2026年5月16日から発生したKDDIの情報漏洩（以下、情報漏えい）のような被害を防ぐには、単一の情報セキュリティ製品に頼らず、運用の見直し・監視の強化・入口での防御を重ねる多層防御が必要です。
今回の不正アクセスは、ソフトウェアの提供元すら把握していなかった未知の脆弱性が悪用されたもので、ひとつの対策だけで防ぎ切ることは困難でした。
本記事では、何が起きたのかを整理したうえで、対象サービスや原因、利用者が今すぐ取るべき対応と企業の対策を解説します。
KDDIの情報漏えいとは？
KDDIの情報漏えいは、同社がインターネットサービスプロバイダー（ISP）事業者向けに提供するメールシステムが不正アクセスを受け、利用者のメールアドレスとパスワードが流出した事案です。2026年6月に第一報が公表され、7月に件数が確定しました。
不正アクセスの概要と経緯
被害を受けたのは、KDDIが開発し、ISP事業者向けに提供していたメール基盤で、au メールなど自社のメールサービスとは別の設備で運用されていました。
不正アクセスは一部のISP事業者において2026年5月16日から発生しており、KDDIが確認したのは6月17日です。同日中にシステムを改修して脆弱性へ対処し、6月23日には第一報として最大1,422万件の漏えいの可能性を公表しました。その後、総務省から電気通信事業法に基づく報告を求められ、7月6日に報告書を提出するとともに確定件数を明らかにしています。
再発防止策としては、6月21日に外部通信を制御する全サーバーへのEDR導入を完了し、6月23日には第三者機関の調査で当該脆弱性以外に不審な痕跡がないことを確認しています。今後はAI等も活用したプログラム分析や、より安全な通信規格への移行を進めるとしています。
漏えいが確認された情報と件数
2026年7月6日の公表による確定件数は次のとおりです。
- 電子メールアドレス：約1,223万件（のちに1,223万1,954名へ訂正）
- パスワード：約762万件（7,61万6,173名）
- 解約済みや休眠のアカウント、ハッシュ化・暗号化されたパスワードも含む
パスワードの漏えい人数はメールアドレスの漏えい人数に含まれる「内数」であり、両者を足した数が被害総数になるわけではありません。
情報漏えいの対象は？auメールが大丈夫な理由
自分が対象かどうかは、利用中のメールサービスの提供事業者で判断できます。対象はメール基盤を利用していた6社に限られます。
対象となるサービス
対象となったのは次の6社のメールサービスです。集計単位が事業者ごとに異なるため、単純な合算はできません。
| メールサービス（提供事業者） | メールアドレス | うちパスワード |
| BIGLOBEメール（ビッグローブ） | 約501万6,432件 | 約463万1,775件 |
| @niftyメール（ニフティ） | 約224万8,708件 | 約186万2,462件 |
| J:COM NET（JCOM） | 約246万9,191件 | 公表内数 |
| ケーブルTV事業者向けメール（JCOM） | 約11万9,885件 | 1,257件 |
| コミュファ光（中部テレコミュニケーション） | 約72万7,176件 | 約72万4,344件 |
| ピカラ光ほか（STNet） | 約45万6,159件 | あり |
| CPIのメールサービス（KDDIウェブコミュニケーションズ） | 約125万543件 | なし |
| 合計 | 約1,223万件 | 約762万件（内数） |
※上記の数字には、すでに解約した方や休眠アカウントも対象に含まれるため、注意が必要です。
auメール・UQ mobileメールが影響を受けない理由
au メール、UQ mobile メール、au one net メールについては、今回の影響はないとされています。これらがISP事業者向けメール基盤とは異なる設備で運用されているためです。
社名が同じKDDIであることから混同されやすいものの、被害を受けたのは他社のISPへ提供していた共通のメールシステムであり、自社の契約者向けサービスとは切り分けられています。
情報漏えいの原因はゼロデイ脆弱性
原因はメールシステムに組み込まれていた第三者製ソフトウェアの脆弱性であり、発覚時点で提供元すら認識していなかった点が特徴です。
情報漏えいの原因について
KDDIの公表によれば、今回の不正アクセスはシステムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたものです。この脆弱性は、確認時点の6月17日でベンダー自身も把握していない、いわゆるゼロデイの状態でした。
修正プログラムが存在しない未知の脆弱性は事前に完全に塞ぐことが難しく、この前提が対策の考え方を左右します。
ゼロデイ攻撃については、以下の記事で詳しく解説しています。あわせてお読みください。
なぜ被害が複数事業者に広がったのか
被害が6社にまたがった背景には、複数のISPが一つの共通基盤を利用していた構造があります。基盤側の脆弱性が、その上でサービスを提供していた各社へ連鎖的に波及しました。
