不正アクセス確認・漏えいの可能性・漏えい確認・対象範囲の調査完了
KDDIのISP事業者向けメールシステムへの不正アクセスで、＠niftyメールなど6社のメールのアドレスとパスワードが漏えい
この記事にはプロモーション（広告）を含みます。
KDDIがISP事業者向けに提供するメールシステムが不正アクセスを受け、＠niftyメール・BIGLOBEメール・J:COM NET・コミュファ光・ピカラ光・CPIなどの各メールサービス（6社）の利用者のメールアドレス12,231,954名分と、そのうち7,616,173名分のパスワードの漏えいが確認されました。各社は対象者にメールパスワードの変更を求めています。同じパスワードをほかのサービスで使っている場合は、そちらも変更してください。
| 事業者 | KDDI株式会社 / ニフティ株式会社 / 株式会社STNet / 株式会社KDDIウェブコミュニケーションズ / JCOM株式会社 / 中部テレコミュニケーション株式会社 / ビッグローブ株式会社 |
|---|---|
| 関連サービス | KDDI ISP事業者向けメールシステム / ＠niftyメール / ピカラ光サービスなどのメールサービス（STNet） / レンタルサーバー「CPI」のメールサービス / J:COM NETのメールサービス（ケーブルテレビ事業者向けを含む） / コミュファ光・ビジネスコミュファのメールサービス / BIGLOBEメール |
| 初回公表 | 2026年6月23日 |
| 確認状況 | 不正アクセス確認 / 漏えいの可能性 / 漏えい確認 / 対象範囲の調査完了 |
| 対象件数 | メールアドレスが漏えいした人：12,231,954名（6社の合計） |
事案の概要と確認状況
- KDDIがISP事業者向けに提供するメールシステムが、第三者製ソフトウェアの脆弱性を悪用した不正アクセスを受けた。一部のISP事業者で2026年5月16日から発生し、6月17日に確認。同日にシステムを改修して脆弱性に対処した
- 6月23日の第一報では、メールボックスに紐づくメールアドレス・パスワード最大1,422万件（解約した人や一定期間利用のない休眠中の人を含む）が漏えいした可能性があり、第三者に不正に取得されている可能性があるとした
- 7月6日の報告で、システムで作成された電子メールアドレスの漏えいを12,231,954名（7月21日訂正）、パスワードの漏えいを7,616,173名（メールアドレスの漏えいの人数の内数）と確認したと公表
- 漏えいが確認された情報と人数を公表。第三者機関のフォレンジック調査で、この脆弱性以外の不審な痕跡はないことを確認したとしている
発覚から公表までの経緯
- 発生時期
- 2026年5月16日 〜 2026年6月17日／KDDIの公表では、一部のISP事業者で2026年5月16日から不正アクセスが発生し、6月17日に確認して対処した。ニフティは、KDDIのシステムで5月24日に不正アクセスが発生したと説明
- 発覚・検知
- 2026年6月17日
KDDIが、メールアドレスの漏えいが確認された人数を12,231,954名に訂正
この公表資料を見る（新しいタブで開く）KDDIが、漏えいが確認された人数を公表。メールアドレスの漏えいが確認されたのは12,231,954名（7月21日訂正）、そのうちパスワードも漏えいしたのは7,616,173名。総務省に報告書を提出
この公表資料を見る（新しいタブで開く）ニフティが第二報を公表。5月24日に不正アクセスが発生し、6月17日にKDDIから報告を受けた経緯を説明。6月23日から対象者にメールで案内し、特設窓口を開設。期限までにメールパスワードの変更が確認できなかったメールアドレスは6月26日から順次無効化しており、完了をもってアカウントの保護と二次被害の防止の措置を終えるとした
この公表資料を見る（新しいタブで開く）KDDIが、ISP事業者向けメールシステムへの不正アクセスを公表。対象はニフティ・ビッグローブ・JCOM・中部テレコミュニケーション・STNet・KDDIウェブコミュニケーションズの6社のメールサービスで、メールアドレス・パスワード最大1,422万件が漏えいした可能性があるとした
この公表資料を見る（新しいタブで開く）ニフティが第一報を公表。＠niftyメールのメールアドレスとメールパスワードが第三者に漏えいした可能性があるとして、6月25日23時59分までのメールパスワードの変更を依頼。特設ダイヤルを開設
この公表資料を見る（新しいタブで開く）
規模と対象範囲
KDDIのメールシステムで作成されたメールアドレスが漏えいした人数（ISP事業者6社の合計。2026年7月21日に訂正された人数）
メールアドレスとあわせてパスワードも漏えいした人数（12,231,954名の内数）
6月23日の第一報で漏えいの可能性があるとされたメールアドレス・パスワード（公表の単位は「件」。解約した人や休眠中の人を含む、調査中の時点の最大値）
| 確認すること | 公表内容 |
|---|---|
| 退会済みの利用者 | 対象に含むと公表 |
情報の種類と対象外の範囲
公表された情報の種類
対象外・未確認と公表された範囲
- KDDIの au メール・UQ mobile メール・au one net メールは別の設備で構築されており、この件による影響や漏えいはないと公表
- ニフティは、漏えいしたのはメールアドレスとメールパスワードと説明。クレジットカード情報はニフティでは保持していない
- ニフティでは、ログインパスワードを使った不正アクセスは確認されていない
自分が対象か確認するには
利用したサービス・時期と、公表された対象条件を照らし合わせてください。個人ごとの該当状況は、会社からの通知や公式窓口の案内で確認します。
退会済みの利用者も対象に含まれると公表されています。
会社からの案内
会社が対象者に案内している内容です。利用したサービスや対象条件によって案内が異なる場合があります。
