KDDIメール漏えい1223万名、強制パスワード変更は完了

7月21日にKDDIが人数を訂正。当サイトが載せた「1,223万3,087件」も差し替えました

KDDIは2026年7月21日、7月6日付の報道発表資料「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」（PDF）を更新し、漏えいが確認された電子メールアドレスの対象人数を12,231,954名（2026年7月21日訂正）と書き換えました。当サイトが7月7日の続報で載せた「1,223万3,087件」は訂正前の数字です。差は1,133名、全体の0.01%にも満たない修正ですが、当サイトが出した数字が変わった以上、どこがどう変わったのかを示します。

訂正の出どころはJCOMです。JCOMは同じ7月21日に自社のニュースリリースを更新し、取引先のケーブルテレビ事業者へISP卸として提供しているメールサービス分の漏えい人数を118,752名へ書き換えました。理由は「その後の詳細調査の結果、人数を再精査し当該数値を更新」とだけ説明されています。当初公表分との差1,133名が、そのままKDDI総数の訂正分と一致します。「J:COM NET」分の2,473,191名は変わっておらず、足すとJCOMの新しい合計は2,591,943名です。パスワードの漏えい1,257名も、他5社の人数も動いていません。

単位についても直しました。KDDIもJCOMも、公式資料は一貫して「名（人数）」で数えています。当サイトは当初「件」と書いていましたが、この更新で公式の表記に合わせています。訂正後の数字には、細かいながら気持ちのいい符合もあります。6社のメールアドレス欄を単純に足すと12,231,954となり、KDDI総数とぴったり一致します（訂正前は一致していませんでした）。

パスワードの強制変更は完了。補償・原因ソフト・行政処分はいずれも未発表

これより下の本文は「@niftyが6月25日を期限にして、26日以降は順次無効化する」という初期段階で止まっていました。その後どうなったかを足します。先に言ってしまうと、パスワードの強制変更・強制リセットはおおむね完了しています。予告で終わった話ではなく、実際に切り替えが実行されました。

BIGLOBEは、パスワードを自分で変更していない会員を対象に、2026年7月1日から7月9日にかけてBIGLOBEパスワードのリセットを実施し、7月9日に「予定通り完了しました」と告知しました。リセットされた人は、電話認証で新しいパスワードを設定するまで、BIGLOBEメールもマイページも使えません。ここで紛らわしいのが、BIGLOBEでリセットされたのが「BIGLOBEパスワード」で、インターネット接続に使う「接続パスワード」は対象外・変更不要だと明示されている点です。接続パスワードを触ると回線がつながらなくなる場合があるため、こちらは動かさないのが正解です。

@niftyは、期限までに変更が確認できなかったメールパスワードを予告どおり無効化しました。対象メールアドレス確認ページには「期日までにメールパスワードの変更が確認できなかったため、システム側でメールパスワードを無効化いたしました」という表示が用意されています。無効化されても、メールパスワードを再設定すればそのまま使い続けられます。JCOMは、パスワードが漏えいした対象者へのリセットを完了したと発表しました。メールアドレスだけが対象の人にはリセットを行わず、個別連絡で変更を案内する方針です。

一方、KDDI名義での「完了しました」という宣言は出ていません。7月21日更新版のPDFでも、文面は「ISP事業者さまによるパスワードの強制変更を一両日中の完了を目途に進めています」のままです。完了を明言しているのはBIGLOBEとJCOMで、KDDIは各社の対応を支援する側に回っています。

強制変更の後始末で困っている人向けに、KDDIはメール設定コールセンター（0120-487-751、9:00〜20:00・土日祝営業）を2026年7月31日まで臨時開設しています。パスワードが変わってOutlookやスマホのメールアプリで送受信できなくなった場合の設定変更に限った窓口です。期限が迫っているので、心当たりがあれば早めに使ってください。

関連して、ニフティは「@niftyをかたるメールにご注意ください」を7月17日に更新し、「パスワード有効期限のお知らせ」「【緊急】メールアカウント移行に伴う本人確認のご案内」といった偽メールの実例を追加しました。文面はいかにも今回の騒ぎに乗ったように見えますが、本件との直接の因果は公式には確認されていません。便乗かどうかにかかわらず、メール内のリンクを踏まないという対処は変わりません。

