KDDI系ISPメールのパスワード漏えい｜@nifty・BIGLOBEの確定被害と無効化後の復旧手順

KDDIがISP事業者向けに提供するメールシステムへの不正アクセスは、2026年7月6日の報告で被害が確定しました。メールアドレスの漏えいが1,223万3,087件、うちパスワードの漏えいが761万6,173件です。@niftyは6月26日から未変更アカウントのパスワード無効化を進め、BIGLOBEは7月1日から9日にかけてパスワードをリセットしました。いま「メールが送受信できない」「パスワードを何度も聞かれる」状態になっているなら、それは攻撃ではなく各社の保護措置による可能性が高く、再設定すれば復旧します。この記事では確定した被害範囲、正規の案内メールと電話窓口の見分け方、無効化・リセット後の復旧手順を一次情報から整理します。

まとめ：対象確認・復旧・二次被害対策の優先順位

結論を先に示します。

• 被害は確定済み：メールアドレス1,223万3,087件、うちパスワード761万6,173件（KDDI、2026年7月6日）。初報の「最大1,422万件」は可能性値で、確定値はこれを下回りました。
• 6社すべてでパスワードが漏れたわけではない：J:COM NETとCPI（KDDIウェブコミュニケーションズ）は、7月6日の調査結果でパスワードの漏えいなしと確定しています（漏れたのはメールアドレスのみ）。
• auメール・UQ mobileメール・au one netメールは対象外：別設備で構築されており、本件の影響はありません。
• いまメールが使えない人がやること：@niftyは新しいメールパスワードを再設定、BIGLOBEは電話認証でBIGLOBEパスワードを再設定。そのうえでメールソフト側の設定を新パスワードに更新します。
• 0120-985-275は@niftyの正規窓口（通話料無料・10時〜18時・毎日）。ただし正規の窓口が電話でパスワードそのものを尋ねることはありません。
• 最後に使い回しの解消：漏えいしたメールアドレスとパスワードの組は、他サービスへのリスト型攻撃に使われます。同じパスワードを使っているサービスを変更し、多要素認証を有効化してください。

7月6日に確定した漏えい件数と、パスワードが漏れた事業者・漏れていない事業者

確定値1,223万件｜初報「最大1,422万件」から何が変わったか

6月23日の初報は「最大1,422万件」という可能性の上限でした。総務省への報告書提出に合わせて7月6日に公表された調査結果では、事実として確認された漏えいはメールアドレス1,223万3,087件、そのうちパスワードが761万6,173件です。つまりメールアドレスが漏えいした人の約62%はパスワードも一緒に漏れています。件数が減ったからといって危険度が下がったわけではなく、パスワードまで漏れた761万件は、そのままアカウント乗っ取りとリスト型攻撃の材料になります。

事業者別の漏えい件数とパスワード漏えいの有無

KDDIのメール基盤を利用していたのは次の6社です。パスワードが漏れたかどうかは事業者によって分かれており、ここを一律に扱うと不要な不安と的外れな対処を招きます。各社が7月6日に公表した確定値は次のとおりです（パスワードの件数はメールアドレス件数の内数）。

※STNetはメールアドレスとメールパスワードの合計を456,159件（顧客397,152名）と公表しており、パスワードのみの内訳は未公表です。単位（人・名）は各社の公表表記に従っています。

件数が最も大きいのはビッグローブで、BIGLOBEメールアドレス・BIGLOBE IDが5,016,432人分、パスワードが4,631,775人分です。一方、J:COM NETとCPIはメールアドレスのみで、パスワードの漏えいは確認されていません。ただしJCOMでも、ケーブルテレビ事業者向けメールサービスでは1,257名分のパスワードが漏えいしており、JCOMは対象者のパスワードリセットを完了したとしています。「J:COMだから安全」ではなく、どのメールサービスを使っているかで判断してください。

パスワードの保護形式（平文か、ハッシュ化・暗号化済みか）については、初報で「ハッシュ化・暗号化されたものも含まれる」と説明された一方、7月6日の続報で各社は形式を明記していません。ハッシュ化されていればただちに使えるわけではありませんが、方式や強度が公表されていない以上、安全と判断する根拠にはなりません。パスワードが漏えいした事業者の利用者は、形式にかかわらず変更が前提です。

auメール・UQ mobileメールが対象外である理由

auメール（@au.com・@ezweb.ne.jp）、UQ mobileメール、au one netメールは、今回侵害されたISP事業者向けメールシステムとは異なる設備で構築されており、KDDIは本件による影響・情報漏えいはないと明記しています。「KDDIの漏えい」という見出しだけを見てau回線のメールパスワードを慌てて変える必要はありません。対象は、KDDIが他社に提供していたメール基盤を使う6社のサービスです。

