【最大1422万件】KDDIのISPメール不正アクセス、あなたは大丈夫？今日中にやること
2026年6月23日、KDDIが衝撃的な発表をした。
@nifty、BIGLOBE、J:COM、コミュファ光など複数のISPメールサービスが不正アクセスを受け、最大1,422万件のメールアドレスとパスワードが流出した可能性があるという。
日本国内のISPメール漏洩としてはかなりの大規模事案だ。
何が起きたのか
事件の概要
影響を受けるサービス
@niftyメール
BIGLOBEメール
J:COM NET / ケーブルTV系
コミュファ光 / ビジネスコミュファ
ピカラ（STNet）系
CPI（KDDIウェブコミュニケーションズ）メール
解約済み・休眠アカウントも含む数字なので、現在使っているユーザーだけだともう少し少なくなるが、それでも数百万規模は確実だ。
なぜこんな規模になったのか
KDDIは複数のISPに共通のメール基盤を提供していた。そのため、一度の侵害がドミノ式に波及し、これだけの横断的被害につながった。
原因がサードパーティソフトの脆弱性悪用だったことも防御を遅らせる要因だ。自社開発・管理外のコンポーネントは検知が後手に回りやすい。
過去のKDDI事例（2006年の約400万件流出など）と比較しても、今回はパスワードも含む点が違う。単純なメールアドレス流出とはリスクの次元が異なる。
何がまずいのか ── パスワード込みで漏れた意味
メールアドレスだけなら「迷惑メールが増える程度」で済む場合もある。しかしパスワードまで漏れると話が変わる。
なりすましログイン：攻撃者がそのままメールアカウントに入れる
パスワード使い回しによる芋づる式被害：同じパスワードを使っている他のサービスも全滅する可能性
迷惑メール急増・フィッシング被害：漏れたアドレスに大量の攻撃メールが届く
特に銀行・クレジットカード・Amazon・楽天などと同じパスワードを使っていた場合、金銭的被害が起きるリスクが高い。
今日中にやること（優先順位順）
1. 該当メールアドレスのパスワードを即変更（最優先）
上記のサービスを使っているなら、今日中に変える。
パスワードは：
12文字以上
英大文字・小文字・数字・記号を含む
サービスごとに異なる文字列
Bitwarden（無料、オープンソース）などのパスワードマネージャーを使えば、複雑なパスワードでも管理しやすい。
2. 同じパスワードを使い回しているサービスをすべて変更
これが一番重要で、一番面倒な作業でもある。
「このメールと同じパスワード、Amazonでも使ってたな…」という人は今すぐ変える。甘く見ていると、全サービス乗っ取りに発展する。
3. 二要素認証（2FA/MFA）を有効化
パスワードが漏れても、2FAがあれば不正ログインを防げる確率が大幅に上がる。
Google Authenticator、Authy、あるいはハードウェアキー（YubiKeyなど）を使って設定しよう。
4. 流出確認
Have I Been Pwned? でメールアドレスを入力すると、過去の漏洩に含まれているかチェックできる。
今回のKDDI事案のデータがいつ反映されるかは未定だが、過去の漏洩も合わせて確認しておく価値はある。
5. 不審メール・SMSは無視・削除
流出後しばらくは、フィッシングメールが増える傾向にある。「KDDIより重要なお知らせ」「アカウントが危険にさらされています」などの件名で誘導するケースに注意。
公式の案内はKDDIや各ISPの公式サイトを自分でブラウザから直接確認する。メール内のリンクはクリックしない。
KDDIの対応状況
6月17日の発生確認後、即日システム改修・防御措置を完了
個人情報保護委員会・総務省へ報告済み
各ISPが利用者へパスワード変更の緊急呼びかけを実施中
詳細調査は継続中（今後追加発表の可能性あり）
まとめ
今回の件は「自分には関係ない」と思いやすい規模だが、1,422万件は日本のISPメール利用者の相当数をカバーする。
上記6サービスのうち、現在・過去含めて一つでも使ったことがあるなら、パスワード変更を今日中に行うべきだ。
特にパスワードの使い回しをしている人は急務。
面倒に感じるかもしれないが、パスワードマネージャーを一度導入してしまえば、今後このような事態でも被害を最小化できる。この機会に、セキュリティ習慣を見直すきっかけにしてほしい。
情報は2026年6月23日時点。KDDIおよび各ISPの公式発表を随時確認のこと。
いいなと思ったら応援しよう！
サーバー代とコーヒー代になります☕ 役に立ったら応援よろしくお願いします！
コメント