KDDIのISP事業者向けメールシステムへの不正アクセスについてまとめてみた

2026年6月23日、KDDI株式会社は、同社がISP事業者向けに提供するメールシステムが不正アクセスを受け、STNet・JCOMなど6社のメールサービスに関する情報の一部が外部に漏えいした可能性があると公表しました。(出典: 1) その後、総務省による報告徴収(出典: 15)や、漏えい情報を悪用したとみられるフィッシングメールに関する注意喚起(出典: 16)も行われています。ここでは関連する情報をまとめます。

ISP6社提供のメールサービスに影響波及

KDDIは2026年6月17日、自社がISP事業者向けに提供するメールシステム(以下、本システム)が不正アクセスを受け、各ISP事業者が提供する電子メールサービスの情報の一部が外部に漏えいした可能性があることを確認した。KDDIは同日中に被害拡大を防止するため本システムを改修し、被疑箇所を特定したうえで技術的な防御措置を実施。(出典: 1)

その後6月23日にKDDIは「ISP事業者向けメールシステムに対する不正アクセスの発生について」を公表し、対象となるISP事業者名と影響を受けるメールサービスを次の6社(五十音順)と説明した。(出典: 1)

対象ISP事業者	対象メールサービス
株式会社STNet	ピカラ光サービス、ピカラモバイルサービス、お仕事ピカラサービスに係るメールサービス
株式会社KDDIウェブコミュニケーションズ	レンタルサーバー「CPI」のメールサービス
JCOM株式会社	「J:COM NET」およびケーブルテレビ事業者向けメールサービス
中部テレコミュニケーション株式会社	コミュファ光・ビジネスコミュファのメールサービス
ニフティ株式会社	@niftyメール
ビッグローブ株式会社	BIGLOBEメール

KDDIは2026年7月6日、「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」を公表し、調査継続中としていた最大値(初報では最大1,422万件と公表)に代えて確定値を示した。(出典: 1, 2) 漏えいした情報は以下の通り。

① 本システムで作成された電子メールアドレスの漏えい対象人数	12,233,087名
② パスワードの漏えい対象人数	7,616,173名(①の内数)

解約済みの顧客や一定期間利用のない休眠アカウントも対象。(出典: 1)
パスワードにはハッシュ化・暗号化されたものも含まれるとしているが続報ではパスワードの詳細について触れられていない。(出典: 1, 2)
KDDIは対象6社の内訳を公表はしていないが、確定値は対象6社の合算であり、後述のとおり対象6社すべての個別内訳が判明している。(出典: 2)

ゼロデイ脆弱性を悪用したサイバー攻撃

KDDIの調査によれば、不正アクセスは、本システムで利用していた第三者製ソフトウェアの脆弱性を悪用されたことによるものと判明した。(出典: 1) さらに7月6日の続報で、この脆弱性についてKDDIが確認した時点(6月17日)ではソフトウェアベンダー自身も認識していなかった、いわゆるゼロデイ脆弱性であったことを明らかにした。ベンダーは当該脆弱性について公的機関への届け出および情報公開に向けた取り組みを進めているとしている。具体的な製品名・脆弱性番号(CVE番号等)は7月6日時点で公表していない。(出典: 2)

また同日、不正アクセスの開始時期についても「一部のISP事業者において、2026年5月16日から発生していた」と確定・公表した。これは対象6社全体としての最も早い開始時期を示すもの。(出典: 2) 一方、後述のとおりKDDIウェブコミュニケーションズは自社(レンタルサーバー「CPI」)分について「2026年6月8日から発生していた」と別途公表しており(出典: 4)、前者が対象6社全体の中での最早開始日、後者が個社ごとの開始日という粒度の違いによるものと考えられる。