侵害開始から公表までの経緯｜5月16日から6月23日までの約5週間

侵害は6月に始まったものではありません。一部のISPでは2026年5月16日から不正アクセスが発生しており、ニフティでは5月24日に始まっています。ニフティは6月1日にKDDIへ連絡し、KDDIが本件を確認したのは6月17日。同日にシステムを改修し、被疑箇所を特定して防御措置を実施したうえで、6月23日に公表しました。つまり最初の侵入から公表まで約5週間、利用者が知らないまま認証情報が外部に渡っていた期間があったことになります。

届いた「メールパスワード漏えいの可能性に伴う変更手続きのお願い」は本物か

正規の案内メールの見分け方｜@niftyロゴマークと公式サイト経由の確認

「【重要】メールパスワード漏えいの可能性に伴う変更手続きのお願い」「【再度のお願い】…」という件名のメールは、ニフティが実際に送っている正規の案内です。一方でニフティは、@niftyをかたるメールへの注意喚起を継続して更新しており、7月9日更新分では「【緊急】メールアカウント移行に伴う本人確認のご案内」「【重要】システムアップグレードに伴う本人確認のお願い」といった件名が偽メールの例として挙げられています。件名の日本語が自然かどうかで本物と偽物を区別することはできません。

ニフティが示す判別方法は、@nifty Webメールで開いたときに差出人の横に@niftyのロゴマークが表示されるかどうかです。ロゴが表示されないメールは偽メールの可能性があり、本文中に置かれたロゴは正規のものとは限らないとされています。もっと確実なのは、メール内のリンクを一切踏まず、ブラウザで公式サイトを自分で開いて対象確認ページにログインする方法です。@niftyは不正アクセスに関するFAQから対象確認ページへ進む導線を用意しており、「変更対象となっております」と表示されれば変更が必要です。BIGLOBEは会員サポートの不正アクセス発生に関するお詫びとパスワード変更のお願いから手続きに進めます。

受信箱の案内が本物かどうかで迷う時間は、そのまま対処の遅れになります。判断を保留したまま、公式サイト側から手続きを進めてしまうのが最短です。

0120-985-275は正規窓口、ただし電話でパスワードは聞かれない

検索で最も多く調べられているのが、案内に記載された電話番号「0120-985-275」です。これはニフティが第二報で公表した@nifty専用窓口で、通話料無料・受付10時〜18時・毎日です。不審な番号ではありません。各社の窓口は次のとおりです。

注意すべきなのは逆方向、つまり「サポートを名乗ってかかってくる電話」です。正規の窓口が、電話口で現在のパスワードやクレジットカード番号を尋ねることはありません。番号が正しいかどうかは、必ず公式サイトの告知ページに掲載された番号と突き合わせて確認してください。かかってきた電話が名乗った番号を検索して安心する、という順序では詐欺を排除できません。

乗っ取られたISPアカウントからの詐欺メールと、してはいけない操作

漏えいの影響は、偽の「パスワード変更のお願い」だけではありません。フィッシング対策協議会は6月26日、国内ISPの認証情報を乗っ取って送信されたとみられるフィッシングメールへの注意喚起を出しました。件名の例は「【重要】VISAカード ご利用制限のお知らせ」「【重要】お客様のAmazonアカウントが一時的に制限されています」「お荷物の配送に問題が発生しました」で、内容はISPとは無関係です。つまり、奪われたメールアカウントが別の詐欺の発信元として使われています。差出人が実在のISPドメインでも、それだけでは正規メールの根拠になりません。

ニフティが実例として挙げている偽メールの件名は、アカウント移行やシステムアップグレードに伴う本人確認の要求、「お支払いは拒否されました」、異常ログイン検知とパスワード再設定の要求、IDの利用停止通知、メールアドレス確認の要求です。パスワード変更を促す本物の案内が流れている最中は、利用者が「変更しなければ」と身構えているぶん、偽の変更画面が刺さりやすい状況にあります。

メール内のリンクからパスワード変更画面に入る、添付ファイルを開く、SMSで届いた短縮URLを踏む——この3つは、案内が本物に見えても避けてください。手続きは常に、自分でブックマークまたは検索から開いた公式サイト経由で行います。

メールが送受信できない・認証を求められるときの復旧手順

「BIGLOBEメールが急に送受信できない」「Outlookでパスワードを何度も聞かれる」「正しい認証情報が必要ですと表示される」——これらの症状が出る時期は、各社がパスワードの無効化・リセットを実施した6月末から7月上旬と重なります。乗っ取られたのではなく、保護措置でパスワードが失効しただけであれば、再設定するだけで元どおり使えます。両者はwebメールで見分けられます。ブラウザから新しいパスワードでwebメールにログインでき、送信済みフォルダに身に覚えのないメールが無ければ、失効が原因です。

