個人情報保護委員会がKDDIとプロバイダを指導。メールのパスワード761万人分が平文で保存、使い回しの変更を

01発表されている事実

1. 2026年5月16日

   一部のプロバイダで不正アクセスが始まる（KDDIの発表）

2. 6月17日

   KDDIが不正アクセスを確認し、同日にシステムを改修

3. 6月21日

   外部通信を制御する全サーバーへのEDR導入を完了

4. 6月23日

   KDDIが公表。対象は6社のメールサービスで、最大1,422万件

5. 7月6日

   KDDIが続報。漏えいを確認したのはメールアドレス12,231,954名（7月21日訂正）、うちパスワード7,616,173名

6. 7月29日

   総務省が、通信の秘密の漏えいとしてKDDIに文書で行政指導

7. 8月19日

   個人情報保護委員会がKDDIと一部のプロバイダを指導し、利用者に注意喚起

KDDIによると、原因はシステムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたことです。この脆弱性は、6月17日の時点ではソフトウェアのベンダーも認識していないものでした。対象は、STNet（ピカラ光サービスなど）、KDDIウェブコミュニケーションズ（レンタルサーバー「CPI」）、JCOM（J:COM NETなど）、中部テレコミュニケーション（コミュファ光など）、ニフティ（@niftyメール）、ビッグローブ（BIGLOBEメール）の6社のメールサービスです。auメール、UQ mobileメール、au one netメールは別の設備のため影響はないとしています。

02委員会が指摘したこと

委員会によると、漏えいしたパスワードのうち761万6,173人分は、システムに平文（暗号化やハッシュ化をしていない状態）で保存されていました。そのため、認証情報を盗んだ第三者がメールボックスの中身を見られる状態になっていました。

• KDDIへの指導：多くの利用者が使うシステムで、多くのパスワードを平文で保存していたのに、侵入後の横展開を防ぐアクセス制御などの措置が十分でなかったとして、安全管理措置の改善を指導しました。二次被害の状況を含む再発防止策の実施状況を、2026年10月19日までに報告するよう求めています。
• 一部のプロバイダへの指導：パスワードの平文保存は一部のプロバイダ側の事情によるものだったとして、安全管理措置の改善を指導しました。公表資料にプロバイダの名前は書かれていません。

03読者への影響

6社のメールを使っていた人は、メールアドレスとパスワードが第三者に渡った可能性があります。KDDIの第一報では、解約した人や一定期間使っていない人も対象に含まれるとしています。プロバイダ側ではパスワードの強制変更が進められましたが、委員会が注意を呼びかけているのは、同じパスワードを使っている別のサービスです。盗んだIDとパスワードを他のサイトで次々に試す「リスト型攻撃」で、通販やSNSにも不正ログインされるおそれがあります。

04今すぐやること

1. 使い回しを探して変える。6社のメールで使っていたパスワードと同じ、または似たパスワードのサービスを探し、別の強いパスワードに変えます。パスワード管理アプリを使うと重複を見つけやすくなります。
2. 大事なサービスは多要素認証にする。ネットバンキング、通販、SNSは、確認コードやパスキーでのログインを有効にします。
3. 案内は公式サイトで確かめる。この件をかたる偽メールに注意し、メール内のリンクからログインしないでください。
4. 会社で使っていたら社員に知らせる。委員会は、事業者と行政機関に、従業者や職員へ使い回しの確認を周知するよう求めています。
5. 自社のパスワードの保存方法を確かめる。会員のパスワードを平文で保存していないか、委託先のシステムも含めて確認してください。

KDDIは今後、ソフトウェアの設計書とプログラムをAIも使って分析するほか、プロバイダと共に、よりセキュリティ強度の高い通信規格への移行を進めるとしています。