KDDIウェブコミュニケーションズ、KDDIへの不正アクセスで125万543件のアカウントの情報漏洩

株式会社KDDIウェブコミュニケーションズは2026年8月24日、法人向けレンタルサーバー「CPI」のメールサービスで発生した不正アクセスについて、調査結果と対応完了を公表しました。

漏えいが確認されたメールアカウント情報は1,250,543件です。対象はCPIでメールサービスを提供している全プランで、「ビジネス スタンダード」と「KWCメール」ではメールアカウントに加えてハッシュ化されたパスワード情報も漏えいしました。一方、平文のパスワードそのものは漏えいしていないとしています。その他プランについては、パスワードを別システムで管理していたためパスワードへの影響はありません。

原因は、CPIがメール基盤として利用していたKDDIのISP事業者向けメールシステムで、第三者製ソフトウェアの脆弱性が悪用されたことです。CPIへの影響は6月8日から発生しており、KDDIは6月17日にシステム改修を実施しました。KDDIウェブコミュニケーションズは、パスワード強制変更やフォレンジック調査などを経て、本件への対応を完了したとしています。

CPIメールサービス不正アクセスのサマリー

• 確認済み：KDDIウェブコミュニケーションズは2026年8月24日、CPIメールサービスへの不正アクセスについて最終報告を公表しました。
• 確認済み：漏えいしたメールアカウント情報は1,250,543件です。
• 確認済み：対象は、レンタルサーバーCPIでメールサービスを提供している全プランです。
• 確認済み：「ビジネス スタンダード」「KWCメール」では、メールアカウントとハッシュ化されたパスワード情報が漏えいしました。
• 確認済み：平文のパスワードそのものは漏えいしていません。
• 確認済み：その他プランではパスワード情報を別システムで管理していたため、パスワードへの影響はありません。
• 確認済み：CPIへの影響は2026年6月8日から発生していました。
• 確認済み：不正アクセスはKDDIが運営するISP事業者向けメール基盤で発生し、第三者製ソフトウェアの脆弱性が悪用されました。
• 確認済み：KDDIは6月17日に脆弱性へ対処し、6月21日までに技術的防護措置と全サーバーへのEDR導入を完了しました。
• 確認済み：CPIは7月21日、対象となる未変更アカウントのメールパスワードを強制変更しました。
• 確認済み：第三者専門機関のフォレンジック調査では、当該脆弱性以外の不審なアクセスや痕跡は確認されていません。
• 確認済み：8月24日時点で、本件に起因する新たな被害は確認されておらず、対象サービスは通常利用できる状態です。
• 未公表：悪用された第三者製ソフトウェアの製品名、脆弱性のCVE番号、攻撃者の属性は公表されていません。

項目	内容
最終報告公表日	2026年8月24日
対象組織	株式会社KDDIウェブコミュニケーションズ
対象サービス	法人向けレンタルサーバー「CPI」のメールサービス全プラン
CPIでの影響発生日	2026年6月8日
KDDIによる不正アクセス確認	2026年6月17日
CPIへの第一報	2026年6月21日
インシデント	KDDIのISP事業者向けメール基盤への不正アクセス
侵入原因	第三者製ソフトウェアの脆弱性悪用
漏えいしたメールアカウント情報	1,250,543件
ビジネス スタンダード／KWCメール	メールアカウント、ハッシュ化されたパスワード情報
その他プラン	メールアカウントのみ。パスワードへの影響なし
平文パスワード	漏えいしていない
対応	システム改修、EDR導入、フォレンジック調査、パスワード強制変更
対応完了	2026年8月24日に公表
新たな被害	8月24日時点で本件に起因する新たな被害は確認されず
個人情報保護委員会	KDDIが報告・相談を含む必要な対応を実施。CPI側独自の報告有無は公表資料で確認できず
総務省	KDDIが電気通信事業法第166条第1項に基づく報告書を7月6日に提出
CVE	公表されていません
攻撃者	公表されていません

