Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-nifty通信最終確認 2026-10-14 17:47

KDDI提供のISP事業者向けメール基盤への不正アクセス（ニフティなど6社、メールアドレス約1223万人分が漏えい）

公表日

KDDI株式会社
続報あり不正アクセス脆弱性悪用サプライチェーンサプライチェーン：起点

KDDIがISP事業者に提供するメールシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で、ニフティなど6社のメールアドレス約1223万人分が漏えいしました。このうち約762万人分はパスワードも漏えいしました。

対象者は？

ニフティ（@niftyメール）、ビッグローブ、J:COM、中部テレコミュニケーション、STNet、KDDIウェブコミュニケーションズ（CPI）のメールサービスの利用者です。解約済みや長く使っていない利用者も含まれます。TKCインターネット・サービスの利用者も、@niftyメールを使っているため対象です。漏えいしたのはメールアドレスとパスワードで、パスワードにはハッシュ化や暗号化されたものも含まれます。TKCは、インターネット通信の内容は漏えいしていないと説明しています。auメール、UQ mobileメール、au one netメールは別の設備で、影響はないとされています。

契約しているISP事業者からのお知らせを確認してください。ニフティは専用の「@nifty特設ダイヤル」を設けています。TKCも利用者へ順次、パスワード変更などを案内するとしています。

KDDI：ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告 ↗TKC：「@nifty.com」「@tkcnet.ne.jp」等のメールアドレスに対する不正アクセスについて ↗

いますぐできること

  • 契約先のISP事業者の案内に従って、メールのパスワードを変更する。
  • 同じパスワードを他のサービスでも使っている場合は、そちらも変更する。

何が起きたのか

KDDIがISP事業者向けに提供するメールシステムに、2026年5月16日ごろから不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。KDDIは6月17日にこれを確認し、同日中にシステムを直しました。6月23日に第一報を発表し、漏えいした可能性は最大1422万件としていました。7月6日の続報で、メールアドレス約1223万人分、うちパスワード約762万人分の漏えいが確認されたと発表しました。メールアドレスの対象人数は、7月21日に12,231,954名へ訂正されました。KDDIは7月6日時点で、二次被害はないとしています。

なぜ起きたのか・なぜ広がったのか

メールシステムの一部として使っていた他社製ソフトウェアの弱点を悪用されました。この弱点は、KDDIが確認した時点では、ソフトウェアの開発元もまだ把握していないものでした。このシステムを6社が共通して使っていたため、6社のメールサービスが対象に含まれました。ソフトウェア名は公表されておらず、攻撃者についても発表されていません。

いまの状況2026-08-31 時点続報待ち

KDDIは6月17日にシステムを直し、6月21日には外部との通信を扱う全サーバーに不正検知の仕組みを入れました。第三者機関の調査で、この弱点以外に不審な痕跡はないことを確認したとしています。総務省の求めに応じて報告書を提出しており、報道では総務省と個人情報保護委員会が行政指導を行ったと伝えられています。ニフティは、パスワードの変更が確認できない利用者について、6月26日から順次パスワードを無効にしました。KDDIは今後、ソフトウェアの設計書やプログラムをAIも使って分析するとしています。金銭面の影響や補償については、まだ発表されていません。

企業として考えたいこと

自社のサービスが外部の会社の提供する共通基盤や部品に頼っているとき、そこに未知の弱点が見つかったら、利用者への連絡とパスワード変更をどの順番でどれくらい早く進められるでしょうか。

技術的な要約

KDDIは2026年6月23日、同社がISP事業者に提供するメールシステムへの不正アクセスで、利用者のメールアドレスとパスワードが漏えいした可能性があると発表した。不正アクセスはシステムの一部として導入していた第三者製ソフトウェアの、ベンダーも未認識だった脆弱性を悪用したもので、一部ISPでは2026年5月16日から発生し、KDDIは6月17日に確認して同日システムを改修した。対象はニフティ、ビッグローブ、JCOM、中部テレコミュニケーション、STNet、KDDIウェブコミュニケーションズの6社のメールサービスで、第一報では最大1422万件の可能性とされた。7月6日の続報でメールアドレス1223万3087人分、うちパスワード761万6173人分の漏えいが確認され、メールアドレスの対象人数は7月21日に12,231,954名へ訂正された。総務省は6月24日に電気通信事業法第166条第1項に基づく報告を求め、KDDIは7月6日に報告書を提出した。報道では総務省と個人情報保護委員会が行政指導を行ったとされる。

