KDDI系メールで1223万件漏えい確定｜対象6社と今すぐやること

KDDIがISP（インターネット接続）事業者向けに提供しているメールシステムへの不正アクセスにより、メールアドレス約1223万件・パスワード約761万件の漏えいが確定したと発表されました。対象は@nifty・BIGLOBE・J:COMなど複数のISPが利用するサービスです。さらに、この漏えい情報を悪用したとみられる偽メールも出回っています。結論はシンプルで、まずパスワードを変更し、届いたメールのリンクは踏まず公式から確認することが安全です。

何が起きたのか

KDDIは、ISP事業者向けに提供しているメールシステムが第三者製ソフトウェアの脆弱性を突かれて不正アクセスを受け、各ISPのメールサービスに紐づくメールアドレス約1223万件・パスワード約761万件の漏えいが確定したと公表しました（不正アクセスは5月16日から発生、KDDIが6月17日に確認）。内訳は@niftyがメールアドレス約225万件・パスワード約186万件、BIGLOBEがメールアドレス約502万件・パスワード約463万件など、複数の事業者の利用者に及んでいます。なお「au メール」「UQ mobile メール」「au one net メール」は別システムのため対象外です。自分の使っているメールが対象かは、契約しているISPからの公式案内で確認してください。

なぜ「偽メール」に注意が必要か

漏えいしたのはメールアドレスとパスワードです。これが悪用されると、メールそのものを盗み見られるだけでなく、同じパスワードを使い回している他サービスへの不正ログインにつながる恐れがあります。実際にフィッシング対策協議会は、漏えい情報を悪用したとみられる偽メールへの注意を呼びかけており、「【重要】VISAカード ご利用制限のお知らせ」「【Amazon.co.jp】お支払い方法の確認が必要です」といった、不安をあおる件名が確認されています。こうした焦らせる文言はフィッシング詐欺全般に共通する手口です。

今すぐやること

ひとつはパスワードの変更です。該当するメールサービスはもちろん、同じパスワードを使い回している他のサービスもすべて変えてください。覚えきれない場合はパスワード管理の基本も参考になります。もうひとつはメールのリンクを踏まないこと。利用中のサービスから連絡が来ても、メール内のリンクではなく、ブラウザのブックマークや公式アプリからアクセスして確認します。あわせて二段階認証の設定をしておくと、万一パスワードが流出しても乗っ取りを防ぎやすくなります。SMS経由の類似手口はSMS詐欺の見分け方にも整理しています。

不安なときの確認先

「自分が対象かわからない」「すでにリンクを開いてしまった」という場合は、契約しているISPの公式サポートに確認してください。身に覚えのない請求や不正利用に気づいたら、警察相談専用電話（#9110）や消費者ホットライン（188）に相談できます。今回のように大規模な漏えいのあとは、それに便乗した詐欺メールが増えるのが通例です。ネットの安全の基本もあわせて確認しておくと安心です。

【6月30日追記】ISP正規ドメインからの送信が確認

漏えい情報を悪用し、乗っ取ったISPの正規メールアカウントからフィッシングメールを一斉送信する攻撃が6月30日に確認されています（ESETキヤノンITSソリューションズ、Security NEXT報告）。通常のフィルタや「差出人が正規ドメインかどうか」の確認では見破りにくい点が特徴です。KDDIおよびISP各社はメールアカウントのパスワード変更を引き続き呼びかけています。メールのリンクを一切踏まず公式サービスへ直接アクセスする習慣が、現時点でもっとも有効な対策です。

【7月20日追記】6月の月次報告でも急増を確認

フィッシング対策協議会の月次報告書（2026年6月分）でも、国内ISPのメールアカウントを不正利用したとみられるフィッシングメールの報告が急増したことが確認されました。全体のフィッシング報告件数は前月から減少した一方、ISPアカウント悪用型だけが目立って増えている状況です。同協議会はISP事業者に多要素認証の導入や監視強化を、利用者にはパスワード変更を改めて呼びかけています。漏えいから1カ月以上が経過していますが、パスワードを変更していない場合は今からでも変更してください。すでに変更済みの方も、使い回している他サービスのパスワードが残っていないか、この機会に確認しておくと安心です。

出典：KDDI（公式報道発表 2026/06）／フィッシング対策協議会（緊急情報）／フィッシング対策協議会 月次報告書（2026/06）

詐欺・防犯まとめ：この記事は詐欺・防犯まとめの一部です。手口を知る・被害に遭ったときの対処・ふだんの守りまでを一覧で整理しています。判断に迷うときは、お金を動かす前に消費者ホットライン188（いやや）・警察相談専用**#9110**（緊急時は110番）へ。 アカウントの乗っ取りは、各SNS・サービス公式ヘルプの報告／復旧窓口からも手続きできます。