STNetのメールサービスへの不正アクセス（KDDI提供のISP向けメールシステム経由、STNet 397,152名分／システム全体で最大1422万件）
公表日
KDDIがISP事業者向けに提供するメールシステムに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、STNetを含む6社のメールサービスの利用者情報が漏えいしました。KDDI全体では最大1422万件の可能性が公表され、確認されたのはメールアドレス約1223万件で、STNet分は397,152名分と報じられています。
対象者は？
STNetの「ピカラ光サービス」「ピカラモバイルサービス」「お仕事ピカラサービス」のメールサービスの利用者が対象です。解約済みの人や、長く使っていない人の情報も含まれます。対象の情報はメールアドレスとパスワードです。KDDIのauメール、UQ mobileメール、au one netメールは別の設備で運用されており、被害はないとされています。
契約しているプロバイダー（STNetなど）からの案内を確認してください。KDDIの発表で、対象のプロバイダーとサービスの一覧を確認できます。
いますぐできること
- 対象のメールサービスを使っている場合は、プロバイダーの案内に従ってメールのパスワードを変更する。
- 同じパスワードを他のサービスにも使っている場合は、そちらも別のものに変更する。
- 契約しているプロバイダーからのお知らせを確認する。
何が起きたのか
KDDIがプロバイダー向けに提供しているメールシステムで、5月16日ごろから一部のプロバイダーに対する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が始まりました。KDDIは6月17日にこれを確認し、その日のうちにシステムを直しました。6月20日にはKDDIからSTNetへ、顧客情報が漏えいした可能性があるとの連絡がありました。6月23日にKDDIが公表し、7月6日の続報で、漏えいが実際にあったことが確認されました。
なぜ起きたのか・なぜ広がったのか
メールシステムの一部として使われていた他社製のソフトウェアに弱点があり、そこを突かれました。6社が同じシステムを使っていたため、複数のサービスの利用者に影響が及びました。ソフトウェアの製品名は公表されていません。
いまの状況2026-07-29 時点続報待ち
KDDIは外部と通信するサーバーすべてに監視ソフトを導入し、第三者機関の調査で、この弱点以外に不審な痕跡がないことを確認したと発表しています。パスワードの変更は各プロバイダーと連携して進められています。総務省は7月29日にKDDIへの文書による行政指導を発表しました。その内容や、弱点のあったソフトウェアの名前は、まだ発表されていません。
企業として考えたいこと
自社のメールや会員サービスが外部事業者の共通システムの上で動いている場合、そこで問題が起きたときに、利用者へ何を、誰が、いつ知らせるかは決まっているでしょうか。
技術的な要約
KDDIがISP事業者向けに提供するメールシステムで、利用していた第三者製ソフトウェアの脆弱性が悪用され、2026年5月16日ごろから一部のISP事業者で不正アクセスが発生した。KDDIは6月17日に不正アクセスを確認して同日中にシステムを改修し、6月23日に最大1422万件のメールアドレス・パスワードが漏えいした可能性があると公表した。対象はSTNetを含む6社で、STNetのメールサービスでは397,152名分のアドレスとパスワードの漏えいが報じられた。7月6日の続報で漏えいの事実が確認され、KDDI全体でメールアドレス1223万3087件、パスワード761万6173件の漏えいが確認された。総務省は6月24日に報告を求め、7月29日にKDDIへ文書による行政指導を行った。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認KDDIの公表では、ISP事業者向けメールシステムで利用していた第三者製ソフトウェアの脆弱性を悪用された。製品名・CVEは公表されていない。STNetはKDDIのメールシステムを利用しており、KDDIから6月20日に報告を受けた。
- 脆弱性
- CVE 非公表報道・研究者第三者製ソフトウェア（製品名非公表）KDDIが確認した6月17日時点でソフトウェアベンダーが認識していない脆弱性で、ベンダーは公的機関へ届け出て情報公開に向けた取り組みを進めているとの報道がある。ゼロデイ脆弱性が悪用されたとの報道もある。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし STNetを含む対象ISPのメールサービスの業務停止に関する記載は、与えられた出典にない。KDDIのauメール、UQ mobileメール、au one netメールは異なる設備で運用され、被害はないとされる。