漏えいが確定、ピカラ（STNet）など各社の人数も判明。総務省は報告徴収

当初は「最大1422万件が漏れた可能性」という段階でしたが、状況が確定へ進みました。KDDIは2026年7月6日、精査の結果として、漏えいが確認された情報はメールアドレス 1,223万1,954名・メールパスワード 761万6,173名にのぼると発表しました（メールアドレスの人数は7月21日に訂正されているため、ここでは訂正後の値を載せています）。「最大1422万件」はあり得る上限で、確定した実数はこの数字です。あわせて、これまで非公表だったプロバイダ各社ごとの内訳も出そろいました。四国のピカラ（STNet）で約39万7千人分など、地方のサービスにも被害が広がっています。

※人数は各社およびKDDIの発表による（KDDI総数とJCOM分は2026年7月21日の訂正後）。メールアドレス欄は6社の合計がKDDI総数とぴったり一致します。パスワード欄はSTNetだけ数え方が異なり、「39万7,152名の利用者が持つメールアドレスとパスワード45万6,159件」という公表のため、単純合計は総数と一致しません。JCOMはパスワードの漏えいが1,257名にとどまり、CPI（レンタルサーバー）ではパスワードの漏えいは確認されていません。

行政も動いています。総務省は6月24日、電気通信事業法第166条第1項に基づく「報告徴収」をKDDIに行い、7月6日までに、漏えいの詳しい原因・利用者への対応状況・再発防止策を報告するよう求めていました。今回の7月6日の確定発表は、この報告期限に合わせたものです。報告徴収は調査の段階にあたり、内容が不十分と判断されれば行政指導や業務改善命令へ進む可能性がありますが、7月29日時点でその後の進展は公表されていません。原因は、KDDIがシステムに組み込んでいた第三者製ソフトの、当時まだ公表されていなかった脆弱性を突かれたものと説明されています。不正アクセスは2026年5月16日ごろから発生し、KDDIが認識したのが6月17日でした。

利用者がやるべきことは、確定後も変わりません。対象サービスのメールパスワードを変更し、同じパスワードを使い回している他サービスも変えることが最優先です。以下は、そもそも何が起きたのか、「メールパスワード」とは何か、具体的な手順までを整理した本編です。

※ここから下は、6月24日の初版と7月7日の続報をもとにした記述です。パスワードの強制変更がその後どうなったかは、上の「強制変更は終わった」の節を参照してください。

KDDIは2026年6月23日、プロバイダ（インターネット接続事業者）各社へ提供しているメールシステムが不正アクセスを受け、メールアドレスと「メールパスワード」が漏えいした（当初発表は最大1422万件の可能性、7月6日に上記のとおり確定、7月21日に人数を訂正）と発表しました。対象には「@niftyメール」「BIGLOBEメール」「J:COM NET」など、私たちが日常的に使うメールサービスが幅広く含まれます。

注意したいのは、名前が挙がっているのがKDDI（au）と直接契約している人だけではないこと、そして漏れた可能性があるのが、ふだん多くの人が意識していない「メールパスワード」だという点です。何が起きたのか、そもそもメールパスワードとは何か（ログインパスワードとの違い）、自分が対象に含まれるのか、ログインや変更手続きができないときはどうするか、そして今すぐ何をすればいいのかを順番に整理します。

今回漏れた「メールパスワード」とは？ ログインパスワードとの違い

多くの人がまず戸惑うのが、「メールパスワードって、いつも使っているログインのパスワードのこと？」という点です。実は別物です。@niftyやBIGLOBEのようなプロバイダでは、パスワードが用途ごとに分かれていて、今回漏れた可能性があるのは、ふだんログインに使う方ではなく「メールパスワード」です。@niftyの説明でも、対象は「メールパスワード」だと整理されています。

※ただし、メールパスワードとログインパスワードを同じものにしている場合や、ネット接続（PPPoE）の設定に同じパスワードを使っている場合は、ログインパスワード側も変更が必要です。

メールパスワードは、パソコンの「Outlook」や「Thunderbird」、スマホの標準メールアプリなどに、自分のプロバイダメールを設定して送受信するときに使うパスワードです。Webブラウザの画面（Webメール）だけでメールを読んでいる人にとっては、ふだんまったく目にしない存在で、契約時に設定したまま一度も変えていない人が大半です。意識していなかったパスワードだからこそ、漏れていた場合に気づきにくく、変更を促されているわけです。

なお、Webメールしか使っていない人も、メールパスワード自体は存在するため変更が必要です。逆に、「いつものログインパスワード」は、メールパスワードと別にしているなら今回ただちに変える対象ではありません。ただし、後述するように使い回しがあるなら話は別です。まずは「自分が今変えるべきはメールパスワードだ」と押さえてください。

