報告（2026年7月21日更新） ↗BIGLOBEメールのお知らせ（第二報） ↗@nifty メールのお知らせ（第二報） ↗

いますぐできること

  • 対象のプロバイダのメールと同じパスワードを、ほかのサービス（ネット通販、SNSなど）でも使っていれば、そちらのパスワードを変更する
  • プロバイダのメールのパスワードを再設定していない場合は、各社の案内に沿って新しいパスワードを設定する
  • プロバイダやお店を名乗るメールのリンクは開かず、公式サイトやアプリから確認する

何が起きたのか

KDDIは、複数のプロバイダが使うメールの仕組みを開発して提供しています。2026年5月16日から6月17日にかけて、その仕組みに組み込まれていた他社製ソフトウェアの弱点が悪用され、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が続きました。6月1日にニフティから連絡を受けて調査が始まり、KDDIは6月17日に不正アクセスを確認して弱点をふさぎました。6月23日に最大約1,422万件が漏えいしたおそれがあると発表し、7月6日に漏えいした人数を確定しました。

なぜ起きたのか・なぜ広がったのか

悪用されたのは、ソフトウェアを作った会社もまだ知らなかった弱点（ゼロデイ脆弱性）でした。ソフトウェアの名前や弱点の詳細は、まだ公表されていません。6社のプロバイダが同じメールの仕組みを共同で使っていたため、1か所への侵入で6社の利用者に一斉に影響が出ました。また、パスワードが平文で保存されていたことが、個人情報保護委員会の資料で明らかになっています。

いまの状況2026-08-24 時点続報待ち

各プロバイダで、対象者のパスワードの強制変更などは7月中旬から下旬にかけて終わりました。総務省は、通信の秘密の漏えいに当たるとして、7月29日にKDDIに文書で厳重注意をしました。個人情報保護委員会も8月19日に、KDDIと一部のプロバイダを指導しました。KDDIは、すべてのシステムの弱点の点検などの再発防止策を表明しています。悪用されたソフトウェアの名前、メールの中身が実際に読まれたかどうかは、まだ発表されていません。

企業として考えたいこと

自社のサービスでは、利用者のパスワードを元に戻せない形で保存しているでしょうか。また、複数の取引先が共同で使う仕組みが破られたとき、どこまで影響が広がるか把握しているでしょうか。

技術的な要約

KDDIが複数ISP向けに開発・提供するメールシステムで、組み込まれていた第三者製ソフトウェアのゼロデイ脆弱性（6/17時点でベンダーも未認識、製品名・CVEは非公表）が悪用され、2026年5月16日から6月17日にかけて不正アクセスが行われた。KDDIは6月17日に確認・改修し、6月23日に最大1,422万件の漏えい可能性として公表、7月6日にメールアドレス12,233,087人・パスワード7,616,173人（内数）の漏えいを確定し、7月21日にメールアドレスを12,231,954人へ訂正した。個人情報保護委員会は、漏えいしたパスワード7,616,173人分が平文で保存されていたと認定しており、初報の「ハッシュ化・暗号化されたものも含む」との説明と大きく異なる。総務省は通信の秘密の漏えいに当たるとして7月29日に文書で厳重注意（行政指導）、個人情報保護委員会も8月19日にKDDIと一部プロバイダを指導した。影響はニフティ・ビッグローブ・JCOM・中部テレコミュニケーション・STNet・KDDIウェブコミュニケーションズの6社に及んだ。

侵入
2026-05-16
被害発生
2026-05-16
検知
2026-06-17
第1報公表
2026-06-23
最新続報
2026-08-24
侵入 → 検知
32日
侵入日から算出
検知 → 公表
6日
データ（上限）
1,422万人
確定 12,231,954
波及先
6
社（ISP事業者）