CPIはKDDIウェブコミュニケーションズが運営する法人向けレンタルサーバー

CPIは、KDDIグループの株式会社KDDIウェブコミュニケーションズが提供する法人向けレンタルサーバーサービスです。

今回影響を受けたのは、CPIが顧客へ提供するメールサービスです。

メール基盤そのものはKDDI株式会社が開発・運営するISP事業者向けメールシステムを利用していました。KDDIはこの基盤をCPIだけでなく、JCOM、ニフティ、ビッグローブ、STNet、中部テレコミュニケーションなど複数のISP事業者へ提供していました。

そのため今回の事案は、CPI単独のサーバーが侵害されたものではなく、CPIが依存していたKDDIの共通メール基盤への不正アクセスがCPI利用者へ波及したものです。

多発するメール基盤へのサイバー攻撃

2025年4月から2026年6月までのわずか14か月の間に、日本国内の主要なメールシステムが連続して不正アクセスを受けています。

IIJのセキュアMXサービス（確定586契約・311,288件）、

TOKAIコミュニケーションズのOneOffice Mail Solution（メールアドレス約8万件・隔離メール約193万通）、

NTTPCコミュニケーションズのWebARENA（大容量ファイル転送機能でメールアドレス7,446件・SuiteX収容サーバーdc70.etius.jpで契約終了）、

そしてKDDIのISP事業者向けメールシステムですいずれの事案もメール基盤そのもの、またはメールに付随する機能が攻撃対象となっており、自社開発部分だけでなく、外部製品・付帯機能・委託先基盤を含めた管理が重要であることを示しています。

関連：メール 基盤に相次ぐ サイバー攻撃- KDDI・IIJ・TOKAIコミュニケーションズ・WebARENAの4事案を整理

CPIへの影響は6月8日から発生

KDDIウェブコミュニケーションズの最終報告では、CPIサービスへの影響発生日を2026年6月8日としています。

一方、KDDIの7月6日付報告によると、KDDIのISP事業者向けメール基盤全体では、一部ISPで5月16日から不正アクセスが発生していました。

つまり「5月16日」はKDDI基盤全体で最も早く確認された影響時期であり、CPIについて確認された影響開始日は6月8日です。

KDDIは6月1日、別のISP事業者からパスワード漏えいの可能性について調査依頼を受け、その後、製品ベンダーや外部調査会社と脆弱性調査、ログ調査、フォレンジック調査を開始しました。

6月17日には製品ベンダーから、第三者製ソフトウェアの脆弱性を悪用した情報漏えいの可能性について報告を受け、同日にシステムを改修して脆弱性への対処を完了しました。

