総務省がKDDIに行政指導—メールシステムへのサイバー攻撃被害でパスワード平文保存と22日間の公表遅延を問題視|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月30日更新日時: 2026年07月30日

総務省は令和8年7月29日付で、KDDI株式会社に対し「通信の秘密の保護の徹底に向けた措置について（指導）」と題する文書行政指導を行いました（総基用第71号）。ISP向けメールシステムへの不正アクセスで約762万人の通信の秘密が漏えいした本事案において、総務省が特に問題視したのは脆弱性の悪用そのものではありません。パスワードが暗号化などの安全管理措置を講じない状態で保存されていたこと、そして最初の報告受領から公表まで22日間を要したことという、事業者としての基本的な義務の欠如でした。指導文書はさらに、再発防止策の実施状況と二次被害の発生状況について、2026年8月31日までの報告に加え、指導日から少なくとも1年間にわたる四半期ごとの報告を義務付けています。

KDDI行政指導（総基用第71号）の概要サマリー

総務省が令和8年7月29日付でKDDIへ文書による行政指導を実施（総基用第71号）
指導の根拠：電気通信事業法第4条第1項（通信の秘密の保護）
総務省が問題視した点1：パスワードが暗号化等の安全管理措置なしで保存されていた
総務省が問題視した点2：ISPからの第一報受領から公表まで22日間を要した（「迅速な対応とは言い難い」と明記）
総務省が問題視した点3：ゼロデイ脆弱性だけでなく「複数のセキュリティ上の問題点が重なった」と認定
再発防止策の実施状況・二次被害状況について2026年8月31日までに報告を義務付け
指導日（7月29日）から少なくとも1年間、四半期ごとの継続報告を義務付け
業界横断的なセキュリティ水準の向上への貢献も求めた

整理表

項目	内容
指導文書番号	総基用第71号
指導日	令和8年7月29日
指導先	KDDI株式会社代表取締役社長松田浩路
差出人	総務大臣林芳正
根拠法令	電気通信事業法第4条第1項
問題点①（構造的）	多層的防御が機能せず、複数のセキュリティ問題が重なった
問題点②（致命的）	パスワードを暗号化等の安全管理措置なしで保存していた
問題点③（対応）	ISPからの第一報から公表まで22日間を要した
初回報告期限	令和8年8月31日
継続報告義務	指導日から1年間、四半期ごと
業界への要請	セキュリティ水準向上に向けた業界横断的な取り組みへの貢献

指導文書が認定した問題点—脆弱性より重い2つの事実

総務省の指導文書が本事案の核心として指摘したのは、脆弱性の悪用そのものではありません。脆弱性の存在は攻撃者が生み出したものですが、それ以外の問題点はKDDI自身の判断と体制から生まれたものだという点が重要です。

指導文書は「複数のセキュリティ上の問題点が重なったことにより発生した」と認定しています。つまり今回の被害は単一の脆弱性のみが原因ではなく、その脆弱性を守るべき複数の防御層が有効に機能していなかった結果だと総務省は判断しています。

なかでも指導文書が「看過できない」と明記したのが、パスワードの保存状態です。

指導文書には「貴社の設備から漏えいしたパスワードは、暗号化等の安全管理措置が講じられない状態で保存されていた」と明記されています。現代のセキュリティ基準においてパスワードは少なくともハッシュ化（bcrypt・Argon2等）して保存することが基本中の基本であり、平文または復号可能な形式での保存は「設計上の致命的な欠陥」として業界標準から逸脱しています。大手通信事業者がこの基準を満たしていなかったという事実は、今後の業界全体への影響が大きい指摘です。

22日間という公表の遅延も指導文書で明示されています。ある1社のISPからKDDIが第一報を受けてから公表までに22日間を要したことに対し、総務省は「迅速な対応とは言い難い」と記載しています。

6月17日にKDDIが被害を確認してシステム改修を実施し、6月23日に公表した事実はあります。しかし指導文書が問題視しているのはKDDIが「確認した日」ではなく、「最初にISPから第一報を受けた日」から起算した期間であり、KDDIが認識する前の段階ですでに情報漏えいが始まっていた可能性を示唆しています。

