データ侵害により、6つのISPで最大1,420万件のEメールログイン情報が流出

データ侵害により、6つのISPで最大1,420万件のEメールログイン情報が流出 ビル・トゥーラス 2026年6月28日 午前10:13 日本の電気通信事業者であるKDDI株式会社は、国内の他の5つのインターネットサービスプロバイダー（ISP）が使用するEメールシステムの一つに、脅威アクターがアクセスしたデータ侵害を公表しました。 同社は、6月17日にこの侵害を発見し、攻撃者をブロックし防御策を実施することで直ちに対応したと述べています。調査の結果、ハッカーがKDDI株式会社がシステムで使用していた匿名のサードパーティ製ソフトウェアの脆弱性を悪用したことが判明しました。 「技術的な防御措置はすでにシステムに実装されていますが、このインシデントの結果として顧客のEメールアドレスとパスワードが不正な第三者によって取得された可能性が残っています」とKDDIは警告しています。 流出の規模 KDDIは日本最大のISPの一つであり、45,000人の従業員と年間324億ドルの収益を誇ります。IDO、DDI、および日本の元国営独占国際電気通信プロバイダーであるKDDの合併後、2000年から運営されている公開企業です。 同社は、このインシデントが以下の5つのISP事業者とそのEメールサービスに影響を与えたと述べています。 STNet株式会社 JCOM株式会社 中部テレコミュニケーション株式会社 ニフティ株式会社 ビッグローブ株式会社 インシデントの調査はまだ進行中であり、影響を受けたアカウントの正確な数はまだ判明していませんが、KDDIは最大1,422万人の顧客のEメールアドレスとパスワードが流出した可能性があると述べています。この数字には、現在および過去の顧客、ならびに現在使用されていない可能性のある非アクティブなアカウントが含まれます。 KDDIによると、もう一つの軽減要因は、一部のパスワードがハッシュ化および/または暗号化された形式で保存されていたことです。これは、たとえ流出したとしても、アカウントの乗っ取りに容易に悪用することはできないことを意味します。しかし、KDDIはどのような種類の暗号化が使用されたのか、またどれだけのアカウントのパスワードが平文で保存されていたのかを特定していません。 KDDIは、6月17日以降、影響を受けたISPに連絡を取っており、日本の個人情報保護委員会および総務省にも通知しています。 同社は現在、影響を受けたISPと協力して、この流出から生じるリスクを軽減するための追加のセキュリティ対策を実施しています。 一方、流出した可能性のある顧客は、できるだけ早くEメールアカウントのパスワードをリセットすることをお勧めします。2要素認証（2FA）が利用可能な場合は、追加の保護のためにそれも設定することが賢明です。 攻撃者がテストする前にすべてのレイヤーをテストする セキュリティチームは、成功した攻撃の54%をログに記録し、わずか14%でアラートを出します。残りは環境内で見過ごされます。Picusのホワイトペーパーは、侵害および攻撃シミュレーションがSIEMおよびEDRルールをどのようにテストし、脅威が検出から漏れるのを防ぐかを示しています。ホワイトペーパーを入手 関連記事: 日本のエネルギー企業が1,090万人の顧客データを含むドライブを紛失 ウェビナー: ビジネスメール詐欺攻撃が成功し続ける理由 LastPass、Klueサプライチェーン攻撃でデータ侵害を確認 ヘルステック企業Xolis、140万人もの人々を対象としたデータ侵害に苦しむ ウェビナー: なぜEメールセキュリティチームはアラートに溺れているのか