KDDI、メールシステムへの不正アクセスでメールアドレス・パスワード最大1,422万件が漏洩の恐れ@nifty・BIGLOBE・J:COMなど6社に影響|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年06月23日更新日時: 2026年07月06日

KDDIは2026年6月23日、同社がインターネットサービスプロバイダー（ISP）事業者向けに提供するメールシステムが不正アクセスを受け、メールアドレスとパスワードが最大1,422万件漏洩した可能性があると発表しました。影響を受けたのはニフティの@niftyメール、ビッグローブのBIGLOBEメール、JCOMのJ:COM NET、中部テレコミュニケーションのコミュファ光・ビジネスコミュファ、STNetのピカラ関連メール、KDDIウェブコミュニケーションズのレンタルサーバーCPIのメールサービスの計6社です。不正アクセスは6月17日に確認され、同日中にシステム改修と技術的な防御措置が実施されています。原因はメールシステムで利用していた第三者製ソフトウェアの脆弱性が悪用されたことによるものです。KDDIが自社で運営するauやUQ mobileのメールサービスは別基盤で管理されており、今回の影響は受けていません。

続報：KDDI、メールサービスへの不正アクセスで1,223万件のメールアドレスが漏洩、パスワードは761万件漏洩

サマリー

発表日：2026年6月23日
発表元：KDDI株式会社
不正アクセス確認日：2026年6月17日（同日中に改修・防御措置を実施）
原因：メールシステムで利用していた第三者製ソフトウェアの脆弱性を悪用
漏洩の可能性がある情報：メールアドレスとパスワード最大1,422万件（解約済み・休眠アカウントを含む。パスワードにはハッシュ化・暗号化されたものも含まれる。調査継続中のため最大値で記載）
影響を受けた6社：ニフティ（@niftyメール）、ビッグローブ（BIGLOBEメール）、JCOM（J:COM NET・ケーブルテレビ事業者向けメールサービス）、中部テレコミュニケーション（コミュファ光・ビジネスコミュファ）、STNet（ピカラ光・ピカラモバイル・お仕事ピカラ）、KDDIウェブコミュニケーションズ（レンタルサーバーCPIのメールサービス）
au・UQ mobileのメールサービス：別基盤で管理されており影響なし
個人情報保護委員会・総務省への報告：対応中
ニフティは6月25日23:59までのパスワード変更を要請、期限後は順次パスワードを無効化すると告知

項目	内容
発表日	2026年6月23日
不正アクセス確認日	2026年6月17日
影響を受けたサービス数	6社
漏洩の可能性がある件数	最大1,422万件（メールアドレス＋パスワード）
パスワードの状態	ハッシュ化・暗号化されたものも含む（平文の有無は不明）
au・UQ mobile	別基盤のため影響なし
原因	第三者製ソフトウェアの脆弱性（具体名・CVE未公表）
個人情報保護委員会への報告	対応中

何が起きたか

2026年6月17日、KDDIはISP事業者向けに提供しているメールシステムが不正アクセスを受けていたことを確認しました。このメールシステムはKDDIが裏側の基盤を運営し、複数のISP事業者がその上でエンドユーザー向けのメールサービスを提供するという構造になっています。つまりKDDIは直接エンドユーザーに見える存在ではなく、各ISPの「メールの裏側」を動かしているインフラ提供者です。

不正アクセスを確認した同日中に、KDDIはシステムの改修と被疑箇所の特定・技術的な防御措置を実施しています。発覚から対策実施までが同日という対応速度は評価できる一方で、不正アクセスが実際にいつ始まっていたのかについては公表されておらず、攻撃者がデータを取得できた期間は現時点では不明です。

影響を受けたのは@niftyメール、BIGLOBEメール、J:COM NET、コミュファ光、ピカラ、CPIの6社のメールサービスで、漏洩の可能性がある情報はメールボックスに紐づくメールアドレスとパスワードの最大1,422万件です。この数値には現在利用中のアカウントだけでなく、すでに解約した利用者や長期間使われていない休眠アカウントも含まれています。パスワードについてはハッシュ化・暗号化されたものも含まれるとされていますが、すべてがハッシュ化されていたのか、一部に平文が含まれていたのかについては明示されていません。