KDDI広報は6月23日の取材に対し「現在、実被害報告なし」「auメールなど別システムは影響なし」とコメントし、日本経済新聞も「KDDI自身のメールサービスは別基盤のため影響を受けていません」と報じた。(出典: 18) このコメント以降も実被害(アカウントの不正利用等)の有無に関する追加の公式発表は、2026年7月3日時点で確認されていない。さらにKDDIは7月6日の続報でも、モバイルおよび固定インターネットのメールサービス(auメール、UQ mobileメール、au one netメール)は本システムとは異なる設備で構築されており、本件不正アクセスによる影響や情報の漏えいはないと改めて公表している。(出典: 2)

日経クロステック/日経NETWORKは6月24日、業界関係者への取材に基づき、ISP各社がKDDIにメールサービスを外部委託する「OEM」的な構造を解説する記事を報じており、今回はこの共通基盤を利用する全ISPの情報が漏えい対象となったと説明した。(出典: 25)

事業者ごとに異なるパスワード漏えいの有無

対象6社のうちKDDIウェブコミュニケーションズとJCOMは、7月6日にそれぞれ続報を公表し、6月23日時点の告知内容を更新した。KDDIウェブコミュニケーションズは、自社(レンタルサーバー「CPI」)については2026年6月8日から不正アクセスが発生していたとし、対象顧客数(電子メールアドレスの漏えい)を1,250,543名と確定したうえで、「パスワードそのものの漏洩はございません」としてパスワード漏えいを否定する内容に訂正。(出典: 3, 4) JCOMも、6月23日時点では予防的措置としてパスワードを無効化していたが、サポート告知ページでは「漏えいが確認された情報はお客さまのメールアドレスのみであり、お客さまの氏名やパスワードなど、その他の個人情報の漏えいは確認されておりません」と訂正した。(出典: 5, 6) ただし、これはJCOMが提供するサービスのうち「J:COM NET」利用者(2,473,191名)を指すものであることが、同日付で別途公表されたニュースリリースにより判明している。同リリースによれば、①J:COM NET利用者は電子メールアドレスの漏えいが2,473,191名で、メールアドレスのみでパスワードの漏えいはない。②これとは別区分の「ケーブルテレビ事業者向けサービス」利用者について電子メールアドレスの漏えいが119,885名確認され、このうち1,257名でメールパスワードの漏えいも確認されたとしている。(出典: 7) したがって「JCOMはパスワード漏えいなし」と一括りにするものではなく、サービス区分によってパスワード漏えいの有無が異なるというのが実態。

一方、STNet(ピカラ)は7月6日更新のサポート告知ページで、「ピカラ光サービス」「ピカラモバイルサービス」「お仕事ピカラサービス」に係るメールサービスにおいてメールアドレスおよびパスワードが漏洩したことを確認したと明記しており、パスワード漏えいを否定していない。(出典: 8) 同日付のプレスリリース本体では、対象人数として顧客数397,152名、メールアドレスとメールアドレスのパスワードの漏えい件数456,159件を確定・公表した。同社によれば、この人数・件数には法人顧客を含み、1人が複数のメールアドレスを保有する場合があるため件数の方が多くなっているという*1。同社分の不正アクセスは2026年6月14日から17日の間に発生していたといい、KDDIからは6月20日に本件および漏えい可能性に関する報告を受けたとしている。(出典: 9) STNetは2026年7月7日(7月8日更新)、個別に案内していた変更期限までにメールパスワードの変更が完了していなかった顧客について、新しいメールパスワードへの強制変更を実施したと公表した。「ピカラ光サービス」利用者には新しいメールパスワードを記載した書面を個別に順次郵送するとしている。対象人数等の新たな数値の公表はない。(出典: 30)

