6つのISPで最大1,422万件のメールログイン情報が流出するデータ侵害

日本の通信大手KDDIは、同社のメールシステムに不正アクセスが発生したデータ侵害事案を公表しました。侵害を受けたシステムは、国内5社のインターネットサービスプロバイダー（ISP）も利用しているものでした。

同社によると、不正アクセスは6月17日に発覚し、直ちに攻撃者をブロックするとともに防御措置を講じたということです。

調査の結果、ハッカーはKDDIのシステムで使用していた名称非公開のサードパーティ製ソフトウェアの脆弱性を悪用していたことが判明しました。

「当該システムへの技術的な防御措置はすでに実施していますが、今回の事案により、お客様のメールアドレスおよびパスワードが不正な第三者に取得された可能性が残っています」と、KDDIは警告しています。

流出の規模

KDDIは従業員数4万5,000人、年間売上高324億ドルを誇る、日本最大級のISPの一つです。旧国際電気通信独占企業のKDDをはじめ、IDOとDDIの合併により2000年に設立された上場企業です。

同社によると、今回の事案は以下の5つのISP事業者およびそのメールサービスに影響を与えたということです。

1. STNet株式会社
2. JCOM株式会社
3. 中部テレコミュニケーション株式会社
4. ニフティ株式会社
5. ビッグローブ株式会社

調査はいまも継続中であり、影響を受けたアカウントの正確な件数は確定していませんが、KDDIは最大1,422万人の顧客のメールアドレスとパスワードが流出した可能性があると発表しています。

この件数には、現在の顧客および元顧客のほか、すでに使用されていない可能性のある休眠アカウントも含まれています。

KDDIによると、一部のパスワードはハッシュ化または暗号化された形式で保存されていたため、仮に流出していたとしても、すぐにアカウント乗っ取りに悪用できるわけではないとしています。

ただし、使用された暗号化の種類や、平文で保存されていたアカウントの割合については明らかにされていません。

KDDIは6月17日以降、影響を受けたISPへの連絡を進めており、個人情報保護委員会および総務省にも報告済みとしています。

現在、影響を受けたISPと連携しながら、今回の流出によるリスクを軽減するための追加セキュリティ措置の実施に取り組んでいます。

一方、流出の可能性があるユーザーは、メールアカウントのパスワードをできる限り速やかに変更することが推奨されています。また、二要素認証（2FA）が利用可能な場合は、さらなる保護のために設定しておくことが望ましいとされています。