KDDI 情報漏洩：6社のメール利用者が対象、何が漏れたか

KDDIの情報漏洩で、何が公表されたか

KDDIは2026年6月23日、プロバイダ（ISP）向けに提供するメールシステムへの不正アクセスを公表しました。外部のソフトウェアの脆弱性が悪用されたとされています。KDDIが把握したのは6月17日で、同じ日にシステムを変更しています。

一部のプロバイダでは、5月16日から不正なアクセスがあったと、7月6日の発表（7月21日更新）に書かれています。この脆弱性は、2026年6月17日の時点でソフトウェアの提供元も把握していなかったものです。

漏れたのは、メールアドレス（ID）とパスワードです。KDDIの6月23日の発表では、解約済みや休眠中のアカウントの情報も含まれ得るとされていました。パスワードはハッシュ化や暗号化された状態のものがある、との説明です。

無料で公開情報を確認する

対象になるのは誰か

対象は、KDDIのメールシステムを使う次の6社のサービスです。KDDIの6月23日の発表に挙げられています。

• STNet（ピカラ光、ピカラモバイル、お仕事ピカラ）
• KDDIウェブコミュニケーションズ（レンタルサーバー「CPI」）
• JCOM（J:COM NETと提携ケーブルテレビ各社）
• 中部テレコミュニケーション（コミュファ光）
• ニフティ（@niftyメール）
• ビッグローブ（BIGLOBEメール）

一方で、auメール、UQ mobileメール、au one netメールは対象外です。KDDIは、これらは異なる設備で運用されており、影響や情報の漏洩はないと発表しています。

「KDDIの情報漏洩」という名前から、auの契約者全員が対象と受け取られがちです。しかし発表を読むかぎり、対象はKDDIのシステムを借りている他社のメール利用者です。自分が対象かどうかは、契約先の公式サイトにあるお知らせで確認してください。

何件の情報が漏れたか

KDDIは7月6日に件数を公表し、7月21日に訂正しました。最新の数字は、メールアドレスが12,231,954件、そのうちパスワードが7,616,173件です。

6月23日の発表にあった「最大1,422万件」は、調査が終わる前の見込みの上限でした。報道には訂正前の件数もありますが、KDDI自身が7月21日に訂正した数字を使ってください。

個人情報保護委員会（PPC）の2026年8月19日付の発表も、同じく12,231,954人を挙げています。PPCは、このうち7,616,173人は、パスワードが平文で保存されていたと説明しています。

6月23日のKDDIの発表は、ハッシュ化や暗号化されたパスワードもあり得ると書いていました。この2つの説明は表現が異なります。ここでは、それぞれの発表の言い方のまま伝えます。

漏れた情報で起こり得ること

PPCは、パスワードが平文だった7,616,173人については、IDとパスワードを知る第三者が、メールボックスの中身を見られる状態になったと説明しています。受信メールには、他のサービスの登録情報や、パスワード再設定の連絡が含まれることがあります。

PPCはまた、同じパスワードを他のサービスで使っていると、ログインを試される「リスト型攻撃」の危険があると注意しています。

フィッシング対策協議会は2026年6月26日、国内プロバイダの認証情報が悪用されたとみられるフィッシングメールの報告を公表しました。件名にはVISAカードの利用制限、Amazonのアカウント制限、荷物の配送トラブルを装ったものがあります。同協議会は、KDDIなどの事案との直接的な関連は確認できていないとしています。

KDDIと当局が公表した対応

KDDIは、プロバイダと連携してパスワードを変更するとしています。7月6日の発表では、強制的な変更を一両日中に行う方針でした。6月21日には外部通信を制御する全サーバーにEDR（不審な動きを検知する仕組み）を導入しました。6月23日には第三者機関のフォレンジック調査で、この脆弱性以外に不審な痕跡はないと確認したとしています。

総務省は2026年6月24日、KDDIに報告を求めました。電気通信事業法第166条第1項に基づくもので、期限は7月6日です。

PPCは2026年8月19日、個人情報保護法第147条に基づき、KDDIと一部のプロバイダに「指導」を行いました。あわせてKDDIには、二次被害の発生状況を含む再発防止策の実施状況を、2026年10月19日までに報告するよう求めています。報告が出たかどうかは、読んだ資料からは確認できませんでした。指導を受けたプロバイダの名前も、発表には書かれていません。

今すぐできること

1. 対象の6社のメールを使っている場合は、公式サイトから、またはブックマークからログインしてパスワードを変更します。メールのリンクは使いません。
2. 同じパスワードや似たパスワードを使っている他のサービスも、順に変更します。変更のしかたはパスワードの変え方にまとめています。
3. 不審なログインの通知や、身に覚えのないパスワード再設定のメールがないか、受信箱を見直します。
4. 可能なサービスでは二要素認証を設定します。
5. 心当たりのない連絡は、メールのリンクではなく、公式アプリや公式サイトから事実を確認します。

フィッシング対策協議会は、漏れた情報は売買される可能性があるとして、新しいメールアドレスへの移行も検討するよう案内しています。偽サイトにメールアドレスや電話番号を入力しないでください。

情報漏洩のお知らせが届いたときの全般的な確認手順は、情報漏洩のお知らせが届いたらにあります。

補償や訴訟について

今回読んだKDDI、総務省、PPCの資料には、補償の案内や集団訴訟、和解の記載はありませんでした。公式の和解サイトも確認できていません。補償を約束する情報は、公式の発表で確かめてください。

公開情報を確認する

Remove Meは、公開されている情報と、これまでに知られている漏洩情報を調べます。まだ削除の依頼を代わりに送る機能はありません。

このスキャンは、KDDIの今回の事案を個別に探すものではありません。結果に何も出なくても、情報が漏れていないとは言い切れません。上の手順は、結果に関係なく行ってください。

無料で公開情報を確認する

出典

• KDDI：ISP事業者向けメールシステムに対する不正アクセスの発生について（2026年6月23日）
• KDDI：お詫びとご報告（2026年7月6日、7月21日更新）
• 総務省：KDDI株式会社に対する報告徴収
• 個人情報保護委員会：KDDI株式会社及びインターネットサービスプロバイダに対する行政上の対応等（令和8年8月19日）
• フィッシング対策協議会：国内ISPの認証情報を不正利用して送信されたフィッシングメール