指導が求める3つの対応

指導文書が求める対応は、即時対応・体制整備・業界貢献という3つの柱で構成されています。

即時対応として、ソフトウェアのアップデート・ネットワーク設備監視体制の強化・原因となった脆弱性の修正・より高セキュリティな通信規格への早期移行を求めています。これらはすでにKDDIが着手中とされていますが、総務省は「徹底および加速」を求めており、現状の取り組みでは不十分との評価を示しています。

体制整備として、インシデント発生時の技術的初動対応（設備使用状況の確認等）・対応要員の確保と配置・経営層への報告体制・関係ISP事業者への適時な情報共有という社内体制全体の見直しを求めています。指導文書は「全社的な体制改善を強く求める」という踏み込んだ表現を使っており、技術的な対策だけでなくガバナンスレベルの見直しを求めています。

利用者保護として、二次被害が発覚した場合の適切な支援と対応の継続も求めており、指導が完了した後も利用者への情報提供を義務として継続することを求めています。

1年間・四半期報告義務という異例の縛り

今回の行政指導で特筆すべきはその実効性担保の仕組みです。通常の行政指導は改善措置を求めることで完結しますが、今回は2026年8月31日までの初回報告に加え、指導日（7月29日）から「少なくとも1年間」にわたる「四半期ごとの報告」を義務付けています。これは事実上2027年7月末まで、KDDIが総務省に対して定期的な進捗報告を行い続けることを意味します。

国内ISP事業者へのサイバー攻撃が相次いだ2025〜2026年の状況を踏まえると、総務省はISP基盤のセキュリティ問題が繰り返されることへの強い懸念を持っており、今回の継続的な報告義務はその表れといえます。行政指導に法的強制力はありませんが、1年間にわたる四半期報告の義務付けは、改善が実現しない場合の次のステップ（業務改善命令等）へのステップとして機能します。

業界への波及影響

指導文書の末尾には「電気通信事業者における様々なセキュリティ事案の脅威が増大している現況下においては、将来的なセキュリティ水準の向上に向けた取組が業界横断的に行われることが望ましい」という一文があり、KDDIに対し業界全体のセキュリティ水準向上への貢献を明示的に求めています。

この記述は、今回の指導がKDDI単体の問題の解決を求めるにとどまらず、国内通信事業者全体のセキュリティ基準引き上げをKDDIが率先して推進することを期待していることを意味しています。特に「セキュリティ強度の高い通信規格への移行」についてはKDDI一社の取り組みにとどまらず業界標準の引き上げに貢献することを求めており、今後の通信業界のセキュリティ規格動向に影響を与える可能性があります。

また今回の「パスワードの平文保存」という指摘は、KDDIに限らず他の通信事業者・ISP事業者が同種の実装をしていないかを総務省が注視するきっかけになるとみられます。スマイルサーバー（NTTスマートコネクト）のjm9・jm10サーバーへの不正アクセスが同時進行中であることも踏まえると、今後ホスティング・ISP事業者全体に対する行政の監視姿勢が強化されることが予想されます。

情報システム部門が取るべき対応

今回の指導内容は、KDDI利用者への対応にとどまらず、自社のシステム設計を見直す機会を提供しています。

総務省が「看過できない」と指摘したパスワードの平文保存という問題は、KDDIに限らず自社が運用するシステムにも当てはまる可能性があります。社内システム・業務アプリケーション・顧客向けウェブサービスにおいて、ユーザーパスワードがどのような形式で保存されているかを点検する機会として活用してください。

今回の事案でKDDIのISP向けメールを業務利用している場合は、対象ユーザーのパスワード変更が完了していることを確認し、そのアカウントで使用していたパスワードを他のサービスで使い回していないかを確認することが必要です。メールボックス内に過去の認証情報やパスワードリセットリンクが含まれていた場合、それらが第三者に閲覧された可能性を前提にした対応を検討してください。