公開情報が限られている点について
ソフトウェア名・CVE、攻撃者、金銭影響は公表情報に見当たらないため null とした。
侵入
2026-05-16
被害発生
2026-05-16
検知
2026-06-17
第1報公表
2026-06-23
最新続報
2026-08-31
侵入 → 検知
32日
侵入日から算出
検知 → 公表
6日
データ（上限）
1,422万人
確定 12,231,954
波及先
6
ISP事業者

攻撃の分類

侵入口
公開サーバの脆弱性公表で確認
KDDIは、システムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたと公表している。この脆弱性は、KDDIが確認した2026年6月17日時点ではソフトウェアベンダーが認識していないものだった。ソフトウェア名とCVEは公表されていない。
脆弱性
CVE 非公表公表で確認
第三者製ソフトウェア（製品名非公表）
KDDI確認時点（2026-06-17）でベンダー未認識の脆弱性（ゼロデイ）。ベンダーは公的機関へ届け出済みで、情報公開に向けた取り組みを進めている。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1212 Exploitation for Credential Access

影響

業務停止
なし 公表資料にメールサービス停止の記載はない。KDDIのauメール、UQ mobileメール、au one netメールは異なる設備で構築されており、影響や情報漏えいはないとされる。
データ
確定上限 14,220,000確定 12,231,954人
メールハッシュ化PW
records_maxは第一報（2026-06-23）時点の最大1422万件（公表の単位は件）。records_confirmedはメールアドレス漏えい対象のKDDI公表値12,231,954名（2026-07-21訂正。7月6日続報では12,233,087人）。パスワード漏えいは7,616,173名でメールアドレス漏えい人数の内数。解約済み・休眠利用者の情報を含み、パスワードにはハッシュ化や暗号化されたものも含まれる。内訳（報道含む）：ニフティはメールアドレス2,248,708人・パスワード1,862,462人、ビッグローブはメールアドレス・BIGLOBE ID 5,016,432人・パスワード4,631,775人、J:COMはメールアドレス2,473,191名、CPIはメールアドレス1,250,543名。KDDIは7月6日時点で二次被害はないとしている。
波及先
6 ISP事業者
  • ニフティ（@niftyメール）
  • ビッグローブ（BIGLOBEメール）
  • JCOM（J:COM NET等）
  • 中部テレコミュニケーション（コミュファ光等）
  • STNet（ピカラ光等）
  • KDDIウェブコミュニケーションズ（CPI）
  • TKC（@niftyメールをTKCインターネット・サービスに採用）
金銭影響
—
サプライチェーン
KDDIが開発したISP事業者向けメール基盤（アカウント管理、送受信、Webメール、データ保存を一体提供）が侵害され、これを基盤とする6社のISPのメールサービスに波及した。TKCはニフティのメールサービスを自社プロバイダーサービスに付帯して採用しており、顧客が影響を受けた。

時系列

  1. 2026-05-16
    一部のISP事業者のメールサービスで不正アクセスが開始（KDDI公表）。42
  2. 2026-05-29
    ニフティのメールシステムで急激な負荷上昇が発生。ニフティはIMAP経由の不正ログインを疑い、該当者へ通知した。3
  3. 2026-06-17
    KDDIが不正アクセスを確認し、同日中にシステムを改修して被疑箇所を特定、技術的な防御措置を講じた。以降、対象ISP事業者へ順次連絡。ニフティはKDDIから漏えい可能性の報告を受理。413
  4. 2026-06-21
    KDDIが不正アクセス検知強化のため、外部通信を制御する全サーバーへのEDR導入を完了。413
  5. 2026-06-23
    KDDIが第一報を公表（最大1422万件の可能性）。同日、第三者機関のフォレンジック調査で本脆弱性以外の不審な痕跡がないことを確認。ニフティも第一報を公表。14123
  6. 2026-06-24
    総務省がKDDIに電気通信事業法第166条第1項に基づく報告を要求。TKCが、@niftyメールを採用するTKCインターネット・サービスへの影響とパスワード変更案内を公表。49
  7. 2026-06-26
    ニフティが、パスワード変更が確認できないメールアドレスについて順次パスワード無効化を開始。2313
  8. 2026-07-06
    KDDIが続報を公表。メールアドレス1223万3087人分、うちパスワード761万6173人分の漏えいを確認。総務省へ報告書と再発防止策を提出。ニフティも第二報を公表。2461013
  9. 2026-07-08
    報道で、CPI顧客1,250,543名分、BIGLOBE 5,016,432人分のメールアドレス漏えいが伝えられた。7
  10. 2026-07-21
    KDDIがメールアドレスの漏えい対象人数を12,231,954名に訂正。4
  11. 2026-08-24
    KDDIウェブコミュニケーションズがCPIのメールサービスの調査結果を発表。8

