KDDI、最大1422万件の個人情報漏えい 6社のISPに影響

【緊急】KDDIのISP向けメールシステムが不正アクセス被害――1422万件の個人情報漏えいが発覚

2026年6月23日、国内大手通信キャリアであるKDDI株式会社は、インターネット接続事業者（ISP）向けに提供するメールシステムが不正アクセスを受け、最大1422万件のメールアドレスおよびパスワードが外部に漏えいした可能性があると公式発表した。対象は@niftyメール、BIGLOBEメール、J:COM NETなど計6社のメールサービスに及び、国内の通信インフラにおける深刻なセキュリティ侵害として大きな波紋を呼んでいる。

本事案は、単なる一企業のシステム障害にとどまらない。複数のISP事業者が共用するインフラの集中管理モデルが抱えるリスクを白日の下にさらした点で、通信業界全体が真剣に向き合うべき課題を提示している。パスワードやメールアドレスといった認証情報の大規模流出は、フィッシング詐欺やアカウント乗っ取りなどの二次被害に直結するため、対象ユーザーは今すぐ行動することが求められる。

事案の詳細：何が起きたのか

不正アクセスの経緯と発覚のタイムライン

KDDIが不正アクセスを確認したのは2026年6月17日のことだった。同社は確認した当日中に被害拡大を防止するためシステムを改修し、不正アクセスの被疑箇所を特定したうえで技術的な防御措置を実施した。その後、6月17日以降、対象のISP事業者へ順次連絡を開始。公式発表は6月23日に行われた。

不正アクセスの原因は、システムで利用していた第三者製ソフトウェアの脆弱性を悪用されたことによるもの。KDDIはすでに被疑箇所を特定し、技術的な防御措置を実施済みとしているが、公表時点で攻撃者がデータにアクセスできた期間の詳細は明らかにされていない。

漏えいした可能性がある情報

メールアドレス・パスワード：最大1,422万件（調査継続中のため最大値として公表）
パスワードにはハッシュ化・暗号化されたものも含まれるが、すべてが暗号化されていたかは未公表
解約済みアカウントや長期間利用のない休眠アカウントも対象に含まれる
メールボックスへのログインが可能な状態になっているとみられ、メール本文の不正閲覧や送信機能の悪用のリスクも指摘されている

影響を受けるISP事業者とサービス（6社）

STNet：「ピカラ光サービス」「ピカラモバイルサービス」「お仕事ピカラサービス」のメールサービス
KDDIウェブコミュニケーションズ：レンタルサーバー「CPI」のメールサービス
JCOM：「J:COM NET」およびケーブルテレビ事業者向けメールサービス
中部テレコミュニケーション：「コミュファ光」「ビジネスコミュファ」のメールサービス
ニフティ：「@niftyメール」
ビッグローブ：「BIGLOBEメール」

なお、KDDI本体が運営するauやUQ mobileのメールサービスは、今回の被害を受けたシステムとは別の基盤で管理されており、影響はないとKDDIが明示している。

ビジネス視点：企業・経営者にとっての意味

「メールOEMモデル」が生んだ集中リスク

今回の大規模漏えいの背景には、KDDIが複数のISP事業者にまとめてメールシステムを提供する「メールサービスのOEM（相手先ブランドによる生産）」モデルが存在する。ISP事業者が独自にメールサーバーを開発・運用するには高いコストと技術的負担が伴うため、専門事業者のシステムを借りる形は業界全体で広く普及した合理的な選択だった。

「ISPにとってメールサービスの運用負荷は高く、運用に強い事業者に外部委託する傾向がある」（ISP業界関係者）

しかし、このモデルは単一障害点（Single Point of Failure）を生む構造的リスクも内包している。通常、相乗りする各ISPの情報は互いに見られないようアクセス制御が講じられているはずだが、今回は同サービスを利用する全ISPの情報が漏えい疑いの対象となっており、アクセス制御の分離が十分に機能しなかった可能性が指摘されている。

KDDI全体のガバナンスへの影響

KDDIをめぐっては、今回の情報漏えい事案以前にも子会社における不正会計問題が報じられるなど、企業ガバナンスへの視線が厳しくなっている時期にこの事案が発覚した。投資家・ステークホルダーからの信頼回復という課題がさらに複雑化する状況となっている。

また、本件は企業側にとってもサプライチェーンセキュリティの重要性を改めて認識させる事案である。外部委託先のシステム脆弱性が自社ブランドへの信頼毀損につながるリスクは、今やすべての企業が直面する経営課題と言えよう。

消費者・生活者視点：一般ユーザーへの影響と取るべき行動

考えられる二次被害リスク

アカウントの乗っ取り：メールアドレスとパスワードのセットが流出した場合、メールボックスへの不正ログインが行われる可能性がある
パスワードの使い回し被害：同一パスワードを他のサービス（SNS、ネットバンキング、ECサイトなど）でも使用している場合、それらのアカウントも危険にさらされる
フィッシング詐欺：流出したメールアドレス宛てに「パスワード変更のお願い」を装った偽のリンクを含む詐欺メールが送られてくるリスクがある
スパム・迷惑メールの増加：メールアドレスがスパムリストに使用される可能性がある

今すぐ取るべき対策

対象サービスのメールパスワードをただちに変更する（各ISPの公式サイトから手続き）
同じパスワードを他のサービスで使用している場合は、すべて変更する
不審なメールのリンクはクリックしない。公式情報は必ず各ISPの公式サイトで直接確認する
解約済みのアカウントであっても、同じパスワードを他のサービスで継続使用している場合は変更が必要
可能であれば、各サービスで二段階認証（2FA）を設定する

