KDDIのISP向けメール基盤で認証情報漏洩！？761万6,173人分のパスワードを平文保存

個人情報保護委員会は2026年8月19日、KDDI株式会社と一部のインターネットサービスプロバイダ（ISP）に対し、個人情報保護法に基づく指導等を行ったと公表しました。対象となったのは、KDDIがISP向けに提供するメールシステムへの不正アクセスです。

同委員会によると、メールアドレスの漏洩が確認されたのは1,223万1,954人で、そのうち761万6,173人についてはパスワードの漏洩も確認されました。この761万6,173人分のパスワードは、システム上に平文で保存されていました。本記事では、確定した事実と未確認の範囲を分け、利用者と企業が見直すべき対策を整理します。

KDDIのISP向けメール基盤で発生した認証情報漏洩の概要

KDDI株式会社がISP向けに提供するメールシステムでは、2026年5月16日に一部ISPへの不正アクセスが始まり、KDDIが6月17日に侵害を確認しました。個人情報保護委員会によると、認証情報の漏洩が確認された対象者は1,223万1,954人です。また、このうち761万6,173人分のパスワードが平文で保存されていたと公表しました。

本記事では、不正アクセスの内容・経緯、利用者が注意すべきこと、企業が見直すべき対策などを解説します。

不正アクセスの経緯

KDDIの2026年7月6日付（7月21日更新）公表によると、同社がISP向けに開発・提供するメールシステムに組み込まれた第三者製ソフトウェアの脆弱性が悪用されました。一部のISPでは、2026年5月16日に不正アクセスが始まったとされています。KDDIは6月17日に不正アクセスを確認し、同日中にシステムの改修と脆弱性への対処を行いました。

このシステムは、メールアカウント管理、送受信、Webメール、メールデータ保存などをまとめて提供する基盤です。6月23日の第一報では、STNet、KDDIウェブコミュニケーションズ、JCOM、中部テレコミュニケーション、ニフティ、ビッグローブの6社が提供する対象メールサービスが示されました。

一方、KDDIの「auメール」「UQ mobileメール」「au one netメール」は別の基盤で構築されており、今回の不正アクセスによる影響や情報漏洩はないとKDDIは説明しています。

日付	内容	確認できるポイント
2026年5月16日	一部ISPで不正アクセスが開始	KDDIが後日の調査で確認した攻撃開始日
2026年6月17日	KDDIが不正アクセスを確認	同日、システム改修と脆弱性対応を実施
2026年6月23日	KDDIが第一報を公表	対象6社と、メールアドレス・パスワード最大1,422万件の漏洩可能性を公表
2026年7月6日	KDDIが漏洩確認結果を公表	メールアドレスと761万6,173人のパスワードの漏洩を確認
2026年7月21日	KDDIが公表資料を更新	メールアドレスの対象人数を1,223万1,954人へ訂正。パスワードの対象人数は変更なし
2026年8月19日	個人情報保護委員会が指導等を公表	平文保存の規模、安全管理措置の不備、報告期限を明示

漏洩が確認された情報と影響範囲

個人情報保護委員会によると、1,223万1,954人のメールアドレスの漏洩が確認されました。このうち、761万6,173人についてはパスワードも漏洩しており、これらのパスワードは平文で保存されていました。

対象	確認された情報	人数	注意点
対象メールシステムの利用者	メールアドレス	1,223万1,954人	認証情報漏洩が確認された対象者の総数
パスワード漏洩対象者	平文で保存されたパスワード	761万6,173人	上記の一部 ハッシュ化されていない状態だったと個人情報保護委員会が公表

平文とは、暗号化やハッシュ化などの保護を施さず、元の文字列をそのまま読み取れる状態です。個人情報保護委員会は、窃取された認証情報によって第三者がメールボックス内の情報を閲覧可能な状態になっていたと説明しています。

ただし、公表資料は「閲覧可能な事態」としており、761万6,173人全員のメール本文や添付ファイルが実際に閲覧されたと確認したものではありません。攻撃者の身元や、窃取情報がダークウェブで公開された事実も、今回確認した一次情報には示されていません。

個人情報保護委員会が問題視した点

個人情報保護委員会は、KDDIが多くの利用者を抱える共通基盤を運用し、多数のパスワードを平文で保存していた以上、侵入後の横展開を防ぎ、被害を最小限に抑える多層的な対策が必要だったと指摘しました。そのうえで、アクセス制御等が十分ではなく、技術的安全管理措置に不備があったと判断しています。

