KDDIのパスワード761万人漏えい、気づいたのは被害者側だった

Q: パスワードがハッシュ化されていれば安全ですか？

KDDIは「ハッシュ化・暗号化されたものも含む」と発表しており、すべてがハッシュ化されているとは明示していません。ハッシュ化済みでも解析ツールで割り出せる場合があるため、パスワード変更は必須です。

Q: 解約済みのメールサービスも漏えいの対象になりますか？

はい。KDDIの公式発表では「解約されたお客さまや、一定期間ご利用のない休眠のお客さまも含む」と明記されています。過去に使っていたパスワードを今も別サービスで使い回していれば、引き続きリスクがあります。

Q: パスワードを変更しないとどうなりますか？

KDDIはISP各社と連携し、一両日中にパスワードの強制リセットを進めています。リセット後は自分で再設定しなければメールの送受信ができなくなります。早めに自分で変更しておくことを推奨します。

Q: 不正アクセスの原因はなんですか？

KDDIがシステムに導入していた第三者製ソフトウェアの脆弱性（セキュリティ上の欠陥）が悪用されました。この欠陥はKDDIが確認した2026年6月17日時点で、開発元のベンダー自身も把握していないゼロデイ状態でした。

Q: KDDIの情報漏洩でまず何をすればいいですか？

対象6サービスのメールパスワードを、メール内リンクは踏まずに公式サイトから直接変更してください。同じパスワードを他のサービス（銀行・EC等）でも使い回していた場合は、そちらも合わせて変更が必要です。

Q: 今後KDDIに行政処分はありますか？

総務省は電気通信事業法に基づきKDDIへ報告を求め、KDDIは2026年7月6日に報告書を提出しました。今後の行政指導や業務改善命令については、現時点では決定していません。

2026年7月6日｜読了時間：約5分

パスワードが漏えいした。

でも最初に「おかしい」と言ったのはKDDIではなかった。

2026年7月6日、KDDIは約 1,223万人のメールアドレスと 761万人のパスワードが外部に流出したと確定発表した。

その数は、単純計算で日本人のおよそ 10人に1人に相当する。

しかし注目すべきは「誰が、どうやって気づいたか」という発覚の経緯だ。

auメールは大丈夫なのか、パスワードが「暗号化済み」なら安心なのか、解約したサービスは関係ないのか——この3つの誤解に、この記事は順番に答えていく。

この記事でわかること

auメールは無事、でも6社は直撃した
760万人のパスワード、「暗号化済み」は安心材料にならない
日本人10人に1人のメールアドレスが外に出た
被害を受けたニフティが、加害元KDDIに「教えた」
解約したアカウントでも、今の生活が狙われる
今すぐ確認すべきこと：強制リセット前にやること

KDDIのパスワード761万人漏えい、気づいたのは被害者側だった

auメールは無事、でも6社は直撃した

「 auのメールサービスは別のシステムで運用しており、影響はない」——この1行が今回の事件を読み解く最初の鍵になる。

KDDIが今回被害を受けたのは、自社のauやUQ mobileとは別に、外部の通信事業者（ISP）向けに裏側で提供していたメールの土台システムだ。
auメール・UQ mobileメール・au one netメールは構造的に切り離されており、影響はない。

KDDI「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」

対象となったのは、KDDIが裏でインフラを支える以下の 6社のサービスだ。

ニフティ （@niftyメール）
ビッグローブ （BIGLOBEメール）
JCOM （J:COM NET）
中部テレコミュニケーション （コミュファ光・ビジネスコミュファ）
STNet （ピカラ光・ピカラモバイル・お仕事ピカラ）
KDDIウェブコミュニケーションズ （レンタルサーバーCPI）

「 KDDIが提供するシステムを使っている複数の会社が、同じ穴から被害を受けた」という構造だ。

KDDIと直接の契約がなくても、これらのサービスを使っていれば対象になる。

では、そのサービスを使っていた人の「漏えいしたパスワード」は安全なのだろうか。

「ハッシュ化されているから大丈夫」という声を聞くが、ここに落とし穴がある。

760万人のパスワード、「暗号化済み」は安心材料にならない

761万6,173人分のパスワードが漏えいした。

しかし「ハッシュ化・暗号化されたものも含む」というKDDIの説明を、多くの人が「安全側」に読み違えている。

KDDIの公式発表にある「パスワードには、ハッシュ化・暗号化されたものも含みます」という一文に注目してほしい。
KDDI「ISP事業者向けメールシステムに対する不正アクセスの発生について」

