KDDIのISP向けメールシステムで1223万件のアドレスが漏洩、ゼロデイ悪用で762万件のパスワードも流出

「KDDIのメール漏洩ってどれくらい深刻？自分のパスワードも流出しているの？」
「ゼロデイ脆弱性が悪用されたって、どうやって防げばよかったの？」

チップス

ボス！KDDIのメールが1200万人以上漏れたってニュースが出てましたでしゅ！日本でも最大級の漏洩じゃないでしゅか！

ボス

ああ、1223万件のメールアドレスと762万件のパスワードが流出した。しかもゼロデイ、つまりベンダー自身も把握していなかった未知の脆弱性が使われた。5月から6月にかけて約1か月間、不正アクセスが続いていたことも判明している。

日本の大手通信会社のインフラが、誰も知らなかった脆弱性を突かれて長期侵害を受けた。
規模・手口ともに2026年の国内最大級のインシデントのひとつです。
この記事では、KDDIメール漏洩事件の全容から、ゼロデイ脆弱性への備えまで解説します。

この記事を読めば、なぜゼロデイが怖いのか、漏洩後に取るべき対応行動が明確になります。

1223万件の漏洩事件の全容

KDDIは2026年7月6日、ISP（インターネットサービスプロバイダー）向けに提供するメールシステムへの不正アクセスを総務省に報告しました。
7月21日の最終集計で、漏洩したメールアドレスは1223万3087件、うち762万件にはパスワードも含まれることが判明しました。
電気通信事業法第166条に基づく重大事故として行政への届け出が行われています。

発覚まで1か月続いた侵害の時系列

今回の事件では、侵害の開始から発覚まで長期間が経過したことが被害を拡大させました。

チップス

5月から6月まで1か月も気づかれなかったんでしゅか！その間ずっとデータが盗まれていたんでしゅね……

ボス

そうだ。ゼロデイは既知の脆弱性と違い、シグネチャベースの検知が効かない。異常なアクセスパターンを行動ベースで検知できる仕組みがなければ、発見が遅れる。

ゼロデイ悪用という教訓と今後の備え

今回の攻撃に使われたゼロデイ脆弱性は、KDDIのメールシステムに組み込まれたサードパーティ製ソフトウェアのものでした。
侵害が発覚した2026年6月17日時点でも、そのソフトウェアベンダー自身が脆弱性の存在を把握していませんでした。
通常の「パッチが出たら当てる」という管理手法では、根本的に防御できないタイプの攻撃です。

ゼロデイ環境下での現実的な対策

ゼロデイを完全に防ぐことは難しいですが、被害を最小化する備えは取れます。

KDDIは再発防止策として「AIを用いて対象ソフトウェアの設計書とプログラムを分析し、潜在的な問題を特定する」取り組みを発表しています。
サードパーティソフトウェアにおけるゼロデイ対策として、AIによるプログラム解析という新しいアプローチが注目されます。

チップス

パスワードが762万件も漏れてるんでしゅよね。KDDIのメールを使ってる人はどうすればいいんでしゅか？

ボス

まず対象のメールアドレスに使っていたパスワードを変更すること。同じパスワードを他のサービスでも使っていたなら、そちらも全部変えろ。フィッシングメールも増えるから、不審な連絡には絶対に応じるな。

まとめ：ゼロデイは防ぐより「検知と封じ込め」に備える

KDDIのメール漏洩事件は、日本最大規模の個人情報漏洩事件のひとつです。
1223万件のメールアドレス、762万件のパスワード、そして約1か月間続いた侵害という規模の大きさは、ゼロデイ脆弱性を持つサードパーティソフトウェアのリスクがいかに深刻かを示しています。

対象サービスの利用者はパスワードを即時変更し、パスワードの使いまわしを解消してください。
組織として取り組むべきは、ゼロデイを完全に防ぐことよりも、侵害された場合に「早く検知して早く封じ込める」体制の整備です。
KDDIが1か月気づけなかった事実は、監視体制のあり方を見直す契機になります。

チップス

1223万人分……セキュリティ、ほんとうに他人事じゃないでしゅね……

ボス

そうだ。自社のサービスにサードパーティ製ソフトを使っているなら、今すぐそのセキュリティ評価を見直せ。ゼロデイは「来るかもしれない」ではなく「来ると前提に」対策を立てる時代だ。