日本脆弱性総合ポータル

ニフティ：@niftyメールのメールパスワード漏えいを伴う不正アクセス

重要度
被害を確認
公表日
2026.06.23
原因の分類
製品・サーバーの脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. @niftyのメールシステムに外部から不正アクセスがあった
  2. KDDI提供の基盤システムの脆弱性が悪用され、情報が漏えいした可能性
  3. メールパスワードを変更し、メールソフトの設定も直す

@niftyのメールシステムに外部から不正アクセスがあり、メールアドレスとメールパスワードが第三者に漏えいした可能性がある。当社は現時点の調査で、メールサービスが利用するKDDI提供の基盤システムの脆弱性を悪用されたと特定した。

確認された経路・公表元の推定

  1. @niftyのメールシステムに外部から不正アクセスがあった
  2. メールサービスが利用する基盤システムの脆弱性が悪用された。提供元はKDDIである
  3. 不正アクセスにより、メールアドレスとメールパスワードが第三者に不正取得された可能性がある

根拠の要点

当社の調査により、基盤システムの脆弱性を悪用されたことが不正アクセスの原因と特定されたと説明している。提供元のKDDIが被疑箇所を特定したとも記載されている。

資料の基準時点：2026年6月23日公開の第一報（ページには2026年7月21日の表示もある）。取得日は2026年10月20日

当時、対策できたのか

判定保留

資料は脆弱性の存在と、提供元による該当箇所の特定および技術的な防御措置を述べている。ただし、修正版の時期や攻撃時点での既知性は書かれていないため、判定を保留した。

公表された対策

  • 提供元で該当する被疑箇所を特定し、技術的な防御措置を実施
  • メールパスワードの変更を必須とし、期限は2026年6月25日23:59まで
  • メールパスワード変更後、メールソフトに登録したパスワードも新しいものへ変更する
  • ログインパスワードとメールパスワードが同じ場合は、ログインパスワードも変更することを推奨
  • 期限までに変更されない場合、メールパスワードはシステム側で順次無効化される

まだ分からないこと

  • 発生日時と侵入の具体的な経路（資料は脆弱性の悪用と述べるが、詳細は記載なし）
  • 悪用された脆弱性の内容、CVE番号、修正の時期（詳細はKDDIの発表資料とされ、本資料では未確認）
  • 漏えいした可能性のあるアカウント数と被害の範囲
  • 本資料は第一報であり、後続の調査結果は含まれない

同じ会社の記事

ニフティの事例をすべて見る

関連する事例

同じ原因分類の事例

事例の一覧に戻る