ビッグローブは7月2日更新の告知で、BIGLOBEメールアドレス・BIGLOBE ID・パスワードが外部に漏えいした可能性があるとする記載を維持しており、否定はしていなかった。(出典: 10) その後、7月6日の第二報で、BIGLOBEメールアドレス・BIGLOBE IDの漏えい対象人数を5,016,432人、うちパスワードの漏えいを4,631,775人(内数)と確定し、パスワード漏えいは「あり」で確定。同社はKDDIから6月21日に本件の報告を受け、2026年7月6日に個人情報保護委員会および総務省へ本件不正アクセスに関する報告を行ったことも公表している。(出典: 11) パスワード未変更の利用者を対象とした強制リセットについて、同社は7月2日更新の告知では2026年7月3日以降に実施する予定としていたが、7月9日更新の告知で、実際には2026年7月1日から7月9日にかけてBIGLOBEパスワードのリセット作業とこれに伴うメンテナンスを実施し、予定通り完了したと公表した*2。リセット対象は「BIGLOBEパスワード」のみで、「接続パスワード」は今回の漏えいの対象外のため強制リセットの対象外である旨も改めて案内している。(出典: 29)

中部テレコミュニケーションも7月6日付で続報を公表し、対象顧客数をメールアドレス漏えい727,176名、メールパスワード漏えい724,344名と確定した。なお、このメールパスワード漏えいの724,344名は、メールアドレス漏えい727,176名の内数であることが原文に明記されている。パスワード漏えいについては「確認された」旨の記載を維持しており、KDDIウェブコミュニケーションズ・JCOMのような「なし」への訂正はされていない*3。また同社は、KDDIから2026年6月21日に本件不正アクセスおよび顧客情報の漏えい可能性に関する報告を受けたこと、2026年7月6日に個人情報保護委員会ならびに総務省へ本件不正アクセスに関する報告を行ったことを公表している。(出典: 12)

ニフティは6月23日に初報を公表し、@niftyメールのメールアドレスおよびメールパスワードが第三者に漏えいした可能性があるとしていた(出典: 13)が、7月6日の第二報で、電子メールアドレスの漏えい2,248,708名・メールパスワードの漏えい1,862,462名(前者の内数)の漏えいを確定した。パスワード漏えいは確認されており、KDDIウェブコミュニケーションズ・JCOMのような「なし」への訂正を行っていない。同社は自社分について、不正アクセスが2026年5月24日から発生していたと説明する。なお同社は、2026年6月1日に不正アクセスの懸念を判断してKDDIに連絡し調査を開始したとしており、これはKDDIが不正アクセスを確認したと公表した6月17日より前の時点である。変更が確認できないメールアドレスについては、2026年6月26日から順次パスワードを無効化したとした。(出典: 14)

事業者	パスワード漏えいの扱い(7月6日時点)
KDDIウェブコミュニケーションズ	なし。メールアドレス1,250,543名
JCOM	J:COM NETはなし。ケーブルテレビ事業者向けは一部あり(119,885名中1,257名)
STNet(ピカラ)	あり。顧客数397,152名/メールアドレス・パスワード数456,159件
ビッグローブ	あり。メールアドレス・ID 5,016,432人/パスワード4,631,775人
中部テレコミュニケーション(コミュファ光)	あり。メールアドレス727,176名/パスワード724,344名
ニフティ	あり。メールアドレス2,248,708名/パスワード1,862,462名

対象6社(JCOMはJ:COM NET/ケーブルテレビ事業者向けの2区分)の確定人数と、色分けで示したパスワード漏えいの有無(2026年7月6日公表資料に基づく)。STNet(ピカラ)は顧客数ベースの値で、同社が別途公表する「件」ベースの数値とは母数が異なる。

以上により、対象6社すべての個別内訳が判明しており、合計すると12,233,087名となり、KDDIが公表した全体確定値と完全に一致。*4(出典: 2, 4, 7, 9, 11, 12, 14) 他方で、パスワード漏えい側(KDDI全体の確定値7,616,173名)については、STNetがパスワードの漏えいを「件」で公表しているなど母数が事業者間で異なるため単純合算は行わない。

総務省が電気通信事業法に基づき報告徴収

総務省総合通信基盤局電気通信事業部利用環境課は6月24日、電気通信事業法第166条第1項の規定に基づき、KDDIに対して報告徴収を実施したことを公表した。報告を求める事項は、以下の通り。報告期限は2026年7月6日。(出典: 15)

