NEWS QUEST　ニュースの「はてな」を解く

わかりやすく疑問を解説

KDDIに不正アクセス、最大1422万件のメール情報流出か

ニュース解説

※この記事には、アフィリエイトリンクや広告（Google AdSenseなど）が含まれています。 リンク経由の申込みや広告の表示・クリックにより、運営者に収益が入ることがあります。

KDDIに不正アクセス

通信大手のKDDIは2026年6月23日、取引先のプロバイダー向けに提供しているメールシステムが不正アクセスを受け、最大1422万件のメールアドレスやパスワードが外部に流出した可能性があると発表しました。対象は「@niftyメール」や「BIGLOBEメール」など6社のメールサービスです。KDDIは利用者に対し、早急なパスワードの変更を呼びかけています。

何が起きたのか

今回、不正アクセスを受けたのは、KDDIがISP（インターネット接続事業者）向けに提供しているメールシステムです。ISPとは、私たちがインターネットにつなぐときに契約する「プロバイダー」のことです。

KDDIによると、流出した可能性があるのは、各メールサービスで作られたメールボックスに結びつくメールアドレスとパスワードで、件数は最大1422万件にのぼるとされています。この数には、現在使っているアカウントだけでなく、すでに解約した利用者や、長く使われていない休眠アカウントも含まれます。パスワードの一部は、暗号化などの処理がされていたと説明されています。

影響が出たのは、STNet、KDDIウェブコミュニケーションズ、J:COM、中部テレコミュニケーション、ニフティ、ビッグローブの6社です。光回線やレンタルサーバーに付くメールサービスなどが対象とされています。一部報道では、メール本文が流出した恐れもあると伝えられています。

なお、KDDI本体が提供する「auメール」は別の仕組みで管理されているため、今回の被害は生じていないと説明されています。

背景・経緯

KDDIが不正アクセスを把握したのは、発表より前の6月17日でした。同社は同じ日のうちに、被害の拡大を防ぐためのシステム改修や、技術的な防御措置を実施したとしています。原因については、システムで使っていた第三者（他社）製のソフトウエアの弱点（脆弱性）を悪用されたためと説明されています。不正アクセスが始まった時期は、調査中とされています。

今回、被害が複数の会社に広がった背景には、KDDIが共通のメール基盤を多くのISPに提供していたという事情があります。一つの基盤が狙われたことで、影響が横断的に及んだ形です。KDDIは、関係する法律にもとづき、個人情報保護委員会（個人情報の扱いを監督する国の機関）や総務省への報告・相談も済ませたとしています。

個人情報の流出は、近年増加傾向にあります。東京商工リサーチによると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失は180件にのぼり、被害を受けた人は前年の約2倍となる3000万人超に達したとされています。その原因の約6割が、不正アクセスやウイルス感染によるものだったと報じられています。通信業界でも、2023年にNTT西日本で約900万件の情報が持ち出された問題などが起きていました。

各方面の反応と論点

被害を受けたISP各社は、利用者に対してパスワードの早急な変更を呼びかけています。メールアドレスとパスワードが第三者に取得された可能性があるため、放置すると不正ログインなどの二次被害につながる恐れがあるためです。

専門家などからは、特に「パスワードの使い回し」に注意が必要だという指摘が出ています。同じパスワードを複数のサービスで使っていると、一つ漏れただけで被害が連鎖的に広がりかねないためです。あわせて、利用者をだまして情報を盗もうとする偽メールにも警戒が必要だとされています。案内を装ったメールのリンクは安易に開かず、各社の公式サイトを自分で確認するのが安全とされています。

論点として浮かび上がっているのが、共通の基盤や他社製ソフトに頼る仕組みのリスクです。便利で効率的な一方、一カ所の弱点が広範囲の被害に直結しやすいという課題が、改めて意識される形となっています。

今後の展開・まとめ

KDDIは「現時点で実際の被害の報告は受けていない」と説明していますが、調査は続いており、今後さらに詳しい内容が公表される可能性があります。利用者としては、まず該当する6社のサービスを使っていないかを確認し、心当たりがあればパスワードを変更しておくことが、当面の自衛策になりそうです。

便利なネットサービスの裏側で、私たちの情報は数多くの企業に預けられています。今回の件は、その情報をどう守るかという課題を、利用者・企業の双方に突きつけたといえそうです。

参照元