これは委託先や利用中のソフトウェアの弱点が突かれるサプライチェーンリスクの典型例です。IPAの「情報セキュリティ10大脅威2026」でも上位に挙げられており、委託しているから安全とは限らないという教訓を示しています。
情報漏えいで想定されるリスク
最も警戒すべきなのは、他サービスへの二次被害です。同じパスワードを使い回していると、流出情報をもとに別サービスへログインを試みるパスワードリスト攻撃（クレデンシャルスタッフィング）でアカウントを乗っ取られるおそれがあります。ネットショッピングや金融サービスに波及すれば、不正購入や金銭被害につながるケースも見られます。
また、こうした事案の後は混乱に便乗したフィッシングメールが増える傾向にあります。使い回しが残る状態こそが最大のリスクと言えます。
【利用者向け】今すぐやるべきこと
対象サービスを利用中の方、または過去に利用していた方は、次の対応を早めに実施してください。
- まず対象のメールサービスのパスワードを変更する（各ISPの案内と期限を確認）
- 同じパスワードを使い回している他のサービスもあわせて変更する
- パスワードはサービスごとに別のものを設定し、管理ツールの活用も検討する
- 対応しているサービスでは二段階認証（多要素認証）を有効にする
- 「パスワード変更のお願い」等の偽メールに注意し、公式サイトを自分で開いてログインする
メールソフトに保存したパスワードの更新漏れにも注意してください。
【企業向け】情報漏えいを防ぐための対策とは
企業が同種の被害を防ぐには、運用の見直しを土台に、ITツールによる監視、WAFによる入口防御を段階的に重ねる多層防御が有効です。
対策① 運用の見直し
定期的な脆弱性診断で自社システムや委託先の弱点を把握し、パッチ管理によって公表済みの脆弱性を早期に塞ぐ体制を整えます。今回のように委託先が起点となる事案もあるため、サプライチェーン全体を対象とした管理も欠かせません。
ただし修正プログラムが未提供のゼロデイ脆弱性には、運用の徹底だけでは限界があります。
対策② ITツール活用による監視・検知の強化
運用で塞ぎきれない部分を補うのが、ログ監視やEDR等のITツールによる検知です。前述のとおりKDDIもEDR導入を完了していますが、EDRは侵入そのものを事前に防ぐ製品ではなく、侵入後の不審な挙動を検知して対応を早める仕組みである点は理解しておく必要があります。
今回は攻撃の発生から認識まで約1カ月の空白がありました。この「気づくまでの時間」の短縮が、被害規模を左右します。
対策③ WAFの活用
異常に「気づく」体制に加え、入口で攻撃を「止める」層を担うのがWAFです。既知の攻撃パターンを遮断できるほか、脆弱性の公表後に本体の修正を待たず、仮想パッチで暫定的に通信を遮断できる点も利点です。
その点、Cloudbric WAF+であれば、既知の攻撃や不正アクセス、DDoS攻撃、ボット検知に対応するWAAP型のサービスとして、脅威の判明から防御適用までの時間を短縮できます。
もっともWAFも万能ではなく、運用の見直しや監視と組み合わせてこそ効果を発揮する多層防御の一層として位置づけることが大切です。
Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。
Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説
よくある質問
Q1．自分は今回の漏えいの対象ですか？
対象となるのは、KDDIのISP向けメール基盤を利用していた6社（BIGLOBE、@nifty、J:COM NET、コミュファ光、ピカラ、CPI）の利用者です。解約済みの方や長期間使っていない方も含まれる可能性があるため、各社の公式案内をご確認ください。
Q2．漏えいの原因は何ですか？
メールシステムに導入していた第三者製ソフトウェアの脆弱性が悪用されたことが原因です。この脆弱性は、KDDIが確認した2026年6月17日時点でベンダーも認識していないゼロデイの状態でした。不正アクセスは一部の事業者で同年5月16日から発生していたとされています。
Q3．auメール・UQ mobileメールは大丈夫ですか？
au メール、UQ mobile メール、au one net メールは、今回のISP向けメール基盤とは別の設備で運用されていたため、影響はないとされています。対象となったのはISP事業者向けの共通メールシステムであり、自社の契約者向けサービスとは切り分けられています。
まとめ
KDDIの情報漏えいは、ISP事業者向けメール基盤の第三者製ソフトウェアに存在したゼロデイ脆弱性が悪用され、約1,223万件のメールアドレスと約762万件のパスワードが流出した事案です。対象は6社で、au メールなど自社サービスは影響を受けていません。
利用者はパスワード変更と使い回しの解消を、企業は運用の見直しから監視、入口防御へと重ねる多層防御を進めることが重要です。
入口対策として、Cloudbric WAF+の導入もあわせてご検討ください。