KDDI の ISP 向けメールシステムに不正アクセス — @nifty・BIGLOBE・CPI などのメールのパスワードが漏えい

何が起きたか

KDDI は 2026年6月23日、ISP（インターネット接続事業者）向けに提供しているメールシステムが不正アクセスを受け、メールアドレスとパスワードが最大1,422万件漏えいした可能性があると発表しました。6月17日に気づき、同日システムを改修しています。原因は、システムに組み込んでいた第三者製ソフトウェアの脆弱性が悪用されたことでした。

7月の続報では、メールアドレス約1,223万件、うちパスワード約762万件の漏えいが確認され、被害は5月16日から始まっていたとされています。

影響を受けたのは

• @nifty メール、BIGLOBE メール、J:COM NET、コミュファ光、ピカラ光（STNet）、レンタルサーバー CPI のメール
• 解約済みや長く使っていないメールボックスも含まれる
• au メール、UQ mobile メールなどは対象外

自社で確認したいこと

• 該当のメールを使っていれば、各社の案内に従いパスワードを変える
• 同じパスワードを他のサービスで使い回していれば、そちらも変える
• 業務の大事なアカウントの通知先メールがこれらなら、多要素認証をかける
• 使っていないメールアドレスは解約・削除しておく