なぜ「自分はKDDIと契約していない」では済まないのか

今回いちばん見落とされやすいのが、ここです。多くの人は「@niftyと契約している」「BIGLOBEを使っている」という感覚でメールを使っていて、その裏側にKDDIがいるとは思っていません。ところが実際には、これらの会社のメール機能は、KDDIが一括して提供する共通のシステムの上で動いていました。表向きのブランドはバラバラでも、土台がひとつに集約されていたわけです。

この「見えない共通基盤」が、被害が一気に広がった理由です。土台がひとつなら、そこに空いた穴も全サービスに共通します。攻撃者から見れば、各社を個別に攻める必要はなく、KDDIのシステムを一度破れば、ぶら下がっている複数のメールサービスの利用者情報にまとめて手が届きます。最大1422万件という数字の大きさは、この構造から来ています。

便利さと裏表の関係でもあります。各プロバイダが自前でメールサーバーを抱えるより、信頼できる大手にまとめて任せたほうが、運用も品質も安定します。ただ、その「まとめて任せる」が進むほど、ひとつの事故が広い範囲に及ぶ。今回はその弱点が表に出た形です。自分の契約先のロゴしか見ていないと、こうしたリスクには気づけません。

影響を受けるメールサービスの一覧

KDDIの発表で名前が挙がっているサービスと、その運営会社を整理します。自分の使っているメールアドレスの末尾（ドメイン）と照らし合わせてみてください。下記のいずれかのサービスでメールアドレスを作っている場合は、対象に含まれる可能性があります。

対象は四国（ピカラ）から中部（コミュファ光）、全国の@nifty・BIGLOBE、さらに法人向けレンタルサーバーのCPIまで広がっています。当初は「合わせて最大1422万件」という総数だけでしたが、7月6日に各社別の内訳が確定しました（続報の表を参照）。人数が最も多いのはBIGLOBEで、パスワードの漏えいはJCOMではごく一部、CPIでは確認されていないなど、サービスによって内容が異なります。自分のアドレスが対象かは、各社が用意する「対象メールアドレス確認ページ」で確認できます。

7月29日時点で、この6社に追加されたプロバイダはありません。KDDIの報道発表資料も、同社のモバイル・固定インターネットのメールサービス（auメール、UQ mobileメール、au one netメール）は「異なる設備で構築されており、本件不正アクセスによる影響や情報の漏えいはございません」と明記しています。「対象が広がるかもしれない」と身構える必要は、いまのところありません。

パスワードが漏れると、なぜ「連鎖」が怖いのか

流出した可能性があるのがメールアドレスだけでなくパスワードも含む点を、軽く見ないでください。メールアドレスだけなら、せいぜい迷惑メールが増える程度で済むこともあります。しかしパスワードがセットで漏れると、話が一段深刻になります。

こわいのは、メールの乗っ取りそのものよりも連鎖です。同じメールアドレスとパスワードの組み合わせを別のサービスでも使い回していると、攻撃者はその組み合わせを次々に試して、芋づる式にアカウントを乗っ取れます。盗んだIDとパスワードのリストを自動で大量に試すこの手口は「リスト型攻撃（パスワードリスト攻撃）」と呼ばれ、漏えい事故のあとに必ずと言っていいほど続いて起きます。今回漏れたのがメールパスワードでも、それを他サービスのログインに流用していれば、同じ危険が生じます。

さらに、メールを乗っ取られること自体が次の被害の入り口になります。多くのサービスは「パスワードを忘れた場合」の再設定をメールで行うため、メールボックスを押さえられると、そこに届く再設定リンクを使って他のアカウントまで突破される恐れがあります。メールは個人のネット生活の「合鍵置き場」のような存在で、そこが破られると影響が一点にとどまりません。だからこそ、後述する対応を急ぐ価値があります。

ログインできない・パスワード変更ページにつながらないときは

「変えようとしたのに、ページが開かない」「ログインできない」という声が広がっています。これは多くの場合、不正ログインではなくアクセス集中による混雑が原因です。@niftyは6月24日、パスワード変更ページへのアクセス殺到で負荷が集中したため、ログイン通知メールの送信を一時停止したと案内しました。同じ理由で、変更ページやログイン周りが一時的につながりにくくなっています。

気をつけたいのが、変更期限と「無効化」です。@niftyは当初、6月25日までにメールパスワードを変更するよう呼びかけ、変更されない分は26日以降に順次無効化すると案内しました。この無効化と、各社によるパスワードの強制リセットは、その後実際に行われています（経過は上の節）。ある日とつぜんメールソフトが「パスワードが違う」と言い出したなら、乗っ取りではなく強制リセットの可能性が高い、と考えてください。期限を過ぎても、あらためてメールパスワードを設定し直せば再び使えるようになるため、「もう間に合わない」とあきらめる必要はありません。無効化されたままだとメールアプリでの送受信ができなくなるので、落ち着いて再設定を進めるのが正解です。

