KDDIのISP事業者向けメールシステムに不正アクセス、最大1,422万件の認証情報漏えいの可能性

項目	内容
発生日	2026年6月17日に不正アクセスを確認
対象組織・業界	KDDI株式会社（ISP事業者向けメールシステム）
攻撃手法	不正アクセス（ゼロデイ脆弱性の悪用が指摘されている）
情報源	ScanNetSecurity（2026年7月10日・7月12日更新）

概要

KDDIが提供するISP事業者向けメールシステムが第三者による不正アクセスを受け、最大1,422万件のメールアドレス・パスワードが漏えいした可能性があることが公表されています。

影響は同システムを利用する複数のISP事業者に及び、報道時点で確認されている内訳は以下の通りです。

• BIGLOBE: 5,016,432人分
• J:COM: 2,593,076人分
• CPI: 1,250,543人分

経緯

• 2026年6月17日: 不正アクセスを確認。被害拡大防止のためシステムを改修
• 6月23日: 初報を公表
• 7月6日: 続報を発表
• 7月10日〜: 影響範囲の詳細が報道される

原因

ゼロデイ脆弱性（修正パッチ提供前の脆弱性）の悪用が指摘されていますが、報道時点で技術的詳細は明らかにされていません。

対策

組織が学ぶべきこと

1. ゼロデイは「パッチを当てれば防げる」の外側にある: 修正パッチが存在しない段階の攻撃は、脆弱性管理だけでは防げません。侵入されることを前提に、侵入後の挙動（異常な認証・データ転送）をログから検知する多層防御が不可欠です。

2. 認証情報の大量漏えいは業界横断の連鎖を生む: メールアドレス＋パスワードの組み合わせは、他サービスへのリスト型攻撃にそのまま転用されます。自社利用者への強制パスワード変更等の判断スピードが二次被害を左右します。

利用者が取るべき対策

対象ISPのメールパスワードを変更し、同じパスワードを他のサービスで使い回している場合はそちらも変更してください。また、ISPを装った「パスワード再設定」等のフィッシングに警戒が必要です。

ヤグラの視点 — 「パッチを当てる」の外側で戦う

脆弱性の公開からexploit化までの時間は、年単位から、いまや分単位・ほぼ瞬時にまで縮んでいます。ゼロデイはその極致で、「パッチを当てていれば防げた」という反省すら成立しません。この前提に立つと、防御の重心は「脆弱性を全部潰す」から「侵入後の異常をログから即座に捉える」へ移ります。ヤグラはこの思想で AI SOC（ログの横断AI監視・自動封じ込め）を提供しています。

今後の対応

影響範囲・原因の続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-07-14	第一報を公開