30秒で分かる結論
総務省は2026年7月29日、KDDI株式会社に対して文書による行政指導を行いました。KDDIが他のインターネットサービスプロバイダー（ISP）向けに提供しているメールシステムが不正アクセスを受け、利用者のメールアドレスやパスワードが外部に漏えいした問題についての対応です。
漏えいしたパスワードが暗号化などの保護をされないまま保管されていたことや、事案の把握から公表までに時間がかかったことが問題視されました。総務省はKDDIに対し、再発防止策を2026年8月31日までに報告するよう求めています。
まず初めに
結論から言う。約761万件という数字の重さと、パスワードが無防備なまま保管されていたという事実は、笑って済ませる話ではない。通信インフラを預かる立場が、基本のかぎ「暗号化」を怠っていたなら、それは技術力の問題ではなく姿勢の問題だ。総務省の行政指導は、当然の結果だと言っていい。※個人の感想です
何が起きたのか
KDDIが提供するISP向けメールシステムに、2026年5月16日から6月17日にかけて第三者による不正アクセスがありました。この影響で、利用者のメールアドレスやログインパスワードなど、メールに関する情報が外部に漏えいしました。漏えいしたパスワードを使うことで、第三者が利用者のメールボックスの中身を見られる状態になっていたとされています。影響を受けた利用者数について、報道各社は「約761万件」「約762万件」などと伝えています。
総務省は2026年6月24日、KDDIに対して報告徴収（原因や利用者への通知状況、再発防止策について報告を求める行政上の手続き）を行いました。その報告内容を踏まえ、7月29日には電気通信事業法が定める「通信の秘密」の保護に関する行政指導を行いました。
なぜ重要なのか
「通信の秘密」は、電気通信事業法で通信事業者に課されている義務で、通信の内容や利用者に関する情報を守ることを指します。総務省は、漏えいしたパスワードに暗号化などの安全管理の措置が講じられていなかったことを「看過できない」としています。
また、最初にプロバイダー1社から連絡を受けてから事案を公表するまでに22日間を要したことについても、迅速な対応とは言い難いと指摘しました。通信事業者による利用者情報の管理体制と、問題が起きた際の情報公開のあり方の両方が問われた形です。この2つの指摘は別々の問題ではなく、「守る仕組みが甘かった」ことと「気づいてからの動きが遅かった」ことという、事前の備えと事後の対応の両方に不備があったことを示しています。
私たちへの影響
KDDIのメールシステムは、KDDI自身のサービスだけでなく、他の複数のインターネットサービスプロバイダーのメールサービスの基盤としても使われています。そのため、影響を受ける可能性があるのはKDDIの契約者に限らず、KDDIのシステムを利用している他社プロバイダーの利用者も含まれます。
自分が使っているメールサービスがどの事業者のシステムを使っているかは、契約しているプロバイダーからの案内で確認できます。心当たりがある場合は、契約先からの通知を確認してください。自分がKDDIと直接契約していないからといって、無関係だと決めつけないほうが安全です。
パスワードが暗号化されていない、とはどういうことか
「パスワードが暗号化されずに保管されていた」という指摘は、専門用語だけ聞くと分かりにくいですが、意味するところは単純です。本来であれば、たとえ不正アクセスでデータそのものが盗まれても、パスワードが読み取れない形に変換されて保存されていれば、盗んだ側もすぐには悪用できません。今回はその変換がされていなかったため、盗まれたデータがそのままログインに使える状態だった、ということです。この基本的な保護の有無が、被害の実質的な深刻さを大きく左右します。
初心者が知っておくべきこと
パスワードは、複数のサービスで使い回さないことが基本的な対策です。同じパスワードを他のサービスでも使っている場合、そのサービスへの不正ログインにつながるおそれがあります。心当たりがある場合は、対象のメールサービスや、同じパスワードを使っている他のサービスのパスワードを変更しておくと安心です。
契約しているプロバイダーから今回の件についての通知が届いた場合は、案内に従ってパスワードを変更してください。「パスワード漏えいの確認のため」などとしてID・パスワードの入力を求めるメールやSMSには注意し、公式サイトを自分で開いて確認する習慣をつけてください。今回のような大規模な漏えいの直後は、それに便乗した二次的な詐欺のメールも増えやすい時期です。
IT Postの見方
IT Postでは、通信事業者が扱う利用者情報の保護は、契約者本人が意識して守れる範囲を超えた部分が大きく、事業者と行政による説明責任が特に重要だと考えます。今回、総務省が漏えいしたパスワードの保護状況や、公表までの期間について具体的に指摘し、継続的な報告を求めたことは、利用者が事業者の対応を後から確認できる材料になると考えます。基盤インフラを預かる立場である以上、「気づかれなければ問題なかった」で済ませられる規模の話ではありません。※個人の感想です
今後どうなりそうか
総務省はKDDIに対し、2026年8月31日までに再発防止策を報告するよう求めており、それ以降も少なくとも1年間、再発防止策の実施状況や二次被害の有無について四半期ごとの報告を求めています。今後、KDDI側からの具体的な再発防止策の内容や、実際に不正ログインなどの二次被害が確認されるかどうかが公表される見通しです。