- KDDI：利用しているISP事業者からの案内を確認し、早急にメールパスワードを変更する
- ＠niftyメール：ニフティの「対象メールアドレス確認ページ」で対象かどうかを確かめ、対象ならメールパスワードを変更する（期限は2026年6月25日23時59分。期限までに変更が確認できなかったメールパスワードは、6月26日から順次無効化された）
- ＠niftyメール：メールパスワードが無効化された場合は、パスワードを変更すると再び使える
- ＠niftyメール：Outlook などのメールソフトを使っている場合は、メールパスワードを変更した後、メールソフトに登録しているパスワードも新しいものに変える
- ＠niftyメール：メールパスワードとログインパスワードを同じ文字列にしている場合などは、ログインパスワードも変更することを勧める
- ＠niftyメール：同じパスワードをほかのサービス（銀行・ショッピングサイトなど）で使っていた場合は、そのサービスのパスワードも変更する
- ＠niftyメール：退会・解約済みでも、パスワードを使い回している場合は変更を勧める
- ＠niftyメール：問い合わせは＠nifty特設ダイヤル（0120-985-275、毎日10時〜18時）へ
利用者がいま確認したいこと
会社からの案内とあわせて、次の点を確認してください。
- 公式の案内から対象条件を確認する
利用時期・対象情報と追加発表を確認します。
- 不審なメール・SMS・電話の要求を確認する
連絡に記載されたリンクから個人情報・パスワードを入力せず、普段使っている公式ページや窓口から確認してください。
- 必要な手続きは今回の対象条件に沿って行う
パスワード変更やカード会社への相談などは、公式の依頼と現在の利用状況を確認して進めます。
今後の不審な連絡への備え
日常の端末保護や、対象情報が検出された際の通知機能を備える製品を紹介します。
Norton 360 デラックス
パソコンもスマホも、3台まとめて守る
端末保護・外出先の通信保護・漏えいへの気づきを、ひとつのプランに。
- ウイルスなどからパソコン・スマホを保護
- VPNで外出先の通信を暗号化
- 登録情報のダークウェブ検出を通知
3台。初回年間購入は60日以内の返金制度・条件あり。更新価格表は年11,480円。
Norton 360 デラックスの公式製品ページ（新しいタブで開く）
詳しい機能・公式の条件を見る
- 端末保護
- ウイルス対策
- 漏えい通知
- 登録情報のダークウェブ検出
- VPN
- 通信の暗号化
商品条件の確認：2026-10-13。
ESET HOME Security Ultimate
端末保護に、個人情報の監視もプラス
5台の端末保護と、個人情報の流出監視をまとめて始めたい人に。
- ウイルス・フィッシングから端末を保護
- 登録した個人情報の流出を監視・通知
- 通信量無制限のVPNで通信を保護
5台を1年間保護。個人情報の監視とVPNを含むUltimateプラン。
ESET HOME Security Ultimateの公式製品ページ（新しいタブで開く）
詳しい機能・公式の条件を見る
- 端末保護
- ウイルス・フィッシング対策
- 漏えい通知
- 個人情報の流出監視
- VPN
- 通信量無制限
商品条件の確認：2026-10-13。
Kaspersky Premium
ウイルス対策もVPNも、まずは30日間無料で
端末保護からパスワード管理まで、プレミアムの機能を試せます。
- ウイルス対策とデータ漏えい確認
- 通信量無制限のVPNを利用
- パスワードをまとめて管理
無料体験期間は30日間。期間終了の7日前に案内があり、期間内に解約しない場合は有料の年間サブスクリプションが開始され、自動更新されます。初回・更新料金と請求日は申込み画面で確認してください。
30日間無料で試す（新しいタブで開く）詳しい機能・公式の条件を見る
- 端末保護
- ウイルス対策
- 漏えい確認
- データ漏えい確認
- VPN
- 通信量無制限
- パスワード
- 管理機能
商品条件の確認：2026-10-13。
Surfshark One
VPNも漏えい通知も、ひとつのプランで
複数端末の通信保護に、情報流出の通知とウイルス対策をプラス。
- VPNの同時接続台数は無制限
- 登録情報の漏えいをAlertで通知
- ウイルス対策は対応端末の最大5台
表示される通貨・キャンペーン・初回請求額・更新料金は地域や選択条件で異なるため、購入画面でご確認ください。返金条件も公式案内をご確認ください。
Surfshark Oneを選ぶ（新しいタブで開く）詳しい機能・公式の条件を見る
- 端末保護
- ウイルス対策・最大5台
- 漏えい通知
- 登録情報の流出通知
- VPN
- 同時接続台数 無制限
商品条件の確認：2026-10-13。
公式発表・参考資料
事案情報の確認日：2026年10月22日。
- ISP 事業者向けメールシステムに対する不正アクセスの発生について（新しいタブで開く）KDDI株式会社／公表：2026年6月23日／資料確認：2026年10月20日／改訂情報：2026年6月23日
- ISP 事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告（新しいタブで開く）KDDI株式会社／公表：2026年7月6日／資料確認：2026年10月20日／改訂情報：2026年7月21日
- 【第一報】当社メールサービスへの不正アクセスの発生について（新しいタブで開く）ニフティ株式会社／公表：2026年6月23日／資料確認：2026年10月20日／改訂情報：2026年7月21日
- 【第二報】当社メールサービスへの不正アクセスについて（新しいタブで開く）ニフティ株式会社／公表：2026年7月6日／資料確認：2026年10月20日／改訂情報：2026年7月21日
- 当社メールサービスへの不正アクセスの発生について よくあるご質問（FAQ）（新しいタブで開く）ニフティ株式会社／資料確認：2026年10月20日