- 重要度
- 重要度：5段階中5 最大 1,422 万件
- 公表日
- 2026.06.23
- 原因の分類
- 製品・サーバーの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- ISP向けメールシステムに不正アクセスがあり、メールの情報が漏れた可能性がある
- 原因は、使っていた第三者製ソフトの脆弱性を悪用されたこと
- 利用者はISPからの案内を確認し、早急にメールのパスワードを変える必要がある
2026年6月17日、KDDIがISP事業者向けに提供するメールシステムへの不正アクセスを確認した。本システムで使っていた第三者製ソフトの脆弱性を悪用されたとしている。対象は6社のメールサービスで、メールアドレスとパスワードが最大1,422万件漏えいした可能性がある。調査は継続中。
確認された経路・公表元の推定
- 本システムで利用していた第三者製ソフトウェアの脆弱性が悪用された
- 2026年6月17日、不正アクセスを確認し、同日にシステムを改修した
- メールアドレスとパスワードを含むメール関連情報が漏えいした可能性がある
根拠の要点
公表元は、調査の結果として不正アクセスの経路を第三者製ソフトの脆弱性の悪用と説明している。ただし脆弱性の名称や修正の時期は資料にない。
資料の基準時点：2026年6月23日時点の公表資料
当時、対策できたのか
判定保留
公表元は対策の欠落や発覚時の未発見について説明しておらず、攻撃時点での脆弱性の修正状況も資料にないため判定を保留とした。
公表された対策
- 2026年6月17日に本システムを改修し、被疑箇所を特定して技術的な防御措置を実施
- 個人情報保護委員会と総務省へ報告・相談
- ISP事業者へ順次連絡し、対策の協議と導入を進める
- 利用者にメールパスワードの変更を求め、ISP事業者から提供される情報の確認を呼びかける
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 侵入の日時と、不正アクセスが始まった時期
- 悪用された第三者製ソフトウェアの名称とCVE番号
- 影響範囲の特定（調査継続中）
- 漏えい件数の確定値（現時点は最大値のみ）
- ISP事業者ごとの件数