「も含む」という言い方は、「すべてがハッシュ化されていた」という意味ではない。
ハッシュ化されていないパスワード（いわゆる「平文」）が存在する可能性を、この言い回しは排除していない。

さらに、仮にハッシュ化（パスワードを別の文字列に変換して保存する仕組み）されていたとしても、解析ツールを使えば元のパスワードを割り出せるケースがある。

KDDIが採用した変換の方式は現時点で非公開だ。

漏えいした認証情報（メールアドレスとパスワードの組み合わせ）を他のサービスへのログインに使い回す攻撃—— クレデンシャルスタッフィング（漏えいした認証情報で別サービスへの不正ログインを試みる手法）と呼ばれる——が発生するだろうという懸念があるため、メールと同じパスワードを金融サービスで使っていた場合のリスクはメールの枠を超えて連鎖するとされる。

そもそも、761万人という数はどれくらいの規模なのか。

日本全体で見ると、実はかなり身近な話になってくる。

日本人10人に1人のメールアドレスが外に出た

1,223万3,087人。

単純計算でこの数を日本の人口（約 1億2,500万人）で割ると、およそ 10人に1人のメールアドレスが外部に流出した規模になる。

1,223万

人

メールアドレス

日本人10人に1人

761万

人

パスワード

東京都人口の半数超

日間

気づけなかった期間

5/16〜6/17

パスワードが漏えいした 761万人という数字は、東京都の人口（約 1,400万人）の半数を超える。
日本経済新聞「KDDI、761万人分のパスワード漏洩確認　不正アクセスで」

この規模を受け、 総務省 は電気通信事業法（通信事業者が守るべきルールを定めた法律）の規定に基づきKDDIへ報告を求め、KDDIは 7月6日に報告書を提出した。

行政が動いた事案として記録に残る規模だ。

これほどの被害が起きたのに、なぜKDDIは自分では気づけなかったのか。

実は、最初に「おかしい」と声を上げたのはKDDI側ではなかった。

被害を受けたニフティが、加害元KDDIに「教えた」

インフラを提供した側が、提供された側から「あなたのシステムが危ない」と教えてもらって初めて気づいた—— これが今回の発覚の実態だ。

日本経済新聞「KDDI、761万人分のパスワード漏洩確認　不正アクセスで」の報道によると、 2026年6月1日に被害を受けた ニフティ からKDDIへ報告があり、KDDIが調査した結果、同月 17日に不正アクセスを確認したという。

5月16日

攻撃開始

一部ISPで不正アクセスが始まる。

KDDIは気づいていない。

6月1日

異変を報告

被害を受けたニフティからKDDIへ「おかしい」と報告。

6月17日

KDDI確認

KDDIが不正アクセスを確認。

同日システムを改修し防御措置を実施。

6月21日

EDR導入

外部通信を制御する全サーバーにEDR（不審なアクセスを検知・記録するツール）を導入完了。

6月23日

公式発表

第三者機関によるフォレンジック調査で追加の不審な痕跡がないことを確認。

最大1,422万件の漏えい可能性を発表。

7月6日

件数確定

メールアドレス1,223万人・パスワード761万人の漏えいを確定発表。

総務省へ報告書を提出。

KDDIの公式発表によれば、実際の不正アクセスは一部のISPで 2026年5月16日から 発生していた。

KDDIが確認した6月17日まで、 32日間気づけていなかったことになる。

なぜ、守る側のKDDIが気づけなかったのか。

答えはこの脆弱性の性質にある。

KDDIが確認した6月17日の時点で、問題のソフトウェアを作ったベンダー（開発元）自身もその欠陥を知らなかった。

いわゆる「ゼロデイ状態」——開発元すら気づいていない穴——を突かれていたのだ。

【メールアドレスとパスワードが流出か】
KDDIが取引先の企業に提供しているメールシステムが不正アクセスをうけ、最大で1422万件流出した可能性があるということです

早急にパスワードの変更を行うよう呼びかけています

対象は↓ https://t.co/EK7VQ8IoJa
— ＮＨＫ生活・防災 (@nhk_seikatsu) June 23, 2026

この構造には、サイバーセキュリティの世界で知られる厄介な仕組みが重なっている。

KDDIのような上流の基盤を狙うことで、そこに依存する下流6社を一括で侵害できる手口は「サプライチェーン攻撃（部品の穴を突く攻撃）」と呼ばれる。

この攻撃の怖さは、被害の発端が上流（KDDI）側に隠れるため、下流（ニフティ等）のほうが実害として先に気づくという非対称な構造にある。

さらに、ゼロデイ状態のシステムは既存の脆弱性スキャンが検出できないため、通常の監視の閾値をすり抜けてしまうのではないかと考えられる。

「管理が甘かった」というより「見えない穴を突かれた」というのが実態に近いだろう。

KDDIが「自分のシステムがやられている」と気づけなかったのは、攻撃者が「KDDIが検知できない穴」を狙って入ってきたからで、不注意ではなく「見えない穴を使われた」という性質の攻撃だった。