技術解説

攻撃の構造：共通メール基盤の第三者製ソフトウェア 事実

KDDIが開発したISP事業者向けメール基盤は、メールアカウント管理、メール送受信、Webメール、メールデータ保存を一体的に提供するシステムである。KDDIの公表では、本件はこのシステムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたもので、一部のISP事業者では2026年5月16日から発生していた。KDDIが不正アクセスを確認したのは6月17日で、同日中にシステムを改修した。この脆弱性は、KDDIが確認した6月17日時点ではソフトウェアベンダーが認識していないものだった。ベンダーは公的機関へ届け出ており、情報公開に向けた取り組みを進めている。ソフトウェア名とCVE、攻撃者については公表されていない。

被害規模：上限値と確定値の推移 事実

6月23日の第一報では、漏えいの可能性がある件数は最大1422万件とされた。調査継続中のため現時点の最大値という位置づけだった。7月6日の続報では、メールアドレス1223万3087人分、うちパスワード761万6173人分の漏えいが確認され、パスワードはメールアドレスの内数とされた。7月21日にメールアドレスの対象人数は12,231,954名へ訂正された。内訳は、ニフティがメールアドレス2,248,708人・パスワード1,862,462人、ビッグローブがメールアドレスとBIGLOBE ID 5,016,432人・パスワード4,631,775人、J:COMがメールアドレス2,473,191名である。CPIの1,250,543名は報道による数値である。対象には解約済みや休眠の利用者が含まれ、パスワードにはハッシュ化や暗号化されたものも含まれる。KDDIは7月6日時点で二次被害はないとしている。auメールなどは別設備で影響はないとされる。

対応と公表の経過 事実

KDDIは6月17日にシステムを改修し、対象ISP事業者へ順次連絡した。6月21日には外部通信を制御する全サーバーへのEDR導入を完了した。6月23日には第三者機関のフォレンジック調査で本脆弱性以外の不審な痕跡がないことを確認し、同日に第一報を公表した。6月24日に総務省から電気通信事業法第166条第1項に基づく報告を求められ、7月6日に報告書と再発防止策を提出した。ニフティは6月26日から、パスワード変更が確認できないメールアドレスのパスワードを順次無効化した。KDDIウェブコミュニケーションズは8月24日にCPIの調査結果を発表した。今後は設計書とプログラムをAIなども活用して分析し、より強度の高い通信規格への移行を進めるとしている。報道では、総務省と個人情報保護委員会が行政指導を行ったと伝えられている。

6社に影響が広がった構造と検知の難しさ 解釈

公表内容から読み取ると、複数のISPが同じメール基盤を使っていたため、基盤側の1つの脆弱性が6社のサービスへ同時に波及する構造だったと考えられる。TKCもニフティのメールサービスを付帯サービスとして採用しており、影響が二次的に及んだ。5月16日の発生から6月17日の確認まで約1か月あり、その間の侵入経路や操作内容の詳細は公表されていない。ニフティは5月29日にメールシステムの急激な負荷上昇を把握し、IMAP経由の不正ログインを疑って該当者に通知した。6月17日にKDDIから報告を受けたとされる。基盤事業者と各ISPの観測点が分かれていると、個々の異常が全体像につながるまで時間がかかる可能性がある。ただしこれは公表情報からの推測であり、実際の検知体制や連絡の経緯は確認できていない。

