7月6日、KDDIがISP事業者向けに提供しているメールシステムへの不正アクセスにより、大量の個人情報が漏えいしたと発表しました。パスワードやメールアドレスといった、日常のインターネット利用に直結する情報が含まれるため、多くの利用者に影響が及ぶ可能性があります。
何が漏えいしたのか
KDDIの発表によると、今回確認されたのは以下の情報です。
- メールアドレス：1223万3087件分
- パスワード：761万6173件分
不正アクセスを受けたのは、KDDIがISP（インターネット接続を提供する事業者）向けに提供しているメールシステムです。当初KDDIは、最大で約1422万件の情報が漏えいした可能性があると発表していましたが、その後の調査によって、実際に漏えいが確認された件数が上記のように絞り込まれたかたちです。
「ISP事業者向けシステム」とは
今回問題となったのは、一般の利用者が直接契約するサービスではなく、ISP事業者に提供している裏側のメールシステムです。ISPとは、私たちがインターネットに接続するときに間に入る接続業者のことを指します。
つまり、KDDIから直接サービスを受けている人だけでなく、KDDIのシステムを利用している各ISPの先にいる利用者にも影響が及ぶ構造になっているとみられます。自分がどの事業者のメールを使っているか把握しづらいケースもあるため、幅広い利用者が確認を求められる状況といえます。
利用者が注意したいこと
パスワードそのものが漏えいの対象になっている点は、今回の大きな特徴です。一般に、パスワードが第三者に渡ると、同じパスワードを他のサービスで使い回している場合に、別のアカウントへの不正ログインにつながるリスクが指摘されています。
セキュリティの基本的な考え方としては、次のような対応が挙げられます。
- 使い回しているパスワードを変更する
- 複数のサービスで同じパスワードを使わない
- 二段階認証など、追加の本人確認手段を利用する
なお、今回の発表時点で公表されているのは漏えいの事実と件数であり、これらの情報が具体的にどのように悪用されたかについては、発表内容の範囲を超えるため断定はできません。今後の続報を注視する必要があります。
まとめ
7月6日、KDDIはISP事業者向けメールシステムへの不正アクセスにより、メールアドレス約1223万件、パスワード約761万件の漏えいを確認したと発表しました。当初の「最大約1422万件」から件数が精査されたものの、パスワードを含む大量の情報が対象となっている点は変わりません。心当たりのある利用者は、パスワードの使い回しを見直すなど、自衛の対応を検討しておくとよいでしょう。
（本記事は7月6日公開の発表内容に基づいています。最新情報は公式発表をご確認ください。）