攻撃の分類

侵入口
公開サーバの脆弱性公表で確認
KDDIが本システムの一部として導入していた第三者製ソフトウェアの脆弱性の悪用（KDDI公表で確定）。2026年6月17日時点でソフトウェアベンダーも当該脆弱性を認識していなかったとされ、事実上のゼロデイ。ベンダーは公的機関に届出済みとKDDIは説明。製品名・製品種別（Webメール、MTA、認証基盤等）・外部公開面・攻撃手法（RCE/認証回避等）はいずれも非公表。CPI最終報告によれば、攻撃者はKDDI運用の『サーバーA』に侵入してその脆弱性を悪用し、別の『サーバーB』に保存されていたメールアカウント情報を取得した（侵入先と保存先は別サーバー）。
脆弱性
CVE 非公表公表で確認
非公表の第三者製ソフトウェア（KDDIのISP事業者向けメールシステムに組込み）
2026年6月17日時点でベンダー未認識のゼロデイとKDDIが説明（7/6続報）。同日KDDIがシステム改修で対処。ベンダーは公的機関に届出済みで情報公開に向け取り組み中とされるが、2026-10-10時点で製品名・CVE・JVN等の公表は確認できなかった。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1552 Unsecured CredentialsT1078 Valid Accounts

影響

業務停止
あり メールサービス自体の長期停止は公表されていないが、6社で対象ユーザーのパスワード強制変更・無効化・リセットを実施（ニフティ6/26〜、ビッグローブ7月上旬、STNet 7/7、CPI 7/21未明、中部テレコミュニケーションも強制変更）。強制リセット後は再設定までメール利用不可となり、手続きサイトの混雑も告知された。
期間：パスワード強制変更は2026年7月中旬〜下旬にかけて各社で完了（CPIは8/24に対応完了を公表）
データ
確定上限 14,220,000確定 12,231,954人
メール平文PWハッシュ化PWその他（BIGLOBE ID）
初報（6/23）は最大1,422万件の『おそれ』。7/6にメールアドレス12,233,087人・パスワード7,616,173人（内数）で漏えい確定、7/21にメールアドレスを12,231,954人へ訂正（差1,133人。JCOMのケーブルテレビ事業者向け分が119,885→118,752人に変わった分と一致するとpiyologが整理）。個人情報保護委員会は7,616,173人分のパスワードが平文保存だったと認定。CPIの一部プラン（ビジネス スタンダード、KWCメール）ではハッシュ化パスワードが漏えいしたが平文は漏えいしていないとされ、7,616,173人には含まれていない（件数の積み上げからの整理）。総務省・PPCは、窃取されたパスワードによりメールボックス内の情報が第三者に閲覧可能な状態になったとするが、実際の閲覧・取得の有無は確認されたものとしては公表されていない。ISP別：BIGLOBE 5,016,432人（PW 4,631,775）、@nifty 2,248,708人（PW 1,862,462）、J:COM NET 2,473,191人（PW なし）、JCOMケーブル向け 119,885人（訂正後118,752人、PW 1,257）、コミュファ 727,176人（PW 724,344）、STNet 397,152人／456,159件（PWあり）、CPI 1,250,543人（平文PWなし）。
波及先
6 社（ISP事業者）
  • ビッグローブ（BIGLOBEメール）
  • ニフティ（@nifty メール）
  • JCOM（J:COM NET、ケーブルテレビ事業者向けISP卸）
  • 中部テレコミュニケーション（コミュファ光）
  • STNet（ピカラ光）
  • KDDIウェブコミュニケーションズ（CPI）
金銭影響
—
サプライチェーン
KDDIが開発・運用する共通のISP向けメール基盤（マルチテナント型の卸提供）が侵害され、6社のISPの利用者（解約済み・休眠顧客を含む）に一斉に波及した。KDDI自身も第三者製ソフトウェアのゼロデイの影響を受けた『波及先』の側面を持つ二重のサプライチェーン構造。au メール、UQ mobile メール、au one net メールは別設備で影響なし。