対応

封じ込め
2026年6月17日に被害拡大防止のためシステムを改修して脆弱性に対処し、被疑箇所を特定して技術的な防御措置を講じた。6月21日に外部通信を制御する全サーバーへEDR導入を完了。6月23日に第三者機関のフォレンジック調査で本脆弱性以外の不審な痕跡がないことを確認。ISP事業者と連携してパスワードの強制変更を進め、ニフティは6月26日から未変更のパスワードを順次無効化した。今後は本ソフトウェアの設計書とプログラムをAIなども活用して分析し、よりセキュリティ強度の高い通信規格への移行を進める。
公表の仕方
KDDIが2026年6月23日に第一報、7月6日に続報を公表し、7月21日にメールアドレスの対象人数を訂正した。ニフティは6月23日に第一報、7月6日に第二報を公表。TKCは6月24日、KDDIウェブコミュニケーションズは8月24日に調査結果を発表した。利用者には契約先ISP事業者の案内に従うパスワード変更が呼びかけられ、ニフティは@nifty特設ダイヤルを設置した。
当局対応
  • 総務省（2026-06-24に電気通信事業法第166条第1項に基づく報告を要求、KDDIは7月6日に報告書と再発防止策を提出。報道では行政指導が行われたとされる）
  • 個人情報保護委員会（KDDIが報告・相談を実施。報道では行政指導が行われたとされる）

教訓と対策

教訓具体的な対策
複数事業者が共用する基盤では、1つの部品の脆弱性が多数の顧客へ同時に波及する。基盤を構成する第三者製ソフトウェアとそのバージョンを一覧化し、インターネットから到達できる経路を棚卸しする。SBOMを整備し、新規CVEや脆弱性情報と自動で突合する。
ベンダー未認識の脆弱性は、パッチ適用だけでは防げない。公開経路の前段にWAFやリバースプロキシを置き、仮想パッチを適用できる体制にする。公開サーバにEDRを導入し、プロセス起動や外向き通信の異常を検知するルールを運用する。
不正ログインや負荷上昇のような兆候は、事業者間で共有しないと全体像がつかめない。IMAP・POP・SMTP認証の失敗率、IPごとのログイン回数、システム負荷を閾値付きで監視する。基盤事業者と各ISPで、異常検知時の連絡先と共有項目を事前に決める。
解約済み・休眠アカウントの認証情報が残っていると、影響対象が広がる。解約後と休眠後の保持期間を定め、期限が来たらアカウントとパスワードのハッシュを削除する。パスワードは強度の高い適応型ハッシュで保存する。
パスワード強制変更を大規模に進めるには、手順と段階を事前に決めておく必要がある。全利用者へのパスワードリセット通知とセッション失効を一括で実行できる手順にしておく。未変更者のパスワードを段階的に無効化する運用と、問い合わせ窓口の増員計画も用意する。

自組織などでの確認項目

  1. 自組織が顧客や関係会社へ提供している共通基盤や、自組織が利用している外部の基盤は何か。その部品の一覧とバージョンを、すぐに出せるか。
  2. 自組織のメールや認証システムで、ログイン失敗の急増や急激な負荷上昇を検知するアラートはあるか。誰がいつまでに確認する運用か。
  3. 解約済みや長期間使われていないアカウントの認証情報は、何年分残っているか。保持期間のルールはあるか。
  4. 基盤の脆弱性が見つかったとき、利用者全員のパスワードを短期間で強制変更する手順と、問い合わせ対応の体制はあるか。

未解明点

  • 脆弱性があった第三者製ソフトウェアの名称、CVE、ベンダーによる情報公開の時期は公表されるか。
  • 5月16日から6月17日までの約1か月間、どの範囲の情報にどのような操作が行われたのか。
  • 第一報の最大1422万件と、確定した約1223万人分との差は、何によるものか。
  • パスワードのハッシュ化・暗号化の方式と、流出後の解読リスクはどう評価されているか。
  • 攻撃者の特定や、財務面の影響（補償や費用）は公表されるか。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
    電気通信事故検証会議（第４回）議事要旨
    総務省2016-11-15当局本文確認済
  12. 12
  13. 13