KDDIのメールシステム不正アクセス、約1223万件のアドレス／約762万のパスワードが漏えい パスワード強制変更へ

KDDIは2026年7月6日、ISP向けのメールシステムに対する不正アクセスについて総務省へ報告書を提出した。調査の結果、1223万3087人の電子メールアドレスと761万6173人のパスワードの漏えいが確認された。同社はシステムの改修やパスワード変更を進め、今後はAIを活用したプログラム分析などで再発防止を図る。

[田中聡，ITmedia]

　KDDIは7月6日、ISP（インターネットサービスプロバイダー）向けのメールシステムへの不正アクセスについて、総務省に報告書を提出した。同社は6月17日に不正アクセスを確認し、同日中にシステムを改修して技術的な防御措置を実施した。

　なお、auメールやUQ mobileメール、au one netメールは異なる設備で構築されているため、今回の不正アクセスによる影響や情報の漏えいはない。

不正アクセスの経緯と影響範囲を公表したKDDIの報告内容。

　調査の結果、システムの一部に導入していた第三者製ソフトウェアの脆弱（ぜいじゃく）性を悪用されたことが原因だと判明した。この脆弱性は6月17日時点でソフトウェアベンダーも認識していない未知のものだった。漏えいが確認された情報は、電子メールアドレスが1223万3087人、パスワードが761万6173人に上る。

　これまで、多くの対象ユーザーがパスワード変更を実施しているが、同社はプロバイダーと連携し、対象ユーザーのパスワード強制変更を1、2日中に完了させる。

総務省がKDDIに対して求めた報告徴収

　KDDIは、6月21日までに全サーバへ不正アクセス検知を強化するソフトウェアを導入し、第三者機関による調査で他に不審な痕跡がないことを確認した。今後はAIを活用してソフトウェアの設計書やプログラムを分析し、潜在的な問題を網羅的にチェックする。さらに、プロバイダーと共にセキュリティ強度の高い通信規格への移行を早期に進め、業界全体の安全性向上に貢献していくとする。