KDDIメール情報漏洩！パスワード約761万人分・アドレス約1223万人分の対象と対策を解説

【結論】今回の漏洩はKDDIがISP事業者向けに提供するメールシステムが対象で、対象者はパスワードの変更が必要です。

KDDIが、不正アクセスによる大規模な情報漏洩を確認したと発表しました。関心が集まっているのは「自分は対象なのか」「何をすればいいのか」という点です。ここでは、漏洩の規模・対象・当初発表との違い・今すぐできる対策を、順番に整理します。

【考察】KDDIメール漏洩、今後の二次被害はどうなるかを予想

ここからは編集部の予想です。事実の整理ではなく、公表情報から読み解いた見立てとして読んでください。

私は、今回の漏洩で警戒すべきは不正ログインそのものよりも、漏れたアドレス宛のフィッシングメールだと読みます。「KDDIをかたる注意喚起メール」が今後増える可能性が高いと考えます。

理由の1つ目は、漏洩した情報の中身です。今回はメールアドレスとパスワードが対象で、その規模はアドレス約1223万人分・パスワード約761万人分にのぼります（ITmedia Mobile、日本経済新聞）。アドレスが大量に流出した状態では、その宛先に「パスワードを変更してください」と装ったメールが送られやすくなります。

理由の2つ目は、KDDI自身がパスワードの強制変更を進めている点です。正規の案内が届くタイミングだからこそ、本物に紛れた偽メールが効きやすくなります。混乱した利用者が、偽サイトに誘導されて入力してしまう二次被害が起きやすい状況だと考えます。

理由の3つ目は、パスワードを他のサービスで使い回している人が一定数いる点です。同じパスワードを別のサイトでも使っていると、そちら側で不正ログインを試される「リスト型攻撃」の対象になり得ます。だからこそ私は、対象者はKDDIのメールだけでなく、同じパスワードを使った他サービスも変更しておくべきだと予想し、そこまで対応する人が最終的な被害を避けられると読みます。

あくまで予想であり、断定ではありません。今後の公式発表で状況が変わる場合もあります。

何が起きた？漏洩の規模と対象

KDDIは2026年7月6日、不正アクセスによりメールアドレス約1223万人分、パスワード約761万人分の漏洩を確認したと発表しました。対象は、KDDIがISP事業者向けに提供しているメールシステムです（ITmedia Mobile）。

影響を受けたのは、BIGLOBEや@niftyなど、複数のプロバイダーのメールサービスです。一方で、au・UQ mobile・au one netのメールは別のシステムで運用されており、今回の不正アクセスの影響はないと案内されています。自分の使っているメールがどのサービスのものかを、まず確認するのが第一歩です。

項目	内容
漏洩アドレス	約1223万人分
漏洩パスワード	約761万人分
対象	ISP事業者向けメールシステム（BIGLOBE・@nifty など）
影響なし	au／UQ mobile／au one net メール

当初発表との違いは？原因と経緯

今回の件は、6月23日に「最大約1422万件の漏洩の可能性がある」と当初発表されていました。その後の調査で被害範囲がしぼり込まれ、7月6日にアドレス約1223万人分・パスワード約761万人分という確定した数字が示された形です（日本経済新聞）。1422万件は「可能性」の段階の数字で、今回はそれが実際に確認された規模に整理されたと理解すると分かりやすいはずです。

原因は、システムの一部に使われていた第三者製ソフトウェアの脆弱性を悪用されたことだと説明されています。この脆弱性は、当初はソフトウェアの提供元も把握していない未知のものだったと報じられています（ITmedia Mobile）。KDDIはサーバーへのセキュリティ対応を進め、対象者のパスワード強制変更に着手しています。

利用者が今すぐできる対策

対象になった可能性がある場合、次の対応を早めに進めておくと安心です。

メール内のリンクをすぐ押さず、公式サイトやアプリから自分でログインして手続きするのが安全です。リンク先のURLが正規のものか、送信元が正しいかを確認してください。

よくある質問（Q&A）

Q1. auのメールは大丈夫ですか？

au・UQ mobile・au one netのメールは別のシステムで運用されており、今回の不正アクセスの影響はないと案内されています。対象は、ISP事業者向けメールシステムです。

Q2. 自分が対象か、どう確認すればいいですか？

使っているメールがBIGLOBEや@niftyなど、対象となったプロバイダーのものかを確認します。各社からの案内や公式サイトのお知らせを確認するのが確実です。

Q3. パスワードは変えたほうがいいですか？

対象の場合はパスワードの変更が必要です。KDDIは対象者への強制変更を進めていますが、同じパスワードを他のサービスでも使っている場合は、そちらも変更しておくと安心です。

Q4. 漏洩の規模はどのくらいですか？

7月6日時点で、メールアドレス約1223万人分・パスワード約761万人分の漏洩が確認されています。6月23日の当初発表では最大約1422万件の「可能性」とされていました。

Q5. 原因は何ですか？

システムの一部に使われていた第三者製ソフトウェアの脆弱性を悪用されたことが原因と説明されています。当初はソフトの提供元も把握していない未知の脆弱性だったと報じられています。

今後の見通し

KDDIは対象者へのパスワード強制変更を進めており、システム面の対応も継続しています。今後は、正規の案内に紛れてKDDIやプロバイダーをかたる偽メールが増えることが想定されます。案内が届いても、メール内のリンクを急いで押さず、公式のサイトやアプリから自分で手続きする姿勢が大切です。

被害範囲や対応方針は、今後の発表で追加・修正される可能性があります。最新の情報は、各プロバイダーとKDDIの公式のお知らせで確認してください。

まとめ

大規模な漏洩は不安になりますが、対応の軸はシンプルです。自分が対象サービスかを確認し、対象ならパスワードを変える。そして、案内をかたる偽メールに気をつける。この2点を押さえておけば、二次被害のリスクは大きく下げられます。