SECUBELL事件レポートISP-MAIL-PLATFORM-THIRD-PARTY-SOFTWARE-BREACH/SUMMARY
ISP向けメール基盤の第三者製ソフトの脆弱性で約1,223万件のメールアドレスが漏えい
当該企業は、ISP 事業者向けに提供するメールシステムへの不正アクセスを 2026-06-17 に確認し、同日にシステムを改修したと公表しました。原因は組み込んでいた第三者製ソフトウェアの脆弱性で、確認時点ではソフトウェアベンダーも認識していないものでした。一部の ISP では 2026-05-16 から被害が出ていました。
一次情報 2 件確認 2026-10-29
- 分類
- 委託先経由の漏えい
- 出典
- KDDI・ケータイ Watch
- 公開日
- 2026-06-23
- 作成日
- 2026-06-23
- 版
- 2026-10-29
- 確からしさ
- 一次情報 2件・確認日 2026-10-29・食い違いなし
- 文書番号
- ISP-MAIL-PLATFORM-THIRD-PARTY-SOFTWARE-BREACH/SUMMARY
事件の要点
何が起きたか
当該企業は、ISP 事業者向けに提供するメールシステムへの不正アクセスを 2026-06-17 に確認し、同日にシステムを改修したと公表しました。原因は組み込んでいた第三者製ソフトウェアの脆弱性で、確認時点ではソフトウェアベンダーも認識していないものでした。一部の ISP では 2026-05-16 から被害が出ていました。[1]
メールアドレス 12,231,954 名分(7-21 訂正)、うちパスワード 7,616,173 名分の漏えいが確認されています。[1]
誰が影響を受けうるか
このメールシステムを使う ISP のメールアドレスを使っている利用者です。当該企業の資料では、複数の ISP が挙がっています。同社自身の個人向けメールサービスは別設備で影響なしとされています。[1]
確認すべき点
- 委託先が業務で、影響を受けた ISP のメールアドレスを使っていないか
- 使っている場合、パスワードの変更や事業者からの通知の確認が済んでいるか
- 当社とのやり取りに使うメールアカウントへの影響がないか
総務省は 2026-07-29、通信の秘密の漏えいに当たるとして当該企業に文書で行政指導したと報じられています。[2]
原典
- [1]KDDI「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-73_4619/kddi_nr_s-73_4619_pdf_01.pdf
- [2]ケータイ Watch「総務省が KDDI に行政指導」https://k-tai.watch.impress.co.jp/docs/news/2129178.html