つながらないときの現実的な対処は、次のとおりです。時間帯を変えて再度アクセスする（夜間・早朝など混雑が緩む時間を狙う）、メール内のリンクではなく公式サポートのトップページから手続きページへ入る、それでも進まない場合は各社の問い合わせ窓口を使う、の3点です。@niftyは特設の問い合わせダイヤルも用意しています。あわせて、自分のアドレスが対象かどうかは、各社が用意する「対象メールアドレス確認ページ」で確認できます。

これまでの経緯

KDDIの発表によると、不正アクセスを把握したのは公表の6日前でした。検知から公表、利用者への変更呼びかけまでの流れを時系列で示します。

← スワイプで移動

検知から公表まで6日間あいています。これは情報を隠していたというより、影響範囲の特定と当局報告の準備にかかった時間と見るのが自然です。一方で、利用者にとっては「自分のパスワードが漏れたかもしれない6日間」があったことになります。続報を待つあいだも、メールパスワードの変更は先に進めておいて損はありません。

なぜKDDIほどの会社が破られたのか

KDDIの説明では、侵入の入り口になったのは同社のシステムで使っていた外部製ソフト（サードパーティ製ソフトウェア）の脆弱性でした。脆弱性とは、プログラムに潜む設計や実装上の欠陥で、悪用されると本来できないはずの操作を許してしまう穴のことです。具体的にどのソフトのどの欠陥かは公表されていません。対策は実施済みと説明されています。

ここに、もうひとつの見えにくい構造があります。大規模なシステムは、すべてを自社でゼロから作るわけではなく、既製のソフトや部品を組み合わせて成り立っています。つまり、自社のセキュリティをどれだけ固めても、組み込んだ外部部品に穴があれば、そこから破られる。利用者から見れば「KDDIに任せたメール」でも、その内側はさらに別の作り手のソフトに依存している。任せた相手が、さらに別の誰かに依存しているという二重の構造です。

この「外部の部品や委託先から破られる」パターンは、近年の大型事故に共通します。動画配信のCrunchyrollでは、自社ではなく外部委託先が侵入口になり680万人規模の情報が流出しました。国内でも、阿波銀行が放置されたテスト環境を突かれて2万7千件を漏らしたように、「本体ではない周辺」が穴になる例は後を絶ちません。守る側は全部品の安全を保ち続けなければならないのに、攻める側は穴をひとつ見つければいい。この非対称が、巨大企業でも破られる根本的な理由です。

いま利用者がやるべきこと

「漏れたかもしれない」段階でも、できる備えはあります。とくにメールパスワードが対象に含まれている以上、対象サービスのメールパスワードを変更し、同じパスワードを使い回している他のサービスも併せて変えるのが最優先です。順番に説明します。

① 対象サービスのメールパスワードを変える。 上の一覧に自分のメールサービスがあれば、まずそのメールパスワードを変更します。各社のサポートから手続きできます（BIGLOBE、@nifty など）。新しいパスワードは、他で使っていない独自のものにします。混雑でつながらない場合は、前述のとおり時間を置いて再度試してください。すでに強制リセットされている場合は「変更」ではなく「再設定」の手続きになります。BIGLOBEでは登録した電話番号からの電話認証が必要です。

② ログインパスワードや使い回し先も点検する。 メールパスワードとログインパスワードを同じにしている場合や、同じ組み合わせを通販・SNS・ネット銀行でも使っている場合は、それらも別々のパスワードに変えてください。漏れた組み合わせを試されると、そちらまで芋づる式に破られます。

③ 二段階認証を有効にする。 パスワードに加えて、スマホに届く確認コードなどを必要にする設定です。仮にパスワードが漏れても、これがあれば不正ログインを大きく防げます。対応しているサービスでは必ずオンにしておきます。

④ 「便乗」のニセメールに警戒する。 こうした事故のあとは、不安につけ込む偽メールが増えます。「情報漏えいのお詫び」「パスワードを今すぐ確認」といった文面でニセのログイン画面へ誘導する手口です。メール内のリンクは踏まず、各社の公式サイトを自分でブックマークから開いて手続きするのが安全です。身に覚えのないログイン通知が来ていないかも確認しておきましょう。

⑤ メールソフトの設定を直す。 パスワードを変えた（あるいは強制的に変えられた）あとは、OutlookやThunderbird、スマホのメールアプリ側にも新しいパスワードを入れ直さないと送受信が止まったままになります。ここでつまずく人が多いため、KDDIはメール設定コールセンター（0120-487-751、9:00〜20:00・土日祝営業）を2026年7月31日まで臨時開設しています。設定変更専用の窓口で、期限が近い点に注意してください。

