漏えいを確認2026.06.23 第1報（7月に件数訂正）

KDDI「ISP事業者向けメールシステム」の情報漏えい

KDDIが複数のプロバイダーに提供していたメールシステムで、第三者製ソフトウェアのゼロデイ脆弱性が悪用され、約1,223万名分のメールアドレスと約762万名分のパスワードが漏えいした。

ゼロデイは止められない。盗まれても使えない状態にしておく。

公表された内容

システムで使っていた第三者製ソフトウェアに、修正版がまだない脆弱性（ゼロデイ）があり、それを突かれた。ゼロデイは、どれだけ丁寧に更新していても侵入を完全には防げない。

この事案のもう一つの特徴は、1つの基盤に6社のプロバイダーのメールが載っていたことだ。@nifty、BIGLOBE、J:COM NET、コミュファ光、ピカラ、CPIの利用者が一度に影響を受けた。共通基盤は運用の効率がよい反面、1か所の侵入が全体に及ぶ。

パスワードがどのような形式で保存されていたかは公表されていない。

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。

既知の攻撃パターンでは、ゼロデイは見つけられない。アカウント情報のテーブルがまとめて読み出された、普段と違うプロセスが動いた、といった振る舞いの変化を検知の対象にする。

パスワードは、元に戻せないハッシュ（bcryptやArgon2など、計算に時間がかかる方式）で保存するのが原則。ゼロデイで侵入を許しても、パスワードそのものが手に入らなければ、利用者のアカウントは守られる。

提供先の会社ごとにデータの置き場所や暗号鍵を分けておくと、1社分の侵入が全社に広がりにくい。どこまでを分けるかは費用とのかね合いだが、件数が大きい基盤ほど分ける価値は大きい。

対象プロバイダーのメールを使っている人は、メールのパスワードを変え、同じパスワードを使い回している他のサービスも変える。「パスワード変更はこちら」と誘うメールのリンクは開かず、プロバイダーの公式サイトから手続きする。

内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。