同委員会はKDDIに安全管理措置の改善を指導し、二次被害の発生状況を含む再発防止策の実施状況を2026年10月19日までに報告するよう求めました。また、平文保存の事情が一部のISP側に起因するとし、該当するISPにも改善を指導しています。ただし、指導対象となったISPの具体名は公表されていません。

利用者が注意すべきこと

対象となる可能性がある利用者は、まず契約先ISPからの案内を確認してください。パスワード変更を求められている場合は、案内された正規の手順で速やかに変更します。メールやSMSのリンクからではなく、公式サイトや普段使っているアプリから手続きすることが大切です。

個人情報保護委員会は、漏洩したものと同じ、または似たパスワードを他サービスで使い回していないか確認するよう求めています。使い回しがあれば、その別サービス側のパスワードも、十分に長く推測されにくい固有の文字列へ変更してください。利用できるサービスでは多要素認証も有効にしましょう。

メールアカウントは、パスワード再設定通知や取引先とのやり取りが集まる「入口」です。送信済みメール、転送設定、フィルタ設定、ログイン履歴に身に覚えのない変更がないかも確認してください。ISP、KDDI、取引先を装ったパスワード変更依頼や請求連絡にも注意が必要です。

大量の認証情報を扱う企業が見直すべき5つの対策

今回の事案は、6月17日時点でソフトウェアベンダーが認識していなかった脆弱性の悪用だけでなく、侵入後に大量の認証情報へ到達できた構造と、平文パスワードの保管が被害を大きくした可能性を示しています。企業は「侵入を完全に防ぐ」ことだけに依存せず、侵入されても被害が広がりにくい設計を確認する必要があります。

具体的には、次の点を優先して見直しましょう。

• パスワードは強固な方式でソルト付きハッシュ化し、平文や復号可能な形で保管しない
• 利用者・テナント・管理機能の境界を分離し、侵害時の横展開を最小権限とアクセス制御で抑える
• インターネットに面する第三者製ソフトウェアを棚卸しし、脆弱性情報が出る前でも異常挙動を検知できるログ監視とEDRを組み合わせる
• 大量取得や通常と異なる認証情報アクセスを検知し、強制パスワード変更と顧客通知を迅速に始められる手順を整える
• 委託先や共通基盤の障害が複数サービスへ波及する前提で、責任分界、平文保存の例外、事故連絡、監査権限を契約と運用の両面で管理する

さらに、漏洩後は認証情報が別サービスへの不正ログインや標的型フィッシングに使われていないかを継続的に監視することが重要です。予防策と、外部へ流出した情報を早く見つける対策を一体で運用しましょう。

企業が情報漏洩で信頼を失わないためにできること

KDDIのISP向けメールシステムでは、第三者製ソフトウェアの脆弱性を悪用した不正アクセスにより、1,223万1,954人の認証情報漏洩が確認されました。そのうち761万6,173人分のパスワードは平文で保存されており、個人情報保護委員会はKDDIと一部ISPの技術的安全管理措置に不備があったとして指導しました。

認証情報によってメールボックス内を閲覧できる状態だった一方、対象者全員のメール本文等が実際に閲覧されたとの確認や、ダークウェブ公開の確認は公表されていません。利用者は公式案内を確認し、同一・類似パスワードの使い回しを解消してください。企業は、パスワード保管、横展開防止、委託先管理、漏洩後の継続監視を見直す必要があります。今後の二次被害や再発防止策については、KDDI、各ISP、個人情報保護委員会の最新情報を確認しましょう。

情報漏洩は完全に防げるとは限らないため、発生後の検知速度と対応状況の管理が信頼維持を左右します。本件のように認証情報の漏洩が確認された事案では、流出した会社メール、ID、パスワードの悪用兆候を継続的に監視することが重要です。ダークウェブアイ／情報漏洩は、ダークウェブ上の自社情報を監視・検知し、早期対応を支援します。

参考にした記事・公表資料

• 個人情報保護委員会「KDDI株式会社及びインターネットサービスプロバイダに対する個人情報の保護に関する法律に基づく行政上の対応並びにメールサービス利用者に対する注意喚起について」（2026年8月19日）
• KDDI「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」（2026年7月6日、7月21日更新）
• KDDI「Notice Regarding Unauthorized Access to Email System for ISP Providers」（2026年7月6日）
• KDDI「ISP事業者向けメールシステムに対する不正アクセスの発生について」（2026年6月23日）