- データ
- 確定上限 14,220,000確定 12,233,087件メールハッシュ化PW最大1422万件は6月23日公表の漏えい可能性の上限（解約済み・休眠アカウントを含む）。7月6日の続報でKDDI全体のメールアドレス1223万3087件、パスワード761万6173件の漏えいが確認され、パスワードはメールアドレスの内数。パスワードにはハッシュ化・暗号化されたものも含まれるが、全件の状態は出典から読み取れない。STNet分は397,152名分のアドレスとパスワードとの報道がある。他のISP別では、ニフティがメールアドレス224万8,708人分・パスワード186万2,462人分、BIGLOBEがメールアドレス5,016,432人分、JCOMがメールアドレス2,593,076名分と報じられている。総務省関連の報道では約762万人のメールボックス内情報が閲覧可能となっていたとされる。
- 波及先
- 6 社
- STNet（ピカラ光・ピカラモバイル・お仕事ピカラ）
- KDDIウェブコミュニケーションズ（レンタルサーバーCPI）
- JCOM（J:COM NET・ケーブルテレビ事業者向け）
- 中部テレコミュニケーション（コミュファ光・ビジネスコミュファ）
- ニフティ（@niftyメール）
- ビッグローブ（BIGLOBEメール）
- 金銭影響
- —
- サプライチェーン
- STNetのメールサービスはKDDIがISP事業者向けに提供するメールシステムを使用しており、KDDIが同システムの一部として導入していた第三者製ソフトウェアの脆弱性悪用により顧客情報が漏えいした。
時系列
技術解説
攻撃の構造：共通メール基盤の第三者製ソフトウェアの脆弱性 事実
対象のシステムは、KDDIが開発したISP事業者向けのメール基盤である。アカウント管理、メール送受信、Webメール、メールデータの保存を一体的に提供している。この基盤の一部として導入されていた第三者製ソフトウェアの脆弱性が悪用された。製品名とCVEは公表されていない。不正アクセスは一部のISP事業者で5月16日から発生していた。KDDIは6月17日に確認し、同日中にシステムを改修して脆弱性へ対処した。STNetには6月20日に、KDDIから顧客情報が漏えいした可能性があるとの報告があった。STNetが対象に含まれる開始日は、出典から読み取れない。
件数の整理：公表上限・確認値・報道値の区別 事実
6月23日の第1報で、漏えいの可能性がある件数は最大1422万件とされた。この数には解約済み・休眠アカウントが含まれ、調査継続中のため最大値だと説明された。7月6日の続報では、KDDI全体でメールアドレス1223万3087件、パスワード761万6173件の漏えいが確認された。パスワードはメールアドレスの内数である。ニフティ分はアドレス224万8,708人分、パスワード186万2,462人分と報じられた。STNet分の397,152名分は報道の見出しにある数字で、アドレスとパスワードの内訳は出典から読み取れない。総務省関連の報道では、約762万人のメールボックス内の情報が閲覧可能となっていたとされる。
共通基盤が波及を生んだ構造（解釈） 解釈
ここからは解釈である。6社のメールサービスが1つの基盤を共有していたため、基盤側の脆弱性が複数ブランドの利用者へ同時に及んだとみられる。STNetは基盤の利用側にあたり、侵害の検知や原因の特定をKDDIの調査に頼る立ち位置にあった。KDDIが確認した時点でソフトウェアベンダーが脆弱性を認識していなかったとの報道があり、事前のパッチ適用では防げない種類の事案だった可能性がある。第1報が6月23日になった理由について、KDDIは6社と同時に周知するための準備だったと説明している。利用者への周知を揃える判断として理解できるが、確認から公表までの6日間の影響は出典からは判断できない。
対応と当局の動き 事実
KDDIは6月17日に同日中のシステム改修と防御措置を実施した。6月21日には外部通信を制御する全サーバーへのEDR導入を完了した。6月23日には第三者機関のフォレンジック調査で、当該脆弱性以外に不審な痕跡がないことを確認した。利用者のパスワードはISP側と連携して変更が進められ、利用頻度の低い利用者も数日以内に強制変更が進められるとされた。ニフティとビッグローブは、変更が確認できなかったパスワードを無効化する方針である。総務省は6月24日に電気通信事業法第166条第1項に基づく報告を求め、KDDIは7月6日に報告書を提出した。7月29日には総務省がKDDIへの文書による行政指導を発表した。指導の内容は、与えられた出典からは確認できない。
対応
