KDDIメール基盤に不正アクセス。最大1422万件漏洩の疑い

@niftyメール、BIGLOBEメール、J:COM NET。名前は違っても、裏で動いていたのは同じKDDIの共通基盤だった。その基盤が破られ、最大1422万件のメールアドレスとパスワードが外部に漏れた可能性がある。ニフティは6月25日23時59分をパスワード変更の期限に設定しており、対象ユーザーは今すぐ動く必要がある。

何が起きたか

KDDIは6月23日、ISP事業者向けに提供しているメールシステムが不正アクセスを受けたと発表した。検知は6月17日。同日中にシステムの改修と被疑箇所の特定、技術的な防御措置を実施している。

漏洩した可能性があるのは、メールボックスに紐づくメールアドレスとパスワード、最大1422万件。パスワードにはハッシュ化・暗号化されたものも含まれるが、すべてがそうだとはKDDIは明言していない。解約済みのアカウントや休眠アカウントもこの数字に入る。原因は、メールシステムで利用していた第三者製ソフトウェアの脆弱性を突かれたこと。ゼロデイだったかどうか、KDDIは明かしていない。

メール本文の流出について、KDDIの公式発表では触れていない。ただ、調査は継続中であり、影響範囲が今後広がる可能性は残る。

6社のメールサービスが同時に影響を受けた理由

影響を受けたのは以下6社のメールサービスだ。

STNet（ピカラ光サービス、ピカラモバイルサービス、お仕事ピカラサービス）、
KDDIウェブコミュニケーションズ（レンタルサーバーCPI）、
JCOM（J:COM NET、ケーブルテレビ事業者向け）、
中部テレコミュニケーション（コミュファ光、ビジネスコミュファ）、
ニフティ（@niftyメール）、
ビッグローブ（BIGLOBEメール）。

auメールやUQ mobileのメールは別の基盤で動いており、KDDIによれば今回の影響はない。

ここで一つ、引っかかる点がある。なぜ一度の侵害で6社すべてのデータが漏洩の疑い対象になったのか。ISP関係者によると、複数のISPが相乗りするこうしたサービスでは、通常は各社のデータが互いに見えないようアクセス制御を敷くという。だが今回は全ISPの情報が対象になっている。KDDIは6月24日時点でも「第三者製ソフトウェアの脆弱性を悪用された」と説明するのみで、なぜ全社横断で漏洩の疑いが生じたのかは明らかにしていない。

この構造自体が、今回の被害規模を決定づけた。利用者は@niftyやBIGLOBEと契約し、そこにデータを預けたつもりだった。実際には裏でKDDIの共通基盤が動いており、その基盤に1422万件分の認証情報が集約されていた。利用者がKDDIの基盤を選んだわけではない。ISP各社がメールインフラの運用をKDDIに委ねた結果、利用者の知らないところでリスクも集約された。

不正アクセスがいつ始まったのか、KDDIは発表で触れていない。6月17日は「確認日」であり、攻撃者がデータを取得できた期間は不明のままだ。

対象ユーザーがやるべきこと

ニフティは 6月25日23時59分 を期限に設定している。期限までにパスワードを変更しない場合、安全確保のため順次パスワードが無効化され、メールの送受信ができなくなる。@niftyメールを使っている、あるいは過去に使ったことがある読者は、今日中に動いてほしい。

ただし6月24日時点で、ニフティのサポート電話はつながりにくく、パスワード変更ページもアクセスが集中している。告知からわずか2日で変更を求められたことへの混乱が広がっている。つながらない場合は時間を置いて再試行するしかないが、期限は動かない。

BIGLOBEもメールアドレス、各種アドレス追加オプション、BIGLOBE IDのパスワード変更を呼びかけている。他の4社も各ISP経由で案内を進めている。

やるべきことは3つ。

メールパスワードをすぐ変更する。 対象ISPの公式サイトから直接変更すること。OutlookやThunderbirdなどメールソフトに設定しているパスワードも、変更後に更新が必要になる。