ただしそれは、同種の攻撃が今後も繰り返されないという意味にはならない。
2025年4月にも IIJ が提供するメールセキュリティサービスが同様の手口のゼロデイ攻撃（CVE-2025-42599）を受け、約 400万件の情報漏えいにつながった事例がある。

「メール基盤の組み込みソフト」を狙う攻撃は、日本の通信インフラ全体の構造問題と切り離せない。

では、すでに解約したサービスを使っていた人は安全なのだろうか。

実はここにも、見落とされがちな落とし穴がある。

解約したアカウントでも、今の生活が狙われる

「もう使っていない」と思っているアカウントのパスワードが、今この瞬間、別のサービスへの侵入に使われようとしているかもしれない。

KDDIの公式発表は「解約されたお客さまや、一定期間ご利用のない休眠のお客さまも含みます」と明記している。

システム上、解約後もデータがすぐに消えないケースは珍しくない。

思い込み

解約済み＝無関係

「もう使っていないから自分には関係ない」という判断

実態

データは残っている

解約後もデータは残り、過去のパスワードが攻撃に使われる可能性がある

「 10年前に作った@niftyのメールアドレス」とそのパスワードが今も保管されており、そのパスワードを今使っているネット銀行やショッピングサイトでも設定していたとしたら—— 攻撃者はそこへのログインを次々と試みるだろう。
「もう使っていない」アカウントのパスワードが現在の金融口座への侵入口になるのではないかという点が、今回の見えにくいリスクの正体だ。

強制リセットが来る前に、パスワードの棚卸しを自分でやっておく理由がある。

今すぐ確認すべきこと：強制リセット前にやること

一両日中にパスワードが強制リセットされる。

リセット後は自分で再設定しなければメールが届かなくなる。

KDDIはISP各社と連携し、「一両日中の完了を目途」にパスワードの強制変更を進めていると公式に発表している。

自分でやった場合と強制リセット後では、手順が変わるサービスもある。

パスワードを変更する際は、メール内のリンクから進んではいけない。
今回の騒動に便乗したフィッシング（偽のパスワード変更メールで情報を盗み取ること）が出回る可能性がある。

必ず、ブックマークや検索から公式サイトに直接アクセスして対応すること。

変更すべきパスワードは、対象メールサービスのものだけではない。
同じ組み合わせ（メールアドレス＋同一パスワード）を他のサービスでも使い回していたなら、そちらも合わせて変更する必要がある。

特にネット銀行・クレジットカード・スマホ決済サービスは優先度を上げて確認したい。

総務省 への報告書が 7月6日に提出されており、ケータイ Watch「KDDIのISP向けメール基盤不正アクセス、最大1422万件漏洩の可能性で総務省が報告求める」行政対応のフェーズへ移行している。

今後、業務改善命令などの行政指導が出る可能性があるだろうという見方が広がっており、KDDIにとってはこれが今年に入ってからの不正会計問題に続く重大な信頼毀損（きそん）となる。

「守る側が気づけなかった」という事実は、単なる管理の甘さではなく、発見を最も遅らせるよう設計された攻撃に対するインフラの脆さを映している。

まとめ

KDDIが直接提供するauメール・UQ mobileメールは別基盤のため影響なし。対象は@niftyメール・BIGLOBEメール・J:COM NETなど6社のサービス
KDDIは「パスワードにはハッシュ化・暗号化されたものも含む」と発表したが、これは「すべてがハッシュ化されている」とは言っていない。全員がパスワード変更を前提に動くべき状態だ
発覚は被害を受けたニフティからKDDIへの報告（6月1日）がきっかけ。攻撃者は5月16日から32日間、KDDIが気づかないまま侵入できる状態だった
守る側が自力で検知できなかった理由は「ゼロデイ脆弱性」——ソフトウェアの開発元自身も6月17日時点で存在を知らなかった欠陥を突かれた
解約済み・休眠アカウントも漏えいの対象に含まれる。過去のパスワードを今も別サービスで使い回していれば、現在進行形のリスクになる