- 封じ込め
- KDDIは2026年6月17日に不正アクセスを確認し、同日中にシステムを改修して被疑箇所の特定と技術的な防御措置、脆弱性への対処を実施した。6月21日に外部通信を制御する全サーバーへEDR導入を完了し、6月23日にフォレンジック調査で当該脆弱性以外の不審な痕跡がないことを確認した。ISP側と連携してメールパスワードの変更を進めており、日常的に利用するユーザーの多くは変更を終え、利用頻度の低いユーザーも数日以内に強制変更が進められるとされた。ニフティとビッグローブは変更が確認できなかったパスワードを無効化する。今後はAIを活用したプログラム分析と、セキュリティ強度の高い通信規格への早期移行を進める。
- 公表の仕方
- KDDIが2026年6月23日に第1報、7月6日に続報を公表し、STNetも7月6日に続報を発表した。公表が6月23日になったのは、6社と同時に周知するよう準備を進めたためとKDDIは説明している。
- 当局対応
- 個人情報保護委員会（KDDIが報告・相談）
- 総務省（6月24日に電気通信事業法第166条第1項に基づく報告を要求、7月6日に報告書提出、7月29日に文書による行政指導）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共有基盤の上でサービスを提供する事業者は、基盤の構成と責任分界を把握しておく必要がある。 | 基盤提供者から主要コンポーネントの一覧（SBOM相当）を受領し、台帳で管理する。契約に、侵害を検知した際の連絡期限、連絡窓口、共同で行う調査の範囲を明記する。年1回は連絡訓練を行い、連絡経路が機能することを確認する。 |
| ベンダーが認識していない脆弱性は、パッチ適用だけでは防げない。侵入後の検知と封じ込めが要になる。 | 外部通信を受けるサーバー全台にEDRを導入する。メール基盤のログ（認証、管理操作、外向き通信）を中央に集め、保存期間を侵入の長期化に備えて設定する。ベンダーの脆弱性通知を受け取る窓口を整備する。 |
| 認証情報が漏えいした場合に備え、保管方式と全利用者への一括失効の手順を整えておく。 | パスワードはbcryptやArgon2などの遅延型ハッシュで保存し、可逆な暗号化は避ける。全アカウントを対象にパスワードを強制失効して再設定へ誘導する機能を事前に用意する。一定期間変更が確認できないパスワードを無効化する運用手順を作り、予行演習する。 |
| 解約済み・休眠アカウントの情報も、漏えいの対象に含まれ得る。 | 解約後の認証情報とメールデータの保持期間を定め、期限を過ぎたものを自動削除するジョブを実装する。休眠アカウントを定期的に抽出し、無効化と削除の基準を運用する。 |
| 件数は、調査中の上限と確認済みの値を分けて公表することで、利用者が状況を判断しやすくなる。 | 公表テンプレートに「可能性（上限）」「確認済み」「内数・内訳」の欄を設ける。続報で値が変わる場合に備え、算出方法と更新日を明記して管理する。 |
自組織などでの確認項目
- 自組織のメールやID基盤で、外部事業者が提供する共通基盤やその内部の第三者製ソフトウェアを、一覧で説明できるか。
- 基盤の提供元から侵害の連絡を受けた場合、連絡窓口、利用者への周知文の承認者、パスワードの一括失効の担当は決まっているか。
- 自組織で保持している解約済み・休眠アカウントの認証情報はどれくらいあるか。保持期間と削除の基準は定められているか。
未解明点
- 侵害された第三者製ソフトウェアの製品名とCVEは公表されていない。ベンダーによる情報公開の時期と内容は、与えられた出典からは分からない。
- STNetの漏えい件数について、アドレスとパスワードの内訳と確定値は、報道の見出し以外の出典では確認できない。
- STNetが対象となった不正アクセスの開始時期は、出典から読み取れない。
- 総務省がKDDIに行った文書による行政指導の具体的な内容は、与えられた出典に記載がない。
- パスワードのうち、ハッシュ化や暗号化されていたものの割合と、その方式は公表されていない。
出典
- 1＠IT2026-06-25報道本文確認済
- 2INTERNET Watch（Impress）2026-06-23報道本文確認済
- 3ケータイ Watch（Impress）2026-06-23報道本文確認済
- 4ケータイ Watch2026-07-06報道本文確認済
- 5熊本日日新聞社（共同通信配信）2026-06-23報道本文確認済
- 6KDDI株式会社2026-06-23公式本文確認済
- 7ScanNetSecurity2026-07-08報道本文確認済
- 8ScanNetSecurity2026-08-10報道本文確認済
- 9Impress Watch2026-07-06報道本文確認済