時系列

  1. 2026-05-16
    一部ISP事業者で不正アクセスによる被害が発生し始める（全体で最も早い時期）210
  2. 2026-05-24
    @nifty分の本システムへの不正アクセスが発生（後の調査で判明）5
  3. 2026-05-29
    ニフティがメールシステムの急激な負荷上昇を検知し、IMAP経由の不正ログインを疑って該当者へ通知（報道）11
  4. 2026-06-01
    ニフティが不正アクセスの懸念を判断しKDDIへ連絡、両社で調査開始。総務省は後にこの日を起点に公表まで22日を要したと指摘512
  5. 2026-06-08
    CPI（KDDIウェブコミュニケーションズ）分への影響が発生16
  6. 2026-06-17
    KDDIが不正アクセスを確認。同日システムを改修し脆弱性に対処、被疑箇所を特定し技術的防御措置。ISP各社へ順次連絡開始12
  7. 2026-06-18
    JCOMがKDDIからの報告で事案を把握7
  8. 2026-06-21
    外部通信を制御する全サーバーへのEDR導入完了。ビッグローブがKDDIから不正アクセスと漏えい可能性の報告を受領26
  9. 2026-06-23
    KDDIが第1報を公表（対象6社、最大1,422万件の漏えいの可能性、パスワードは『ハッシュ化・暗号化されたものを含む』と説明）。各ISPも同日公表。第三者機関のフォレンジックで脆弱性以外の不審な痕跡なしと確認1234714
  10. 2026-06-24
    総務省が電気通信事業法第166条第1項に基づく報告をKDDIに求める2
  11. 2026-06-26 00:00
    ニフティがパスワード変更未確認アドレスのパスワードを順次無効化開始45
  12. 2026-07-06
    KDDIが続報で漏えい確定（メールアドレス12,233,087人、パスワード7,616,173人）、ゼロデイであったことを説明。総務省へ報告書提出。ニフティ・ビッグローブ等が第二報256102021
  13. 2026-07-21
    KDDIがメールアドレス漏えい数を12,231,954人に訂正。CPIは未変更アカウントのパスワードを同日未明に強制変更21116
  14. 2026-07-29
    総務省が通信の秘密の漏えい（電気通信事業法第4条第1項）に当たるとしてKDDIに文書で厳重注意（行政指導）。8/31までの報告とその後1年間の四半期報告を要請81213
  15. 2026-08-19
    個人情報保護委員会がKDDI（法147条指導・146条1項報告要求、期限10/19）と一部プロバイダ（147条指導）に行政上の対応。漏えいPW 7,616,173人分が平文保存だったと公表917
  16. 2026-08-24
    KDDIウェブコミュニケーションズがCPIの最終報告と対応完了を公表（サーバーA侵入→サーバーBのアカウント情報取得という経路を説明）16

技術解説

攻撃の構造：共通メール基盤の単一障害点 事実

KDDIはISP 6社向けに単一のメールシステムを開発・提供しており、その一部である第三者製ソフトウェアのゼロデイが悪用された。CPIの最終報告によれば、攻撃者はKDDI運用の『サーバーA』に侵入し、その脆弱性を足掛かりに、別の『サーバーB』に保存されていたメールアカウント情報を取得している。つまり脆弱な外部接点と認証情報ストアがネットワーク的に到達可能で、侵入後の横展開を止める境界が機能しなかった。個人情報保護委員会も『侵入後の横展開を防ぐ多層的な対策が必要だったがアクセス制御等の措置を十分に講じていなかった』と不備を認定している。製品名・CVE・脆弱性の種類（RCEか認証回避か等）は10/10時点で非公表であり、どのプロトコル面（Webメール、管理API、IMAP/POP等）が悪用されたかも不明。

パスワード保存形式：初報と規制当局認定の食い違い 事実

KDDIの6/23初報（日英とも）は漏えい可能性のあるパスワードについて『ハッシュ化・暗号化されたものを含む』と説明した。しかし個人情報保護委員会は8/19、漏えいしたパスワード7,616,173人分が『平文のまま保存されて』いたと公表し、総務省も『暗号化等の安全管理措置なしに保存されていた』点を看過できないとした。PPC資料は平文保存の一部が『一部のプロバイダ側の事情に起因する』とも記す。ISP別件数を積み上げると、CPI（ハッシュ化PWのみ漏えい）とJ:COM NET（PW漏えいなし）を除く分の合計が7,616,173人に一致し、KDDIの『パスワード漏えい人数』は実質的に『平文で窃取された人数』を指していたと読める。初報の表現は事実としては誤りではないが、大半が平文だったことを伏せる結果になった。