CPIを運営するKDDIウェブコミュニケーションズがKDDIから第一報を受けたのは6月21日です。

サーバーAへの侵入から、別サーバーのアカウント情報を取得

CPIの最終報告では、侵害の構造もこれまでより具体的に説明されています。

悪意のある第三者は、KDDIが運営する「サーバーA」へ不正アクセスしました。

サーバーAに存在した脆弱性が悪用され、その後、別の「サーバーB」に保存されていたメールボックスに紐づくメールアカウント情報が不正に取得されたとしています。

つまり、最初に侵害されたサーバーと、最終的にアカウント情報が保存されていたサーバーは同一ではありません。

公表資料では具体的なサーバー製品名、第三者製ソフトウェア名、脆弱性の技術的内容は明らかにされていません。

脆弱性は6月17日時点で製品ベンダーも未認識

KDDIの7月6日付報告によると、悪用された脆弱性は、KDDIが不正アクセスを確認した6月17日時点で第三者製ソフトウェアのベンダーも認識していないものでした。

ソフトウェアベンダーはその後、公的機関への届け出と情報公開に向けた対応を進めているとKDDIは説明しています。

ただし、KDDIやCPIはこの脆弱性を「ゼロデイ」とは表現していません。

また、8月25日時点で公開資料から、製品名やCVE番号を特定できる情報は確認できませんでした。

このため、別の既知CVEを今回の侵入原因と結び付けることはできません。

メールアカウント情報1,250,543件が漏えい

8月24日の最終報告で、CPIはメールアカウント情報1,250,543件の漏えいを確認したとしています。

7月6日時点のKDDIウェブコミュニケーションズの発表でも、電子メールアドレスの漏えい対象人数を1,250,543名としていました。

今回の最終報告では、CPIのメールサービス全プランを対象として、メールアカウント情報1,250,543件が漏えいしたと整理されています。

ここで注意が必要なのは、この1,250,543件すべてでパスワード情報まで漏えいしたわけではない点です。

ビジネス スタンダードとKWCメールはパスワードハッシュも漏えい

「ビジネス スタンダード」と「KWCメール」では、メールアカウントに加えてパスワード情報も漏えいしました。

ただし、CPIはパスワードをハッシュ化した状態で管理しており、平文のパスワードそのものは漏えいしていないと説明しています。

ハッシュ値は元のパスワードそのものではありませんが、弱いパスワードが設定されていた場合などには解析されるリスクを完全には排除できません。

そのためCPIは、影響範囲が確定する前の7月1日からパスワード変更を求め、最終的に未変更の対象アカウントへ強制変更を実施しました。

一方、その他のプランではパスワード情報を別システムで管理していたため、今回の不正アクセスによるパスワードへの影響はありません。

したがって、「CPIの125万543件すべてでパスワードが漏えいした」とする表現は正確ではありません。

KDDI全体では約1,223万件のメールアドレス漏えい

今回のCPI事案は、KDDIのISP事業者向けメール基盤全体で発生したインシデントの一部です。

KDDIの7月6日付報告は、その後7月21日に人数を訂正し、本システムで作成された電子メールアドレスの漏えいを12,231,954名、パスワードの漏えいを7,616,173名としています。

パスワード人数はメールアドレス漏えい人数の内数です。

一方、CPIに限ると最終的な対象は1,250,543件です。

KDDI全体の約1,223万件と、CPIの約125万件を混同しないよう注意が必要です。

セキュリティ対策Labでは、KDDI基盤全体の影響について「KDDI、メールシステムへの不正アクセスで1,223万件のメールアドレスが漏洩、パスワードは761万件 漏洩」でも整理しています。

6月17日に改修、6月21日までに全サーバーへEDR導入

KDDIは6月17日、原因となった第三者製ソフトウェアを改修し、脆弱性への対処を完了しました。

6月18日から21日にかけて技術的な防護措置を実施し、6月21日までに全サーバーへEDRを導入しています。

CPIの最終報告では、EDRについて「外部通信を監視・制御する」目的で導入したと説明しています。

6月23日には第三者専門機関によるフォレンジック調査を完了し、今回悪用された脆弱性以外に不審なアクセスや痕跡がないことを確認しました。

7月21日に対象アカウントのパスワードを強制変更

CPIは7月1日、影響範囲の確定前から顧客へメールパスワードの変更を要請しました。

同時に「ビジネス スタンダード」と「KWCメール」利用者へ、未変更の場合は7月21日に強制変更を実施すると案内しています。

7月6日に影響範囲が確定し、7月7日から9日にかけて対象顧客へ個別通知を実施しました。

7月8日には、パスワード強制変更の対象アカウントを管理者向けコントロールパネルで確認できる機能を追加しています。

7月16日にリマインドを行い、7月21日、対象のうちパスワードが変更されていなかったアカウントについて強制変更を実施しました。

強制変更後はメールソフト、Webメール、ユーザー用コントロールパネルなどで新しいパスワードを再設定する必要があり、複数端末で同一アカウントを利用している場合は全端末で設定変更が必要となりました。

