KDDIのISP向けメール基盤で1223万人分が漏えい。変えるべきは「そのメールのパスワード」だけではない
個人情報保護委員会は2026年8月19日、KDDIのISP事業者向けメールシステムへの不正アクセスを受け、KDDIと一部プロバイダへの指導、利用者への注意喚起を公表しました。確認された漏えいはメールアドレス12,231,954人分、そのうちパスワードは7,616,173人分で、個人情報保護委員会によるとこのパスワードは平文で保存されていました。利用者にとって重要なのは、対象メールのパスワード変更だけで対応を終えないことです。同じ、または似たパスワードを他のSNS、通販、クラウド、AIサービスなどでも使っている場合、盗まれた認証情報を別サービスへ試す「リスト型攻撃」の対象になる可能性があります。なおKDDIは、auメール、UQ mobileメール、au one netメールは異なる設備で構築されており、この不正アクセスによる情報漏えいの対象ではないとしています。
- @nifty・BIGLOBE・J:COM NETなど対象メールサービスの利用者
- 複数サービスで似たパスワードを使っている人
- AIサービスやSNSを含む多数のアカウントを持つ人
対象サービスの案内を確認したら、以前のパスワードと同じ・似た文字列を使っている他サービスを洗い出してください。該当するサービスはパスワードを別のものへ変更し、多要素認証が使える場合は設定し、不審な利用履歴も確認します。
身近な事例を知る
プロバイダから「メールパスワードを変更しました」という案内が来た。これで対応完了？
メールサービス側でパスワードが変更されたため、ひとまず安心しました。ただ、以前のパスワードと少しだけ文字を変えたものを通販サイトやSNSでも使っています。今回、個人情報保護委員会が利用者へ特に求めているのは、まさにこの「同じ又は類似するパスワードを他サービスでも使っていないか」の確認です。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- 同じ・似たパスワードを使っている他サービスを洗い出し、そこから変更する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
個人情報保護委員会は、今回漏えいした認証情報と同じ、または類似する文字列のパスワードを他サービスで使い回していないか速やかに確認し、該当する場合は変更するよう利用者へ注意喚起しています。IPAも、不正ログインへの対策としてパスワードの使い回しを避け、多要素認証を設定し、不正利用がないか確認することを推奨しています。
確認ポイント
自分のメールサービスが今回の対象か
KDDIが2026年6月23日に公表した対象は、STNetのピカラ関連メール、KDDIウェブコミュニケーションズのCPI、J:COM NET等、中部テレコミュニケーションのコミュファ関連、@niftyメール、BIGLOBEメールです。auメール、UQ mobileメール、au one netメールはKDDIの7月6日公表資料で対象外とされています。
「同じ」だけでなく「似た」パスワードも使っていないか
末尾の数字だけ変える、サービス名だけ足すなど、漏えいした文字列から推測しやすいパスワードも確認対象にします。個人情報保護委員会も「同じ又は類似する文字列」と明記しています。
重要度の高いアカウントから変更できているか
誠としての実務提案では、メール、通販、決済につながるサービス、SNS、クラウドなど、乗っ取られた場合の影響が大きいものから順に確認すると整理しやすくなります。
多要素認証を設定できるサービスを放置していないか
IPAは、パスワード変更とあわせて多要素認証の利用を推奨しています。パスワードが知られても、追加の認証が不正ログインを防ぐ層になります。
変更後に身に覚えのない利用がないか見たか
IPAは、同じパスワードを使っていた他サービスについて、変更だけでなく不正利用されていないか確認することも勧めています。
漏えい件数の意味を混同していないか
12,231,954人分はメールアドレスの漏えい人数で、パスワード漏えいはその内数の7,616,173人分です。すべての対象者についてパスワードまで漏えいしたという意味ではありません。
現時点での見立て
今回の個人情報保護委員会の注意喚起で実用的なのは、「KDDIのシステムで何が起きたか」だけでなく、利用者へ次の行動を具体的に示している点です。漏えい元のパスワード変更は第一段階で、その文字列を再利用している別サービスが第二段階です。全部のアカウントを慌てて変更する必要はありません。まず使い回し・類似パスワードの有無を探し、該当する場所から塞ぐ。この順番なら、数十個のサービスを使っている人でも対応しやすくなります。
安全な対処方法
安心につながる行動
- 利用中のサービスを「同じパスワード」「似たパスワード」「別パスワード」に分ける優先して変更すべきアカウントを短時間で特定できます。
- 使い回していたサービスは、それぞれ異なるパスワードへ変更する一つの認証情報が漏れても、他サービスへ連鎖しにくくなります。
- 利用できるサービスでは多要素認証やパスキーを設定するIPAは多要素認証を推奨しており、2026年版の「情報セキュリティ10大脅威 個人編」ではパスキーやパスワードマネージャーの利用も対策として挙げています。
- 変更したアカウントでログイン履歴や利用履歴を確認するすでに第三者が利用していた場合、パスワード変更だけでは過去の不正利用を把握できません。
- 今後の管理はパスワードマネージャーなどでサービスごとに分ける「全部違うパスワードは覚えられない」という使い回しの原因を、記憶力ではなく仕組みで解消できます。
避けたい行動
- 漏えい通知に書かれたリンクから慌てて全サービスへログインする大規模な漏えい事故の後は、それに便乗したフィッシングも警戒する必要があります。公式アプリや自分で開いた公式サイトから操作する方が安全です。
- 末尾の数字だけ変えて同じ基本パスワードを使い続ける個人情報保護委員会は「同じ又は類似する文字列」の使い回しまで確認するよう求めています。
- 対象者全員のパスワードが平文で漏れたと説明するメールアドレスの漏えいは12,231,954人分、パスワード漏えいはその内数の7,616,173人分です。対象範囲を分けて伝える必要があります。
- auメールも今回の漏えい対象だと思い込むKDDIは、auメール、UQ mobileメール、au one netメールは異なる設備で、今回の不正アクセスによる影響・情報漏えいはないと公表しています。
AIの前向きな活用
今回の再発防止では、AIも「守る側」に使われる
KDDIは2026年7月6日の報告で、今後の対策として、問題となったソフトウェアの設計書とプログラムをAIなども活用して分析し、潜在的な問題を網羅的にチェックすると説明しています。今回の事故はAIが原因の事件ではありませんが、AIがセキュリティ事故を起こす側だけでなく、コードや設計の点検を支援する側にも使われる具体例です。利用者側でも、AIへパスワードそのものを渡すのではなく、「どの種類のアカウントを優先して確認すべきか」という整理に使うことはできます。
- 保有アカウントを用途別に整理するチェックリストをAIに作らせる
- 漏えい通知の文章から『対象者』『必要な対応』『期限』だけを抜き出す
- 企業向けにはコードレビューや脆弱性調査の補助へAIを使う
- 事故後の対応手順を人間が確認できるチェックリストへ変換する
今回、覚えておきたいこと
漏えい通知が来たら、変えるのは「漏れた場所」だけでなく「同じ鍵を使った場所」。
情報源
- ＫＤＤＩ株式会社及びインターネットサービスプロバイダに対する個人情報の保護に関する法律に基づく行政上の対応並びにメールサービス利用者に対する注意喚起について（外部リンク） 個人情報保護委員会 官公庁
- ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告（外部リンク） KDDI株式会社 公式発表
- 情報セキュリティ安心相談窓口の相談状況［2026年第2四半期（4月～6月）］（外部リンク） 独立行政法人情報処理推進機構（IPA） セキュリティ指針
誠主任からひとこと