@nifty：6月26日からの順次無効化と再設定

ニフティは、期日までにメールパスワードの変更が確認できなかったアドレスについて、6月26日から順次パスワードの無効化を実施しました。7月6日の第二報では「本パスワード無効化措置は一両日中を目途に完了する見込み」とされ、無効化の完了をもって利用者保護と二次被害防止の措置は終了する、と説明されています。7月中旬時点でメールが使えないなら、この無効化に当たったと考えるのが自然です。

無効化されてもメールアドレスが失われるわけではなく、パスワード再設定ページで新しいメールパスワードを設定すれば再び利用できます。あわせて、@niftyはIMAPの新規利用を制限しており、メールソフトの設定はPOPが推奨されています。IMAPで新規設定しようとして接続できない場合は、パスワードではなく方式の制限が原因です。

BIGLOBE：7月1日〜9日のリセットと電話認証での再設定

ビッグローブは、パスワード変更を行っていない会員を対象に、2026年7月1日から7月9日にかけてBIGLOBEパスワードのリセットを実施しました。リセットされると、再設定するまでBIGLOBEメールに加えてマイページなど各種サービスへのログインもできなくなります。復旧は、パスワード再設定ページで電話認証（登録氏名・生年月日・BIGLOBEに登録した電話番号）を行い、新しいパスワードを設定する流れです。

混同しやすいのが「接続パスワード」です。今回漏えいしたのはBIGLOBEパスワードで、インターネット接続に使う接続パスワードは対象外のため強制リセットされず、ルーターや接続設定を変更する必要もありません。ネットにつながらないという症状なら、原因は今回の件ではない可能性が高いと考えてください。

メールソフト側の再設定｜再設定後も認証を求められるときの確認点

パスワードを再設定したら、パソコンのメールソフト（Outlook、Mac の「メール」など）とスマートフォンのメールアプリの両方で、保存されている旧パスワードを新しいものに置き換えます。ここを忘れると、メールソフトが古いパスワードで接続を繰り返し、認証エラーのダイアログが出続けます。

再設定したのに認証を求められる場合、確認すべきは次の点です。送信（SMTP）側の認証情報が受信側と別に保存されていないか。同じアカウントを複数の端末・アプリに登録していて、更新漏れの端末が残っていないか。@niftyの場合はIMAPではなくPOPで設定されているか。webメールにブラウザからログインできるなら、パスワード自体は正しく、問題はメールソフト側の設定に絞り込めます。

パスワードの使い回し解消と、この先の二次被害への備え

パスワード変更の優先順位｜メール本体を最優先にする理由

メールアドレスとパスワードの組が漏れたとき、実害が最も大きいのはリスト型攻撃です。攻撃者は入手した組を、通販・SNS・金融サービスに片端から入力します。したがって、漏えいしたISPのメールパスワードを変えて終わりではありません。

変更の優先順位は、そのメールアドレスをIDにしていて、かつ被害額が大きいものからです。ネット銀行・証券、クレジットカードやキャリア決済が紐づく通販、そのメールアドレスでパスワード再設定できるサービス（メールを乗っ取られると芋づる式に奪われるため、メール自体の保護を最優先にすべき理由がこれです）。同じパスワードを流用しているサービスがどれか思い出せないなら、それ自体が使い回しの証拠なので、パスワード管理ツールを導入して機械的に洗い替えるのが現実的です。

多要素認証の適用範囲｜金融・メール・SNSの3系統

すべてのサービスに多要素認証（MFA）を設定するのは続きません。効果が大きい順に、金融・決済、メールとクラウドストレージ、SNSの3系統に絞って有効化してください。パスワードが漏れていても、MFAが有効なら不正ログインの大半は成立しません。今回のように認証情報そのものが流出した事故では、MFAの有無が被害の分かれ目になります。

漏えい監視の継続手段｜ダークウェブ確認と不審ログイン通知

自分のメールアドレスが過去の漏えいに含まれていないかは、Have I Been PwnedやMozilla Monitorで確認できます。Googleのダークウェブレポートは2026年2月16日に提供が終了しているため、終了後に使える流出チェックの手順を確認したうえで代替手段へ切り替えてください。加えて、各サービスの「不審なログイン通知」を有効にし、身に覚えのない請求や再設定メールが届いていないかを数週間は意識して見てください。漏えいした認証情報は、事故の直後だけでなく、時間を置いて売買・悪用されます。

ゼロデイと委託先管理：同じ構造の事故を自社で起こさないために

ここからは事業者・情報システム部門向けの視点です。今回の事故は「パッチを当てていなかったから起きた」類のものではありません。だからこそ、脆弱性管理の運用だけでは防げない論点が残ります。