本件に起因する新たな被害は確認されず、対応完了

KDDIウェブコミュニケーションズは、システム改修、EDR導入、フォレンジック調査、パスワード強制変更を完了しました。

第三者専門機関の調査でも、今回の脆弱性以外に不審なアクセスや痕跡は確認されていません。

また、本件に起因する新たな被害が確認されていないとして、8月24日付で本件への対応完了を公表しました。

現在、CPIの対象サービスは通常どおり利用できる状態です。

一方、CPIは7月29日、CPIを装ったフィッシングメールが出回っていることを別途注意喚起しています。

このフィッシングについて、今回漏えいしたアカウント情報との因果関係が確認されたとは公表されていません。

したがって、「今回の漏えいによってフィッシング被害が発生した」と断定することはできません。

KDDIは総務省へ報告書提出、個人情報保護委員会にも対応

KDDIは6月23日の第一報で、本件について個人情報保護委員会、総務省への報告・相談を含む必要な対応を進めていると説明しました。

また、総務省は6月24日、KDDIに対して電気通信事業法第166条第1項に基づく報告を求め、KDDIは7月6日に報告書を提出しています。

CPIの8月24日最終報告では、KDDIウェブコミュニケーションズ自身が個人情報保護委員会へどのような報告を行ったかについては明記されていません。

このため、CPI側の報告状況については推測せず、KDDI側で確認できる対応のみを整理する必要があります。

今後はAIも使って設計書・プログラムを分析

KDDIは今後の再発防止策として、問題となった第三者製ソフトウェアの設計書とプログラムを詳細に分析するとしています。

分析にはAIなどの技術も活用し、潜在的なリスクを網羅的に調査した上で、不具合や脆弱性の有無を継続的に確認・改善する方針です。

KDDIの7月6日発表ではこれに加え、ISP事業者と連携して、従来型のメールソフトなどへの影響も考慮しながら、よりセキュリティ強度の高い通信規格への移行を早期に進める方針も示しています。

情報システム部門への示唆

今回の事案は、自社が直接運用していない共通基盤の脆弱性が、複数のサービス事業者とその顧客へ同時に波及するリスクを示しています。

メールサービスやホスティングを外部委託している企業では、自社のセキュリティ対策だけでなく、実際にどの事業者・基盤・第三者製ソフトウェアへ依存しているかを把握する必要があります。

特に今回、CPIが直接利用するサービスの背後にKDDIのISP事業者向け共通基盤が存在し、さらにその内部で第三者製ソフトウェアが利用されていました。委託先だけでなく再委託先や基盤ソフトウェアまで含めた依存関係の把握が重要です。

認証情報については、「平文パスワードが漏えいしていない」場合でも対応不要とは限りません。ハッシュ値が取得された場合は、強度の弱いパスワードが解析される可能性を考慮し、対象アカウントのパスワード変更や使い回し確認が必要です。

また、メールアカウント自体が漏えいした場合、実在する企業のアドレスを利用した標的型メールやフィッシングの精度が高まる可能性があります。今回との因果関係は確認されていないものの、CPIを装ったフィッシングも確認されているため、メール管理者は不審な認証、送信量の急増、転送設定の変更などを継続して監視する必要があります。

最後に、ベンダーが認識していない脆弱性が悪用された今回のようなケースでは、パッチ管理だけでは防ぎ切れません。EDR、外部通信監視、ネットワーク分離、権限分離、異常挙動検知、フォレンジックに必要なログ保存を組み合わせ、侵入後の横展開や情報取得を抑える設計が重要です。

セキュリティ対策Labでは、CPIの第一報について「KDDIウェブコミュニケーションズのメールサービスで不正アクセスの被害」でも取り上げています。

出典

• 弊社メールサービスへの不正アクセスに関する調査結果および対応完了のご報告 – CPI / 株式会社KDDIウェブコミュニケーションズ
• 弊社メールサービスへの不正アクセスに関するご報告とお詫び – CPI / 株式会社KDDIウェブコミュニケーションズ
• 弊社メールサービスへの不正アクセスに伴うお客さま影響確定のお知らせ – CPI / 株式会社KDDIウェブコミュニケーションズ
• 不正アクセスに伴うメールパスワード強制変更を実施しました – CPI / 株式会社KDDIウェブコミュニケーションズ
• CPIを騙る「なりすまし・フィッシングメール」にご注意ください – CPI / 株式会社KDDIウェブコミュニケーションズ
• 当社メールサービスに対する不正アクセスの発生について – 株式会社KDDIウェブコミュニケーションズ
• 当社メールサービスに対する不正アクセスの発生に関するお詫びとご報告 – 株式会社KDDIウェブコミュニケーションズ
• ISP事業者向けメールシステムに対する不正アクセスの発生について – KDDI株式会社
• ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告 – KDDI株式会社
• KDDI、メールシステムへの不正アクセスで1,223万件のメールアドレスが漏洩、パスワードは761万件 漏洩 – セキュリティ対策Lab
• KDDIウェブコミュニケーションズのメールサービスで不正アクセスの被害 – セキュリティ対策Lab