KDDIが自社ブランドで運営するauやUQ mobileのメールサービスはこのISP事業者向けメールシステムとは別の基盤で管理されており、今回の影響は受けていないと明確に説明されています。

原因はまだ不明

KDDIの発表では「本システムにおいて利用していた第三者製のソフトウェアの脆弱性を悪用された」と説明されていますが、具体的なソフトウェア名やCVE番号は公表されていません。

日本国内で相次ぐメールシステムへの不正アクセス

今回のKDDIの事案は、2025年から2026年にかけて日本国内で連続して発生しているメールシステムへの大規模な不正アクセスの最新事例です。

2025年4月には、IIJが提供する法人向けメールセキュリティサービス「IIJセキュアMXサービス」がサイバー攻撃を受け、最大6,493契約・約407万件のメールアカウント情報が漏洩の可能性があると発表されました。後の調査でActive! mailのゼロデイ脆弱性（CVE-2025-42599）が攻撃に使用されたことが判明し、総務省からの行政指導に至っています。

2025年12月には、TOKAIコミュニケーションズが提供する法人向けメールサービス「OneOffice Mail Solution」で不正アクセスが確認され、隔離メール約193万通へのアクセス痕跡が見つかりました。静岡県内の自治体をはじめとする複数の委託先企業にも波及し、メールアドレスや件名の漏洩可能性が広範囲に報告されています。

2026年4月〜5月には、NTTPCコミュニケーションズが運営するWebARENA SuiteXにおいて2件の不正アクセスが相次いで発生しました。1件目は付帯機能「大容量ファイル転送機能」（4月29日停止）で、2026年6月23日の調査完了報告により7,446件のメールアドレスを含む認証ログとアップロードファイル4,463件が対象範囲と確定しています。漏洩の明確な痕跡は確認されていないものの可能性は否定できない状態で、サービスはシステム全体の再構築後の2026年12月頃の再開を予定しています。2件目は収容サーバー「dc70.etius.jp」（5月10日停止）で、同じく6月23日の調査完了報告において同一環境でのサービス再開を断念し、契約者への契約終了が告知されています。

事案	発覚時期	対象サービス	影響規模	原因
IIJ セキュアMXサービス	2025年4月	法人向けメールセキュリティ	最大407万件（確定：約31万件）	Active! mailのゼロデイ（CVE-2025-42599）
TOKAIコミュニケーションズ	2025年12月	OneOffice Mail Solution	隔離メール約193万通・メールアドレス約8万件（確定）	Cisco製品のゼロデイ
WebARENA 大容量ファイル転送（NTTPC）	2026年4月	メールホスティング・SuiteX付帯機能	メールアドレス7,446件・ファイル4,463件（調査完了・漏洩の明確な痕跡なし）	原因未公表（2026年12月に再構築後の再開予定）
WebARENA SuiteX dc70.etius.jp（NTTPC）	2026年5月	SuiteX V1・V2スタンダード・V2メールプレミアム	調査完了	原因未公表（同一環境での再開断念・契約終了）
KDDI ISP向けメール	2026年6月	@nifty・BIGLOBE・J:COMなど6社	最大1,422万件	第三者製ソフトウェアの脆弱性（詳細未公表）

※WebARENAの2件のサイバー攻撃の具体的な侵入経路は現段階で未公表

4つの事案に共通するのは、いずれもメールシステムに組み込まれたサードパーティ製ソフトウェアや基盤の脆弱性が攻撃の入口になっている点と、1つの基盤への侵害が複数の下流事業者・利用者に波及するサプライチェーン構造の問題です。メールシステムは長年にわたって運用され続けている基盤であるがゆえに、構成要素の老朽化や脆弱性の蓄積が起きやすく、攻撃者にとっては「一度侵入すれば大量の認証情報とメール本文を一括で取得できる」効率的な標的になっています。

