KDDIのメールシステム不正アクセス、約1223万件のアドレス／約762万のパスワードが漏えい パスワード強制変更へ

[田中聡，ITmedia]

　KDDIは7月6日、ISP（インターネットサービスプロバイダー）向けのメールシステムへの不正アクセスについて、総務省に報告書を提出した。同社は6月17日に不正アクセスを確認し、同日中にシステムを改修して技術的な防御措置を実施した。

　なお、auメールやUQ mobileメール、au one netメールは異なる設備で構築されているため、今回の不正アクセスによる影響や情報の漏えいはない。

不正アクセスの経緯と影響範囲を公表したKDDIの報告内容。

　調査の結果、システムの一部に導入していた第三者製ソフトウェアの脆弱（ぜいじゃく）性を悪用されたことが原因だと判明した。この脆弱性は6月17日時点でソフトウェアベンダーも認識していない未知のものだった。漏えいが確認された情報は、電子メールアドレスが1223万3087人、パスワードが761万6173人に上る。

　これまで、多くの対象ユーザーがパスワード変更を実施しているが、同社はプロバイダーと連携し、対象ユーザーのパスワード強制変更を1、2日中に完了させる。

総務省がKDDIに対して求めた報告徴収

　KDDIは、6月21日までに全サーバへ不正アクセス検知を強化するソフトウェアを導入し、第三者機関による調査で他に不審な痕跡がないことを確認した。今後はAIを活用してソフトウェアの設計書やプログラムを分析し、潜在的な問題を網羅的にチェックする。さらに、プロバイダーと共にセキュリティ強度の高い通信規格への移行を早期に進め、業界全体の安全性向上に貢献していくとする。