【KDDIへのサイバー攻撃】狙われたのはKDDIでもISP事業者でもない…｢メールアドレスとパスワード漏洩｣の本当の怖さ

KDDIは2026年6月23日、インターネットサービスプロバイダー（以下、ISP）向けに提供しているメールシステムがサイバー攻撃を受けたことを公表した。

第一報では、この基盤を利用する最大1422万件のメールアドレスやパスワードが漏洩した可能性があると説明された。

サイバーセキュリティに関する新着記事の情報などをメールマガジンでお届けします。登録はこちらから

「KDDIが攻撃された」と聞くと、多くの人はauメールなどKDDIの利用者だけの問題だと思うかもしれない。しかし、今回攻撃を受けたのは、KDDI自身のメールサービスではなく、複数のISP事業者へ提供していた共通のメール基盤である。

つまり、本当の被害者は、その基盤を利用していた各ISP（JCOMやニフティ、ビッグローブなど）の利用者なのである。この事件は、一企業の情報漏洩ではなく、多くの利用者が共通して利用する「社会インフラ」が狙われた事件として理解する必要がある。

漏洩したのは「メールアドレス」だけではない

メールを送受信するためには、単にメールサーバーがあればよいわけではない。メールアドレスの管理、利用者認証、メール送受信、Webメール、保存されたメールデータの管理など、多くの機能が連携して初めて1つのメールサービスが成り立っている。今回攻撃を受けたのは、そのすべてを一体として提供するメール基盤であった。