なぜ平文だったのか（推測） 解釈

公式には理由は示されていないが、KDDIが再発防止策に『従来型メールソフトの利用者への影響に配慮しつつ、よりセキュリティ強度の高い通信規格への移行』を挙げている点が示唆的である。POP3/IMAP/SMTPのレガシー認証方式のうちAPOPやCRAM-MD5、DIGEST-MD5などのチャレンジレスポンス型は、サーバー側が平文（または可逆形式）のパスワードを保持していないと検証できない。ISPメールは20年以上前の契約者や古いメールクライアントを抱え、これらの方式を維持する必要があった可能性がある。また複数ISPから既存アカウントを移行・統合する際に、各ISPが保持していた形式のまま取り込んだ可能性もある（PPCの『プロバイダ側の事情』という表現と整合）。いずれも推測であり、方式名や理由は公表されていない。

検知と公表の遅れ：テナント側が先に気づいた 事実

最初の被害は5/16だが、KDDIの確認は6/17で、少なくとも32日間の滞留があった。ニフティは5/29にメールシステムの急激な負荷上昇を検知しIMAP経由の不正ログインを疑い（報道）、6/1にKDDIへ懸念を連絡しているが、基盤側での確認まで16日を要した。さらにKDDIの確認後もビッグローブと中部テレコミュニケーションへの報告は6/21、STNetは6/20と、テナント間で通知に最大4日の差がある。総務省はニフティからの連絡から公表まで22日を要した点を『迅速とはいえない』と指摘した。基盤提供者のログ・監視よりも、テナント側で観測される認証異常（負荷、ログイン失敗、地理的異常）の方が早いシグナルだったことになる。

解約者・休眠アカウントという負債 解釈

初報は対象に『解約済みの顧客や長期間利用のない休眠顧客』を含むと明記した。ビッグローブは直近2カ月にメール利用があったユーザーが全体の約18%にとどまると注記しており、漏えいした認証情報の大半が実際にはほぼ使われていないアカウントだったと読める。不要アカウントと平文パスワードが長期保持されていたことで、被害母数が数倍に膨らんだ可能性が高い。また休眠アカウントは利用者自身がパスワード変更通知に気づきにくく、各社がまとめて強制無効化・リセットに踏み切る必要が生じた。PPCが注意喚起しているとおり、同一または類似パスワードを他サービスで使い回している利用者に対するリスト型攻撃の二次被害リスクは、メールボックスの強制リセット後も残る。

対応

封じ込め
6/17に被疑箇所を特定しシステム改修・脆弱性対処、6/21に外部通信を制御する全サーバーへEDR導入、6/23に第三者機関フォレンジックで他の不審痕跡なしを確認。ISP各社と連携し対象者のパスワード変更案内→強制変更・無効化（ニフティ6/26〜、ビッグローブ7月上旬、STNet 7/7、CPI 7/21）。再発防止策としてAIも活用した設計書・プログラムの網羅的分析、より安全な通信規格への移行、全システムの脆弱性診断（8/7決算会見で言及と報道）を表明。
公表の仕方
6/23第1報（最大1,422万件の可能性、ISP 6社名を開示、パスワードは『ハッシュ化・暗号化されたものを含む』）。7/6続報で件数確定とゼロデイを説明、7/21に件数訂正。製品名・CVE・平文保存の事実はKDDI自身の発表では明示されず、平文保存はPPC公表（8/19）で初めて公式に明らかになった。ISP各社も6/23に第1報、7/6に第二報を個別公表。
当局対応
  • 総務省：6/24に電気通信事業法第166条第1項に基づく報告徴収、7/6報告書提出
  • 総務省：7/29に通信の秘密の漏えい（電気通信事業法第4条第1項）として文書による厳重注意（行政指導）。8/31までの報告と以後1年間の四半期報告を要請
  • 個人情報保護委員会：8/19にKDDIへ法147条に基づく安全管理措置の改善指導と法146条1項に基づく報告要求（期限2026-10-19）、一部プロバイダへ法147条指導
  • 警察：ニフティが連携・報告中と公表