使い回しているサービスも変更する。 メールアドレスとパスワードの組み合わせが漏洩した場合、攻撃者がその組み合わせで他のサービスにログインを試みるのは常套手段だ。銀行、クレジットカード、通販サイトなど、特に金銭が絡むサービスを最優先で確認すること。

フィッシングメールに注意する。 この手の大規模漏洩の後には、対象ISPやKDDIを騙って「アカウント確認」「パスワード緊急変更」を促す偽メールが大量に出回る。メールに記載されたリンクからは進まず、公式サイトやアプリから直接パスワードを変更すること。

繰り返されるメール基盤の侵害

2025年4月、IIJが法人向けメールセキュリティサービス「IIJセキュアMXサービス」で同様の事態を公表した。メールシステムに組み込んでいた第三者製ソフトウェアのゼロデイ脆弱性を突かれ、最大約407万件のメールアカウント情報が漏洩した可能性があるとされた。IIJの場合、続報で実際に漏洩が確認されたのは約31万件と、当初の1割以下に縮小している。

今回のKDDIも「調査を継続中のため、最大値で記している」としており、確定値は今後変わりうる。ただしIIJとは事情が違う。KDDIのメール基盤はコンシューマー向けで、対象の多くは個人だ。情報システム部門が一括で対応できた法人向けのIIJとは違い、個人ユーザー一人ひとりにパスワード変更を促さなければならない。解約済みや休眠のアカウントも含まれるため、連絡手段すら限られるケースがある。

KDDIに重なる不信

タイミングも良くない。不正アクセスを検知した6月17日、KDDIは定時株主総会を開いていた。23日に提出した臨時報告書によれば、高橋誠会長の取締役再任への賛成比率は62.34%で、前年の93.61%から約31ポイント急落した。松田浩路社長も77.67%と前年の94.54%から大きく下がっている。

背景にあるのは、傘下のビッグローブとジー・プランのネット広告事業で少なくとも2018年から7年間にわたり架空取引が行われ、2461億円の売上高が架空計上されていた問題だ。そのビッグローブのメールサービスが、今度はKDDI基盤の侵害で漏洩疑いの対象になった。株主総会と同じ日に検知した不正アクセスを、KDDIは6日後に公表した。漏洩疑いは最大1422万件。翌24日、株価は前日比41円安（1.53%）の2623円を付けた。

二つの問題は性質が異なる。だが「グループ全体の管理に穴はないか」という懸念に対し、直後に別の穴が見つかっている。

見えない基盤に預けたもの

今回の件が突きつけているのは、メールインフラの「見えない集約」のリスクだ。コスト効率を考えれば、ISP各社がメールの運用を大手に委託するのは合理的な判断だった。だがその結果、利用者が選んだつもりのないサービス提供者に認証情報が集まり、一つの脆弱性で6社1422万件が同時にリスクにさらされた。

不正アクセスの詳細はまだ出ていない。悪用された脆弱性が何か、攻撃はいつ始まったのか、実際にデータが持ち出されたのか。KDDIの調査の続報を待つ必要がある。

まず今できることをやろう。対象のメールサービスを使っているなら、パスワードを変える。使い回しを止める。それだけで、最悪のシナリオは避けられる。

参照元：KDDI「ISP事業者向けメールシステムに対する不正アクセスの発生について」

関連記事

• 社員2000人のパスワードがCEOのデスクトップに。Excelファイル1つで崩れる企業
• 7-Elevenで18万人分の個人情報が流出、身代金拒否後に公開
• CISAのパスワードが6か月、GitHubに公開されていた
• 「危険すぎて公開できない」AIが発表当日に不正アクセスされていた
• ハンガリー政府職員のパスワードが「FrankLampard」だった話
• 韓国、データ通信を「基本権」に──通信三社が低速無制限を保障
• セキュアブート証明書が今日失効。PCの確認は1分で終わる
• CAPTCHA不要へ。Cloudflareとブラウザ3社が新プロトコル
• タタへのサイバー攻撃でApple・Teslaの機密情報が流出か
• Claudeが身分証を求める日。Anthropicが書き換えた規約の中身