個人情報保護委員会、KDDIと一部ISPを指導、サイバー攻撃で1,223万人のメールアドレス情報漏洩で|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月20日更新日時: 2026年08月20日

個人情報保護委員会は2026年8月19日、KDDI株式会社がISP事業者向けに提供するメールシステムへの不正アクセスを巡り、KDDIと一部のインターネットサービスプロバイダ（ISP）に対し、個人情報保護法に基づく指導等を行ったと公表しました。

本件は、KDDIが2026年6月17日に確認したISP向けメール基盤への不正アクセスの続報です。これまでに1,223万1,954人のメールアドレスの漏えいが確認され、そのうち761万6,173人ではパスワードの漏えいも確認されています。

今回、個人情報保護委員会は、この761万6,173人分のパスワードがKDDIのメールシステム上で平文のまま保存されていたことを明らかにしました。認証情報を窃取した第三者が、対象利用者のメールボックス内の情報を閲覧できる状態になっていたとしています。

同委員会は、多数の利用者を抱え、多くのパスワードを平文で保存するシステムであったにもかかわらず、KDDIが攻撃者の侵入後の横展開や被害拡大を抑えるためのアクセス制御等を十分に講じていなかったと判断しました。個人情報保護法ガイドラインが求める技術的安全管理措置に不備があったとして、KDDIに改善を指導するとともに、二次被害を含む再発防止策の実施状況を10月19日までに報告するよう求めています。

KDDIメールシステム不正アクセスへの行政対応のサマリー

個人情報保護委員会は2026年8月19日、KDDIと一部ISPに個人情報保護法に基づく指導等を実施しました。
本件は2026年6月17日に発覚した、KDDIのISP事業者向けメールシステムへの不正アクセスの続報です。
漏えいが確認されたメールアドレスの対象人数は1,223万1,954人です。
そのうち761万6,173人ではパスワードの漏えいも確認されています。
個人情報保護委員会は、761万6,173人分のパスワードがシステム上で平文のまま保存されていたと公表しました。
窃取された認証情報により、第三者がメールボックス内の情報を閲覧可能な状態になっていました。
個人情報保護委員会は、KDDIのアクセス制御等が十分ではなく、技術的安全管理措置に不備があったと判断しました。
KDDIには個人情報保護法第147条に基づき、安全管理措置を改善するよう指導しています。
KDDIは、二次被害の発生状況を含む再発防止策の実施状況を2026年10月19日までに報告するよう求められています。
パスワードの平文保存については、一部ISP側の事情に起因するものもあったとして、該当するISPにも安全管理措置の改善を指導しました。
指導を受けたISPの具体的な事業者名や、平文保存に至った個別の事情は公表されていません。
個人情報保護委員会は利用者に対し、同一または類似のパスワードを他サービスで使い回している場合は速やかに変更するよう注意喚起しています。

項目	内容
公表日	2026年8月19日
対象組織	KDDI株式会社、一部のインターネットサービスプロバイダ
元のインシデント	ISP事業者向けメールシステムへの不正アクセス
不正アクセス確認日	2026年6月17日
攻撃開始	一部ISPでは2026年5月16日から不正アクセスが発生
侵入経路	第三者製ソフトウェアの脆弱性を悪用
メールアドレス漏えい	1,223万1,954人
パスワード漏えい	761万6,173人（上記の内数）
パスワードの保存状態	761万6,173人分が平文保存
メールボックスへの影響	窃取した第三者がメールボックス内の情報を閲覧可能な状態
KDDIへの対応	個人情報保護法第147条に基づく安全管理措置改善の指導
KDDIへの報告要求	二次被害を含む再発防止策の実施状況を2026年10月19日までに報告
一部ISPへの対応	技術的安全管理措置の不備を認定し、第147条に基づき改善を指導
ISP名	公表されていません
利用者への注意喚起	他サービスで同一・類似パスワードを使い回している場合は速やかに変更

KDDIメール基盤への不正アクセスの続報

今回の行政対応は、新たな別のインシデントが発生したものではありません。

セキュリティ対策Labでこれまで報じてきた、KDDIが@nifty、BIGLOBE、J、コミュファ光、ピカラ、CPIなどのISP事業者向けに提供するメール基盤への不正アクセスについて、個人情報保護委員会が安全管理措置の観点から評価した続報です。

KDDIは6月17日、ISP向けメールシステムへの不正アクセスを確認しました。原因は、同システムの一部として導入していた第三者製ソフトウェアの脆弱性でした。

その後の調査では、一部ISPで5月16日から不正アクセスが発生していたことが判明しています。また、この脆弱性はKDDIが不正アクセスを確認した6月17日の時点で、ソフトウェアベンダー自身も認識していなかったとKDDIは説明しています。

セキュリティ対策Labでは、第一報を「KDDI、メールシステムへの不正アクセスでメールアドレス・パスワード最大1,422万件が漏洩の可能性」で整理しています。

その後、KDDIが漏えいを事実として確認した件数を公表した7月の続報は、「KDDI、メールシステムへの不正アクセスで1,223万件のメールアドレスが漏洩、パスワードは761万件漏洩」で詳しく取り上げています。

関連：国内ISP事業者へ相次ぐサイバー攻撃

761万6,173人分のパスワードが平文で保存

今回の公表で最も重要な新事実は、漏えいしたパスワードの保存状態です。

個人情報保護委員会によると、パスワード漏えいが確認された761万6,173人について、パスワードはKDDIのメールシステム内に平文のまま保存されていました。

ハッシュ化されたパスワードであれば、データベースから値を取得されても、攻撃者は元の文字列を推測する追加作業が必要になります。一方、平文保存では、取得した文字列をそのまま認証に利用できるため、認証情報が流出した場合の危険性が大きくなります。

