KDDI メール762万人漏洩で総務省が厳重注意　通信の秘密漏えい行政指導は初

KDDIのメールシステムに不正アクセス　762万人のパスワードが第三者に閲覧可能な状態に

大手通信会社のKDDIが、インターネットサービスプロバイダー（以下、ISP）6社に提供するメールシステムに不正アクセスを受けたことが2026年6月に発覚しました。被害規模は1223万人分のメールアドレスが漏洩し、そのうち約762万人分についてはパスワードも流出して第三者がメールの内容を閲覧できる状態に陥っていました。

不正アクセスは2026年5月16日から一部のISPで始まっており、被害を受けたのはニフティやビッグローブなど6社のメールサービス利用者です。

KDDIのメール、知らないうちに盗み見られていたかもしれないとか怖すぎる。個人情報の扱いを根本から見直してほしい

総務省は2026年7月29日、電気通信事業法が定める「通信の秘密の漏洩」にあたるとして、林芳正総務大臣名の文書でKDDIに厳重注意の行政指導を行いました。通信の秘密の漏洩を理由とした行政指導は今回が初めてで、総務省によるとその規模は過去最大とされています。

「看過できない」暗号化なしで保存　第三者製ソフトの欠陥が引き金に

不正アクセスの原因は、メールシステムの一部に導入されていた第三者製ソフトウェアの欠陥（脆弱性）を悪用されたことでした。2026年6月17日時点でその欠陥はソフトウェアのメーカー自身も把握していないものであり、こうした未知の欠陥を突く「ゼロデイ攻撃」と呼ばれる手口だったとされています。

ゼロデイ攻撃なら防ぐのが難しいのはわかる。でもパスワードを暗号化していなかったのは企業としての基本的な怠慢ではないか

特に問題視されたのは、漏洩したパスワードが暗号化などの安全管理措置を講じないまま保存されていた点です。総務省は行政指導の中でこの点を「看過できない」と厳しく指摘しました。

パスワードを暗号化せずに保存していたなんて、セキュリティの基本中の基本ができていなかった証拠。なぜ大手通信会社でこんなことが起きるのか

本来、メールシステムでは複数の対策を重ね合わせた多層的な防御態勢が敷かれるべきでしたが、それが有効に機能しなかったことが根本的な問題とされています。KDDIは2026年6月17日にシステムを改修して技術的な防御措置を実施しており、各ISPによるパスワードの強制変更作業も進められています。

公表まで22日間　「迅速な対応とは言い難い」と総務省が問題視

今回の問題では、被害把握から利用者への公表までに時間がかかりすぎた点も厳しく問われました。最初にKDDIに報告を入れたのはISPの1社で、2026年6月1日のことでした。KDDIが不正アクセスを確認したのはその16日後の2026年6月17日で、一般への公表はさらに6日後の2026年6月23日となりました。

問題を知ってから公表まで3週間以上って、その間ずっとリスクにさらされていたということですよね。怒りを覚えます

最初の報告から公表までに合計22日間が経過しており、総務省は「迅速な対応とは言い難い」と明確に問題視しました。この間、社内外の調整に時間を要したとKDDI側は説明しています。対応の遅れが利用者の信頼を損なったとして、今回の行政指導の主要な判断材料の一つとなりました。

再発防止策の提出期限は8月31日　繰り返す大規模障害と信頼回復の課題

総務省はKDDIに対し、2026年8月31日までに再発防止策を報告するよう求めています。さらに今後1年間は、再発防止策の進捗や2次被害の状況を四半期ごとに報告することも義務づけられました。KDDIの松田浩路社長は2026年7月29日、総務省内で文書を受け取り「指導を重く受け止めている。再発防止にしっかり取り組む」と語りました。

再発防止策を1年間報告するよう求めるだけで根本的に変わるのか心配。毎回こうなってまた繰り返すんじゃないかと不安になる

KDDIは2022年7月にも、携帯業界では過去最悪規模ともいわれる大規模な通信障害を起こした経緯があります。当時も総務省から「利用者目線で十分でなかった」との批判が出ており、今回の問題はその反省が生かされていなかったことを改めて示す形となりました。サイバー攻撃の手口が年々巧妙になる中、通信インフラを担う企業のセキュリティ体制の抜本的な強化と、攻撃者を取り締まるための実効性ある法整備を早急に進めることが、国民の通信を守るために不可欠です。

まとめ

・2026年7月29日、総務省が林芳正総務大臣名の文書でKDDIに厳重注意の行政指導を実施。通信の秘密の漏洩での行政指導は史上初。
・KDDIのISP向けメールシステムが不正アクセスを受け、1223万人分のメールアドレスと約762万人分のパスワードが漏洩。第三者にメール内容が閲覧可能な状態となっていた。
・不正アクセスの原因は第三者製ソフトウェアの未知の欠陥（ゼロデイ攻撃）の悪用。パスワードが暗号化なしで保存されていた点を総務省は「看過できない」と指摘。
・ISPからの最初の報告（2026年6月1日）から公表（2026年6月23日）まで22日間を要した対応の遅れも問題視。
・KDDIは2026年8月31日までに再発防止策を提出するよう求められ、今後1年間の四半期ごとの報告も義務づけられた。
・2022年の大規模通信障害に続く問題であり、信頼回復に向けたセキュリティ体制の抜本強化と法整備の強化が求められる。