情報システム部門が取るべき対策

今回の事案に直接影響を受ける組織の対応として、@niftyメール・BIGLOBEメール・J:COM NET・コミュファ光・ピカラ・CPIのメールサービスを業務で利用している場合は、ただちにメールパスワードの変更を全利用者に対して指示してください。ニフティは6月25日23:59を期限として設定しており、期限を過ぎると順次パスワードが無効化されてメールの送受信ができなくなる旨を告知しています。メールソフト（Outlook・Thunderbird・Macメールなど）に設定しているパスワードも新しいものに更新する必要があります。

パスワードの使い回しをしている利用者への注意喚起も必須です。漏洩したメールアドレスとパスワードの組み合わせは、他のサービスへのリスト型攻撃（パスワードスプレー・クレデンシャルスタッフィング）に即座に転用されるリスクがあります。メールパスワードと同一のパスワードを他のサービスで使用している場合は、そちらも速やかに変更するよう全社的に周知してください。

メールシステムの委託先管理の観点では、自社のメールサービスがどの事業者のどの基盤の上で動いているかを正確に把握しているかを改めて確認してください。今回のケースでは@niftyやBIGLOBEの利用者が「自社のメールサービス」として使っていたものの実態がKDDIの基盤であり、KDDIの基盤が侵害されたことで利用者が影響を受けるというサプライチェーン構造になっていました。自社のメール基盤がどこに依存しているかを把握し、依存先のセキュリティ体制と脆弱性管理の状況を確認しておくことが、この種の事案への備えになります。

不審メールへの警戒も重要です。メールアドレスの漏洩が確認された場合、そのアドレス宛てにフィッシングメールやスパムが増加する可能性があります。また、今回の事案を装ったフィッシングメール（「パスワード変更のお願い」を装い、偽のリンクに誘導するもの）が送られてくるリスクもあります。正規の案内メールかどうかを見極めるために、各ISPの公式サイトで直接情報を確認するよう利用者に案内してください。

FAQ

Q. auやUQ mobileのメールは影響を受けますか？

A. 受けません。KDDIが自社ブランドで運営するauやUQ mobileのメールサービスは、今回不正アクセスを受けたISP事業者向けメールシステムとは別の基盤で管理されており、影響はないとKDDIが明示しています。

Q. パスワードが漏洩したとのことですが、すべて平文ですか？

A. KDDIの発表では「パスワードには、ハッシュ化・暗号化されたものも含まれます」と記載されています。すべてのパスワードがハッシュ化されていたのか、一部に平文が含まれていたのかについては明示されていません。いずれにしても攻撃者がハッシュを入手していればオフラインでの解析が試みられる可能性があるため、パスワード変更は必須です。

Q. メール本文も漏洩していますか？

A. 2026年6月23日の発表時点では、漏洩の可能性があると明示されているのはメールアドレスとパスワードです。メール本文については言及されていませんが、調査は継続中とされており、続報で追加情報が出る可能性があります。

Q. 既に解約しているのですが影響はありますか？

A. 漏洩の可能性がある最大1,422万件には、解約済みの利用者や休眠アカウントも含まれるとKDDIが明記しています。過去にこれらのメールサービスを利用していた場合、当時のメールアドレスとパスワードが対象に含まれている可能性があります。同じパスワードを他のサービスで使い続けている場合は変更を推奨します。

出典

KDDI株式会社「ISP事業者向けメールシステムに対する不正アクセスの発生について」（2026年6月23日）https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-71_4593/kddi_nr_s-71_4593_pdf_01.pdf
NTTPCコミュニケーションズ「WebARENA 大容量ファイル転送機能停止についてのお詫びとご報告」（2026年6月23日）https://www.nttpc.co.jp/press/info/2026/06/202606231101.html
NTTPCコミュニケーションズ「WebARENA SuiteX 一部サーバー（dc70.etius.jp）停止についてのお詫びとご報告」（2026年6月23日）https://www.nttpc.co.jp/press/info/2026/06/202606231102.html

当サイト関連記事