KDDIメールシステム不正アクセス事件（2026年）
事件の概要
22026年6月、KDDI株式会社は、インターネットサービスプロバイダー（ISP）事業者向けに提供しているメールシステムが不正アクセスを受け、メールサービスに関する情報の一部が外部に漏えいした可能性があることを公表しました。
KDDIが不正アクセスを確認したのは2026年6月17日です。
対象となったのは、KDDIが複数のISP事業者向けに提供していたメールシステムで、漏えいした可能性がある情報は、メールボックスに紐づくメールアドレス・パスワード最大1,422万件にのぼります。
対象には、現在の利用者だけでなく、解約済みの利用者や一定期間利用していない休眠利用者も含まれていました。
- 発覚：2026年6月17日
- 公表：2026年6月23日
- 対象：6社のISP事業者が提供するメールサービス
- 漏えいした可能性のある情報：メールアドレス・パスワード
- 件数：最大1,422万件
非常に大規模な情報漏えいの可能性が生じた事案であり、多くのメールサービス利用者に影響が及びました。
原因
KDDIの調査によると、不正アクセスの原因は、対象システムで利用していた第三者製ソフトウェアの脆弱性を悪用されたことでした。
つまり、KDDIが独自に開発した部分だけではなく、システムを構成する外部製品の脆弱性が攻撃の入口となったことになります。
企業の情報システムは、自社だけですべてを構築しているとは限りません。
業務システム、クラウドサービス、ソフトウェア、サーバーなど、さまざまな外部製品やサービスを組み合わせて運用している企業がほとんどです。
そのため、自社で管理している部分だけでなく、利用している外部製品やサービスの脆弱性情報を把握し、必要な更新や対策を継続することが重要になります。
企業対応
KDDIは不正アクセスを確認した6月17日、被害拡大を防ぐために対象システムを改修しました。
また、不正アクセスを受けた箇所を特定し、技術的な防御措置を実施しています。
対象となるISP事業者にも順次連絡し、対策についての協議や導入を進めるとともに、利用者に対してはメールパスワードの変更を求めました。
さらに、関係法令などに基づき、個人情報保護委員会や総務省への報告・相談を含む対応を進めています。
主な対応は以下の通りです。
- 被害拡大防止のためのシステム改修
- 不正アクセス箇所の特定
- 技術的な防御措置
- 対象ISP事業者への連絡
- 利用者へのパスワード変更の案内
- 個人情報保護委員会・総務省への報告・相談
- 影響範囲の継続調査
影響
今回の事案で特に注意すべきなのは、漏えいした可能性のある情報にメールアドレスだけでなくパスワードも含まれていたことです。
KDDIによれば、一部のパスワードにはハッシュ化・暗号化されたものも含まれていましたが、第三者に不正取得されている可能性を考慮し、利用者にパスワード変更を求めています。
メールアカウントが不正利用されれば、本人になりすましたメールの送信など、別の被害につながる可能性があります。
また、同じパスワードを複数のサービスで使い回している場合には、一つの情報漏えいが別のサービスへの不正ログインにつながる危険もあります。
一度漏えいした情報そのものを元に戻すことはできません。
企業には、漏えいを防ぐ対策だけでなく、万が一発生した場合に被害をどこまで小さくできるかという視点も求められます。
教訓（中小企業への示唆）
KDDIのような大企業であっても、外部製ソフトウェアの脆弱性を起点として不正アクセスを受ける可能性があります。
これは、中小企業にとっても決して他人事ではありません。
むしろ、自社に専任の情報システム担当者がいない企業ほど、「導入したシステムをそのまま使い続けている」「誰がアップデートを管理しているのか分からない」といった状態になりやすいため注意が必要です。
この事件から学ぶべき点は以下の通りです。
- 自社で利用しているシステムやソフトウェアを把握する
- セキュリティアップデートを放置しない
- 外部サービスや委託先に任せきりにしない
- 個人情報へのアクセス権限を必要最小限にする
- パスワードの使い回しを避け、多要素認証なども検討する
- 情報漏えい発生時の報告・連絡・対応手順を決めておく
重要なのは、高度なセキュリティ製品を導入することだけではありません。
「自社では何のシステムを使っているのか」「誰が管理するのか」「問題が発生したときに誰が対応するのか」までルールとして明確にし、継続して運用することが重要です。
KDDIの事例は、情報漏えい対策には自社のシステムだけでなく、利用する外部製品やサービスまで含めた管理が必要であることを示しています。
個人情報を適切に管理するためには、技術的なセキュリティ対策とあわせて、個人情報の取扱いルール、責任者、アクセス管理、外部サービスや委託先の管理などを組織として継続的に運用することが重要です。
こうした個人情報管理の体制を整え、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