KDDIはISP経由で対象ユーザーへ早急なパスワード変更を呼びかけており、個人情報保護委員会および総務省にも事態を報告・相談のうえ、影響範囲の特定を急いでいる。

専門家の見解：業界が指摘するリスクと構造問題

集中管理モデルのリスクが現実化

情報セキュリティの専門家やISP業界関係者は、今回の事案について「複数の事業者が同一システムに依存する構造が抱えるリスクが、現実の事件として表面化した」と指摘する。個々のISPにとってメールシステムの外部委託は合理的な経営判断だが、その結果として特定のシステムに多くの事業者・ユーザーの情報が集積される構造は、一度脆弱性を突かれた際の被害規模が格段に拡大するという「集中リスク」を生む。

発覚から公表までの6日間

KDDIが不正アクセスを確認したのは6月17日で、公式発表は6月23日。発覚から公表まで6日間のタイムラグが生じており、この間にISP事業者への連絡と技術的対応が進められた。当日中にシステム改修・防御措置を実施した点は評価される一方、「攻撃者がデータを取得できた期間」については現時点で未公表であり、より詳細な情報開示が求められる。

国内メールインフラへの連続攻撃

メール基盤に対するサイバー攻撃は、KDDIだけの問題ではない。セキュリティ専門メディアは、KDDI・IIJ・TOKAIコミュニケーションズ・NTTPCコミュニケーションズ（WebARENA）など、国内のISP・メール基盤を狙った攻撃が相次いでいると報告しており、通信インフラ全体に対する組織的な脅威の可能性も否定できない状況だ。

国際比較：海外での同様の事例と規制動向

世界的に増加するメール認証情報の大規模漏えい

メールアドレスやパスワードの大規模漏えいは、日本固有の問題ではなく世界共通の脅威だ。欧米では、GDPRの厳格な個人情報保護規制のもと、データ侵害の発生から72時間以内に当局への報告が義務付けられており、違反企業には売上高の4%または2,000万ユーロを上限とする高額制裁金が科される。

米国でも各州のプライバシー法（カリフォルニア州CCPAなど）が整備され、企業の情報管理責任がより厳しく問われる。一方、日本では改正個人情報保護法のもと漏えい発生時の報告義務が強化されているが、制裁の水準や対応の迅速性において海外との差が課題として指摘されることもある。

サードパーティソフトウェアの脆弱性悪用は世界的トレンド

今回の原因とされた「第三者製ソフトウェアの脆弱性悪用」は、サプライチェーン攻撃として世界的に増加しているサイバー攻撃手法の一つだ。2020年のSolarWinds事案や2021年のKaseya事案など、海外でも基盤ソフトウェアの脆弱性を狙った大規模攻撃が多発しており、グローバルなサイバーセキュリティ課題として認識されている。

今後の展望：注目すべきポイント

1. 影響範囲の精査と最終的な被害件数の確定

現時点の1,422万件はあくまで最大値であり、継続調査による実数の公表が待たれる。パスワードの暗号化状況（どの範囲が平文だったか）の開示も、被害の深刻度を判断する上で重要な情報となる。

2. 個人情報保護委員会・総務省の対応

KDDIは個人情報保護委員会と総務省に事態を報告済みだ。行政指導や再発防止命令など、当局の対応が今後の通信業界全体のセキュリティ基準に影響を与える可能性がある。

3. ISPのOEMモデル見直しの機運

今回の事案により、メールシステムを外部委託するISP事業者の間で調達・運用モデルの見直しを検討する動きが広がる可能性がある。セキュリティ要件の強化や、複数のシステム分散など、業界構造の変革を促す契機となりうる。

4. フィッシング詐欺などの二次被害動向

今回流出したメールアドレスを悪用したフィッシングメールやスパムの増加が懸念される。すでに国内ISPの認証情報を悪用したフィッシングメールが多発しているとの報告もあり、ユーザーは継続的な警戒が必要だ。

5. 東京商工リサーチのデータが示す構造的問題

東京商工リサーチの調査によれば、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件に上り、被害者数は前年比約2倍の3,000万人超に達している。原因の6割は不正アクセスやウイルス感染によるものであり、今回のKDDI事案はこの大きなトレンドの中に位置づけられる。サイバー脅威が年々増大する中、通信インフラ全体のセキュリティ強化は急務だ。

まとめ：この事案の3つのポイント

【規模と対象】 KDDIのISP向けメールシステムへの不正アクセスにより、@nifty・BIGLOBE・J:COM NETなど6社のメールサービスで最大1,422万件のメールアドレス・パスワードが漏えいした可能性がある。解約済みや休眠アカウントも含まれるため、過去の利用者も注意が必要だ。
【原因と構造問題】 第三者製ソフトウェアの脆弱性悪用が原因。複数のISPが一つのシステムを共用する「メールOEMモデル」が、被害を大規模化させた構造的リスクとして浮かび上がっている。
【ユーザーが今すぐすべきこと】 対象サービスのメールパスワードをただちに変更し、他のサービスでの使い回しパスワードも一括変更を。フィッシング詐欺メールへの警戒を怠らず、情報は必ず各ISPの公式サイトで確認すること。

参考情報

著者プロフィール

伊東雄歩（いとうゆうほ） / ゆぽゆぽ

株式会社ウォーカー代表取締役 / MENSA会員 / NLPマスタープラクティショナー

IQ130超のADHD経営者。「社会不適合」ゆえに会社員を2年で挫折し、フリーランスを経由せずいきなり起業。訴訟4回、2000万円の損失、役員の裏切り、オフショア開発の地獄を乗り越え10年生き残る。心理学・教育学に1000万円投資し、独自の「成長力学」を確立。現在は生成AI教育に注力し、「3年を2日に変える」AIプログラミング2Daysキャンプを全国展開中。AIフレンズコミュニティを運営。

夢は「世界征服」——世界の常識を変え、新しい価値観を提示すること。