なお、パスワードの強制変更は各社でおおむね完了しており、対象プロバイダが6社から増えたという発表もありません。補償や見舞金についての言及は、7月29日時点でどの社からも出ていません。

わかっていること・まだわからないこと

よくある質問

Q. 「メールパスワード」って、いつものログインパスワードのこと？

別物です。メールパスワードは、Outlookやスマホのメールアプリでプロバイダのメールをやりとりするためのパスワードで、今回漏れた可能性があるのはこちらです。会員ページへのログインに使うログインパスワードとは分かれています。ただし両者を同じにしている場合は、ログインパスワードも変更してください。

Q. Webメールしか使っていなくても変更は必要？

必要です。メールソフトを使っていなくても、アカウントにはメールパスワードが設定されています。漏れた可能性がある以上、変更しておくのが安全です。

Q. ログインできない・変更ページが開かないのですが？

アクセス集中による混雑が主な原因です。時間帯を変えて再度試す、メール内リンクではなく公式サポートのトップから入る、それでも進まなければ各社の問い合わせ窓口を使う、という順で対処してください。変更期限を過ぎても、あらためて変更すれば再び利用できます。

Q. 急にメールが送受信できなくなりました。乗っ取られたのでしょうか？

パスワードの強制リセットである可能性が高いです。BIGLOBEは7月1〜9日に、未変更の会員のパスワードを一斉にリセットしました。@niftyも、期限までに変更されなかったメールパスワードを無効化しています。パスワードを再設定したうえで、メールソフトやスマホのメールアプリに新しいパスワードを入れ直せば元に戻ります。設定方法がわからない場合は、KDDIが7月31日まで開設しているメール設定コールセンター（0120-487-751）が使えます。

Q. 補償やお見舞金は出るのですか？

7月29日時点で、KDDI・JCOM・BIGLOBE・KDDIウェブコミュニケーションズのいずれも補償や見舞金には触れていません。各社が案内しているのは、パスワードの変更・再設定と問い合わせ窓口までです。金銭的な措置に近いものとしては、BIGLOBEがメールアドレス変更サービスを当面無料にしている例があります。今後の方針が出るかどうかは未定です。

Q. auのスマホしか使っていません。関係ありますか？

今回対象に挙がっているのは、@niftyやBIGLOBEなど「プロバイダ各社のメールサービス」です。KDDIは報道発表資料で、auメール・UQ mobileメール・au one netメールは異なる設備で構築されており影響も漏えいもない、と明記しています。ただし、別途これらのプロバイダでメールアドレスを作っている場合は対象になり得ます。

Q. なぜこんなに多くのサービスが一度に影響を受けたのですか？

各社のメール機能が、KDDIの共通システムの上で動いていたためです。土台がひとつに集約されていたため、そこへの一度の侵入が、ぶら下がる複数サービスへ同時に波及しました。

参照元

• ▸KDDI - ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告（PDF）（2026年7月6日／2026年7月21日更新・人数訂正）
• ▸JCOM - （更新）当社メールサービスに対する不正アクセスの発生について（2026年7月6日／2026年7月21日更新・人数訂正）
• ▸BIGLOBE - 【7/9更新】不正アクセス発生に関するお詫びと、パスワード変更のお願い（2026年7月9日更新）
• ▸総務省 - KDDI株式会社に対する報告徴収（2026年6月24日）
• ▸@niftyセキュリティ - @niftyをかたるメールにご注意ください（2026年7月17日更新）
• ▸INTERNET Watch - KDDI、ISP向けメールシステムへの不正アクセスで続報。1223万件のメールアドレス、762万件のパスワードが漏えい（2026年7月6日）
• ▸KDDI - ISP事業者向けメールシステムに対する不正アクセスの発生について（PDF・第一報）（2026年6月23日）
• ▸ITmedia NEWS - KDDI、メアドなど最大1422万件漏えいか ISP事業者向けシステムに不正アクセス（2026年6月23日）
• ▸ITmedia NEWS - 流出の恐れがある@niftyの「メールパスワード」って何？ 「ログインパスワード」とは違うの？（2026年6月25日）
• ▸ITmedia NEWS - @nifty、ログイン通知メール一時停止 「負荷集中」のため（2026年6月25日）
• ▸@nifty - 当社メールサービスへの不正アクセスの発生について（FAQ）
• ▸BIGLOBE 会員サポート
• ▸個人情報保護委員会