(1)発生原因(発生時期等の事実関係の詳細を含む)
(2)影響範囲
(3)事案に対する対応状況
(4)利用者への対応状況
(5)再発防止策

KDDIは7月6日、提出期限当日に総務省へ報告書を提出したと公表。報告書の内容そのものはこれまでのところ公表はされていないが、同日公表された前述の確定値・侵入開始時期・原因(ゼロデイ脆弱性)・再発防止策等が、報告事項(発生原因・影響範囲・事案に対する対応状況・利用者への対応状況・再発防止策)に対応する内容とみられる。(出典: 2)

KDDIは対象ISP事業者に対し、6月17日以降順次連絡を行うとともに、対策に関する協議・対策導入を進めた。また利用者に対しては、対象ISP事業者から提供される情報を確認したうえで、メールパスワードを早急に変更するよう呼びかけている。(出典: 1) 7月6日の続報によれば、日常的に利用している顧客を中心に既に多数がパスワード変更を実施済みであり、あまり利用していない顧客も含めた安全確保のため、対象ISP事業者によるパスワードの強制変更を一両日中に完了させることを目途に進めているとした。(出典: 2)

外部通信サーバーへEDR導入

KDDIは7月6日の続報で、再発防止に向けた取り組みも公表している。不正アクセスの検知強化を目的として、外部通信を制御する全サーバーへのEDR導入を2026年6月21日に完了させたという。さらに2026年6月23日には、第三者機関によるフォレンジック調査を実施し、今回悪用された脆弱性以外に不審な痕跡が存在しないことを確認したとしている。今後の対策としては、AI等も活用したソフトウェアの設計書・プログラムの分析、より高いセキュリティ強度の通信規格への移行を進めるとした。(出典: 2)

フィッシングとの因果関係は不明

フィッシング対策協議会は6月26日、「国内ISPの認証情報を不正利用して送信されたフィッシングメール」と題する緊急情報を公開した。同協議会によれば、国内ISPの認証情報(ID・メールアドレス・パスワード等)を不正利用(乗っ取り)して送信されたとみられるフィッシングメール(VISAカード利用制限、Amazonアカウント制限、宅配便不在通知等を装う件名)の報告が寄せられており、6月26日15時時点でフィッシングサイトが稼働中であることを確認したとして、漏えい対象サービス利用者に速やかなパスワード変更を呼びかけた。ただし、同協議会が公開した告知本文自体には「KDDI」等の固有事業者名の明示的な記載はなく、表現は「国内ISPの認証情報」にとどまる。(出典: 16)*5

一部メディアはこの緊急情報を報じる記事の中で本事案とフィッシングメールとを結びつけて報じるなどしているが、いずれの報道も「とみられる」「起因？」という推定・疑問形の表現にとどまり、断定はしていない。(出典: 27, 28) 加えて、これまでのところ、注意喚起で呼びかけられたフィッシングメール送信との直接的な関連性は、KDDI・被害6社・フィッシング対策協議会いずれからも確定的に認める公式発表が確認されておらず、公式に確認されているわけではない。二次被害の発生についても確認されていないとしている。

日時	出来事
2026年5月16日以降	KDDIのメールサービスでソフトウェア脆弱性を悪用した侵害活動開始
2026年6月1日	ニフティが不正アクセスの懸念ありと判断し、KDDIに連絡・連携して調査を開始
2026年6月17日	KDDIが本システムへの不正アクセスを確認し、同日中に改修・防御措置を実施
同日	KDDIが対象ISP事業者への順次連絡を開始
2026年6月18日	KDDIからの報告によりJCOMが本事案を認知
2026年6月21日	中部テレコミュニケーションがKDDIから本件不正アクセスおよび顧客情報の漏えい可能性に関する報告を受ける
2026年6月23日	KDDIが初報として、不正アクセス被害を公表(対象6社、最大1,422万件)、影響を受けたISP事業者も同様に公表。
2026年6月24日	総務省がKDDIに対し報告徴収を実施(報告期限7月6日)と公表
2026年7月6日	KDDIが「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」を公表
同日	KDDIが総務省へ報告書を提出