ゼロデイ脆弱性｜パッチ運用では塞げない侵入経路

悪用されたのは、KDDIがシステムの一部として導入していた第三者製ソフトウェアの脆弱性です。KDDIが本件を確認した6月17日時点で、この脆弱性はベンダー自身も認識していない、いわゆるゼロデイの状態でした。製品名やCVE番号は7月6日時点でも公表されておらず、ベンダーが公的機関への届け出と情報公開を進めている段階です。

この事実は運用に直結します。「最新パッチを当てている」ことは、外部から侵入されないことを意味しません。パッチ適用を前提にした脆弱性管理は必要条件にすぎず、それだけを対策として掲げている組織は、今回と同じ入口を塞げていません。異常な認証・大量参照の検知、認証情報の保存方式、侵入後の横展開を止める分離——侵入されたあとに被害を小さくする設計が、同等の重みで必要です。

共有メール基盤のサプライチェーン構造｜1つの侵害が6社に波及する理由

今回の被害が1,223万件に達したのは、KDDIの1つのメール基盤を6社が共有していたからです。自社サービスの認証情報が、自社の管理下にないシステムに保管されている——この構造は、メール基盤に限らずSaaSや外部委託の全域にあります。まず棚卸しすべきは、「自社の利用者の認証情報や個人情報が、どの外部システムに、どの形式で保管されているか」です。ここが即答できない組織は、事故が起きたときに被害範囲の特定に数週間を要します。

委託先への確認項目と漏えい時の報告義務

委託先への確認は、網羅的なチェックシートより、次の順で絞ったほうが機能します。認証情報の保存方式（平文保存の有無、ハッシュのアルゴリズム）。侵害を検知する仕組みと、検知から委託元への連絡までの時間の取り決め。第三者製ソフトウェア・OSSの構成管理（何が組み込まれているかを委託先が把握しているか）。今回、ニフティがKDDIに連絡したのが6月1日、KDDIが確認したのが6月17日という間隔は、この「連絡から確認までの時間」がいかに被害を左右するかを示しています。

また、個人データの漏えいが発生した場合、個人情報保護法に基づき個人情報保護委員会への報告と本人への通知が必要になります。電気通信事業者であれば総務省への報告も伴います。本件でも総務省がKDDIに報告を求め、7月6日に報告書が提出されました。委託先で発生した漏えいであっても、利用者に対する説明責任は自社に残ります。

よくある質問

自分が漏えいの対象かどうかは、どうやって確認できますか？

各社が用意した確認ページで判定できます。@niftyはメールパスワード変更対象の確認ページにログインすると、変更が必要かどうかが表示されます。BIGLOBEは会員サポートの告知ページから手続きに進みます。いずれも、届いたメールのリンクではなく、ブラウザで公式サイトを開いてアクセスしてください。

0120-985-275は本物の窓口ですか？

ニフティが公表している@nifty専用の問い合わせ窓口で、通話料無料、受付は10時〜18時（毎日）です。ただし、この番号を名乗ってかかってくる電話が本物とは限りません。正規の窓口が電話でパスワードやカード番号を尋ねることはないため、そうした要求があれば切って、自分から公式サイト掲載の番号にかけ直してください。

パスワードを変更しなかったのでメールが使えません。もう復旧できませんか？

復旧できます。@niftyは6月26日から未変更アカウントのパスワードを順次無効化しましたが、パスワード再設定ページで新しいメールパスワードを設定すれば再び利用できます。BIGLOBEも、7月1日〜9日にリセットされたパスワードを電話認証で再設定すれば、メールとマイページに再びログインできます。

パスワードはハッシュ化されていたと聞きました。それでも変更は必要ですか？

必要です。初報では「ハッシュ化・暗号化されたものも含まれる」と説明されましたが、7月6日の続報で各社は保護形式を明記していません。方式と強度が分からない以上、解読されない保証はなく、実際に各社は利用者のパスワードを無効化・リセットする措置を取っています。安全側に倒して変更してください。

auメールやUQ mobileのメールも影響を受けますか？

影響ありません。auメール（@au.com・@ezweb.ne.jp）、UQ mobileメール、au one netメールは、今回不正アクセスを受けたISP事業者向けメールシステムとは別の設備で提供されており、KDDIは本件による情報漏えいはないとしています。対象は@niftyメール、BIGLOBEメール、J:COM NETとケーブルテレビ事業者向けメール、コミュファ光、ピカラ、CPIのメールです。

関連記事

• ユニバーサルミュージック個人情報流出（310万件）｜対象確認と今すべき対処・詐欺対策
• 村田製作所の情報漏洩（2026年不正アクセス）｜原因・被害範囲8.8万件と取引先の対策
• マイナビ情報漏洩11万件の全容｜不正アクセスの原因・対象確認と今すべき対策
• 駿河屋は安全？情報漏えい事件の経緯・現在の状況（クレカ決済）と利用者がすべき対応を解説
• Googleのダークウェブレポートは終了済み｜代わりの個人情報流出チェック方法