今回、個人情報保護委員会は、認証情報を窃取した第三者がメールボックス内の情報を閲覧可能な状態になっていたと明記しました。

ただし、公表資料は「閲覧可能な事態となっていた」としており、761万6,173人全員についてメール本文や添付ファイルが実際に閲覧されたと確認したものではありません。

「認証情報が漏えいしたこと」と「メールボックス内の情報が実際に閲覧・取得されたこと」は分けて考える必要があります。

KDDIのアクセス制御等に「技術的安全管理措置の不備」

個人情報保護委員会は、今回の被害規模だけでなく、システムの設計と侵入後の被害拡大防止策を問題視しています。

KDDIのISP向けメールシステムは、複数のプロバイダへの提供を前提として開発され、インシデント発生時点では多数のメール利用者が使う大規模な基盤になっていました。

さらに、多数の利用者のパスワードを平文で保存していました。

このようなシステムでは、一つの脆弱性から侵入された場合でも、攻撃者が他の領域へ横展開することを防ぎ、取得できるデータを限定する多層的な対策が重要になります。

しかし、個人情報保護委員会は、KDDIがこうしたリスクを踏まえたアクセス制御等を十分に講じていなかったと判断しました。

同委員会は、個人情報保護法ガイドライン「講ずべき安全管理措置の内容」に示される技術的安全管理措置の不備を認定し、個人情報保護法第147条に基づいてKDDIへ安全管理措置の改善を指導しています。

一部ISPにも指導、平文保存は「プロバイダ側の事情」も要因

今回の行政対応はKDDIだけが対象ではありません。

個人情報保護委員会は、メールシステムでパスワードが平文保存されていたことについて、その一部は「一部のプロバイダ側の事情に起因するものだった」と説明しています。

このため、該当するISPについても、大量の個人データを取り扱うシステムでパスワードが平文保存されていた点を技術的安全管理措置の不備と判断し、第147条に基づいて改善を指導しました。

一方、どのISPが指導対象になったのかは公表されていません。

また、プロバイダ側のどのような仕様や事情によって平文保存が必要になっていたのかも、今回の資料では示されていません。

したがって、影響を受けたISPすべてが平文保存を要求していた、あるいはすべてのISPが個人情報保護委員会から指導を受けたと解釈することはできません。

KDDIは10月19日までに再発防止策と二次被害を報告

個人情報保護委員会はKDDIへの改善指導に加え、個人情報保護法第146条第1項に基づき、再発防止策の実施状況を2026年10月19日までに報告するよう求めました。

報告対象には、二次被害の発生状況も含まれます。

KDDIは7月の時点で、6月17日に脆弱性へ対処するためシステムを改修し、6月21日には外部通信を制御する全サーバーへのEDR導入を完了したと説明しています。また、6月23日には第三者機関によるフォレンジック調査を行い、今回悪用された脆弱性以外の不審な痕跡が存在しないことを確認したとしています。

今後は、こうした対策に加え、個人情報保護委員会が指摘したアクセス制御、多層防御、パスワードの保存方法などについて、どのような改善策を実施したかが確認点になります。

総務省の「報告徴収」とは別の行政対応

KDDIは本件を巡り、すでに総務省からも行政上の対応を受けています。

総務省は6月24日、電気通信事業法第166条第1項に基づきKDDIへ報告を求め、KDDIは7月6日に報告書を提出しました。

セキュリティ対策Labでは、この段階を「総務省がKDDIに『報告徴収』の行政処分　メールシステムへの不正アクセスによるサイバー攻撃で」で取り上げています。

今回の個人情報保護委員会による指導は、総務省の報告徴収とは別の法令と監督権限に基づくものです。

総務省は電気通信事業法の観点から対応し、個人情報保護委員会は個人情報保護法上の安全管理措置に不備があったとして指導しています。

一つの大規模インシデントについて、通信サービスとしての監督と、個人データの安全管理という複数の規制上の観点から対応が進んでいることになります。

1,223万1,954人はKDDIが7月21日に訂正した人数

件数についても注意が必要です。

KDDIは7月6日の続報で、漏えいが確認されたメールアドレスとパスワードの人数を公表しました。その後、7月21日に資料を更新し、メールアドレスの漏えい対象人数を1,223万1,954人に訂正しています。

パスワード漏えい対象人数の761万6,173人には変更がありません。

個人情報保護委員会が今回示した1,223万1,954人と761万6,173人も、KDDIの訂正後の数字と一致しています。

インシデントの続報では初期発表から集計値が訂正されることがあるため、過去の数字をそのまま使わず、最新の一次資料で確認する必要があります。

利用者には「他サービスのパスワード使い回し」確認を要請

個人情報保護委員会は、KDDIやISPへの指導だけでなく、メールサービス利用者にも注意喚起しました。

漏えいしたメールアドレスと同じ、または類似するパスワードを他のサービスでも使っている場合、攻撃者がその組み合わせを使って別のサービスへのログインを試みるリスト型攻撃につながる可能性があります。

同委員会は、本件メールサービスの利用者に対し、同一または類似する文字列のパスワードを他サービスで使い回していないか速やかに確認し、使い回しが判明した場合には、他サービス側のパスワードも強固なものへ変更するよう求めています。

企業や行政機関については、従業員や職員にこの点を周知徹底するよう求めました。

本件の認証情報と直接関係するかは確認されていませんが、KDDIのインシデント公表後には国内ISPの認証情報を悪用したフィッシングが相次いで観測されています。セキュリティ対策Labでは、「国内ISPの認証情報を悪用したフィッシングメールが多発　KDDIのメールシステム不正アクセスとの関連は不明」で、確認済み事実と関連未確認の情報を分けて整理しています。