教訓と対策

教訓具体的な対策
認証情報を平文・可逆形式で保存していたメール認証情報はArgon2id/bcrypt等のソルト付き低速ハッシュで保存し、平文が必要なレガシー認証（APOP、CRAM-MD5、DIGEST-MD5）を廃止。移行期はアプリ固有パスワードやOAuth2（XOAUTH2/OAUTHBEARER）を提供し、平文保存アカウントを棚卸しして次回ログイン時に再ハッシュ化、期限後は強制リセット
脆弱な外部接点と認証情報ストアが到達可能で横展開を許した認証DBは専用セグメントに置き、フロント側サーバーからは認証可否だけを返す検証APIのみ許可（全件ダンプ不可、レート制限・件数上限付き）。サーバー間通信をallow-list化し、大量読み出しをDBアクティビティ監視でアラート化
テナント（ISP）が先に異常を検知しても基盤側の確認に16日を要したマルチテナント基盤でテナント横断の認証異常（IMAPログイン成功の急増、新規ASN/国からの成功ログイン、同一IPの多アカウント成功）を相関するSIEMルールを整備し、テナントからの懸念連絡を24時間以内にインシデントとしてトリアージするSLAと、全テナントへの同時通知手順を契約に明記
解約者・休眠アカウントの認証情報を長期保持していた解約後のメールボックス・認証情報の保持期間を定め自動削除。一定期間ログインのないアカウントはパスワードを無効化して再認証を要求し、漏えい時の母数を最小化する
第三者製コンポーネントのゼロデイを前提とした防御が不足SBOMで組込みソフトの所在を把握し、外部公開コンポーネントは最小権限・サンドボックス・WAF/仮想パッチで保護。EDRを事後ではなく平時から全サーバーに配備し、不審プロセス生成や外部への大量転送を検知
初報の説明（ハッシュ化・暗号化を含む）が実態（大半が平文）を伝えなかった公表文テンプレートで保存形式を『平文／可逆暗号／ハッシュ（アルゴリズム・ソルト有無）』の別と各件数で記載するルールを設け、利用者が取るべき行動（他サービスでの使い回し変更）を判断できるようにする

自組織などでの確認項目

  1. あなたのサービスに、平文または可逆形式でパスワードを保持せざるを得ない『後方互換』の理由は残っていないか。それを廃止した場合に失う利用者は何%で、漏えい時の損害と比べてどう判断するか。
  2. 共通基盤を提供する立場で、テナント（顧客企業）から『不正アクセスの懸念』が届いたとき、何時間以内に誰がどの基準で全テナントへの通知を判断する設計になっているか。
  3. 第三者製ソフトのゼロデイが悪用された場合でも認証情報の全件流出を防ぐには、どのレイヤーで何を分離・制限しておくべきか。現在のアーキテクチャで侵入点から認証DBまで何ホップか。
  4. 初報で『ハッシュ化・暗号化されたものを含む』と書くことは誠実か。不確実な段階での公表文で、保存形式や件数をどこまで具体的に書くべきか。

未解明点

  • 悪用された第三者製ソフトウェアの製品名・バージョン・CVE、ベンダーおよび同製品の他の利用者への影響
  • 脆弱性の種類（RCE、認証回避、パストラバーサル等）と悪用されたプロトコル面（Web、管理API、IMAP/POP等）
  • 平文保存の技術的理由（レガシー認証方式の維持か、ISPからの移行時の形式か）と、PPCのいう『プロバイダ側の事情』の具体的内容、指導対象となったプロバイダ名
  • メールボックス内容の実際の閲覧・取得の有無と二次被害（フィッシング・リスト型攻撃）の状況
  • 攻撃者の正体・目的（犯行声明や販売情報は一次・信頼できる報道では確認できず）
  • ニフティの6/1連絡からKDDIの6/17確認まで16日を要した理由、5/16〜6/17のログ保全状況
  • 個人情報保護委員会への報告（期限10/19）および総務省への四半期報告の内容

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
    BIGLOBEメールへの不正アクセスについて（第二報）
    ビッグローブ2026-07-06公式本文確認済
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14
  15. 15
  16. 16
  17. 17
  18. 18
  19. 19
  20. 20
  21. 21
  22. 22