KDDI系メール漏えい：BIGLOBE・@niftyの「システムアップグレードに伴う本人確認のお願い」と電話は本物か

「【重要】システムアップグレードに伴う本人確認のお願い」というメールがBIGLOBEや@niftyの名前で届いた。0120-985-275から案内が来た。これは本物なのか。KDDIがISP事業者向けに提供するメールシステムへの不正アクセスで、メールアドレス12,231,954名分、うちパスワード7,616,173名分が漏えいしてから（KDDIの続報、7月21日訂正）、事件を口実にした偽メールが4か月にわたって形を変えて届いています。

この記事では、件名と電話番号を各社の公式ページと照合して偽物と正規を分け、パスワード無効化後の復旧、ルーター設定の要否、確定した被害と行政の認定、事業者向けの再発防止策を2026年10月13日時点の情報で整理します。

まとめ：届いた件名・電話番号の真偽と、いま利用者がやること

• 「システムアップグレードに伴う本人確認のお願い」は偽メール：BIGLOBEはフィッシング詐欺の実例の筆頭に、@niftyも自社をかたるメールの例（7月8日追加）に掲載しています。リンクは開かずに削除して構いません。
• @nifty名義の偽メールは10月に入っても追加が続いている：10月2日に「メッセージを確認してください」、10月5日に「お支払いは拒否されました」が掲載されました。
• 「メールパスワード漏えいの可能性に伴う変更手続きのお願い」は@niftyの正規の案内の件名：ただし件名では判定できません。@nifty Webメールで差出人横に@niftyマークが出るかで確かめます。
• 0120-985-275は@nifty特設ダイヤル、0120-69-6068はBIGLOBEの特設窓口：どちらも各社の公式ページに載っている番号です。
• メールが使えない人は再設定で戻る：@niftyは6月26日から未変更のパスワードを無効化、BIGLOBEは7月1日〜9日にリセットしました。メールアドレスは失われていません。
• ルーターはそのままでよい場合が多い：@niftyでログインパスワードも変えた人で、PPPoE接続のときだけルーターの再設定が要ります。
• パスワードは平文で保存され、メールボックスも閲覧できる状態だった：個人情報保護委員会の認定です。受信箱に残る他サービスの再設定メールを洗い出し、使い回していたパスワードを変えてください。

届いたメール件名と電話番号の真偽｜BIGLOBE・@nifty公式の掲載で照合

両社が掲載している件名は実例の一部で、掲載が無くても類似のメールには注意するよう書いています。件名の日本語が自然か、差出人が自社ドメインに見えるかでは判定できません。根拠にできるのは、公式ページへの掲載と、公式が示す確認手段だけです。

「システムアップグレードに伴う本人確認のお願い」はBIGLOBE・@niftyの偽メール例

BIGLOBEはBIGLOBEを詐称したフィッシング詐欺の実例のページで、この件名を一覧の先頭に置いています。@nifty側でも、@niftyをかたるメールへの注意喚起（2026年10月5日更新）に、差出人「@niftyメールサービス事務局」の同じ件名が7月8日追加の例として載っています。期限を切って「アカウントへのアクセスが一時停止される」と迫り、偽サイトでIDとパスワードを入力させる文面です。

2026年10月13日に両社の公式ページで確認できた、本件の時期以降の主な偽メールの件名は次のとおりです。

BIGLOBEの実例ページには、ほかに「今すぐアカウントをアップグレードしてください」「BIGLOBE Webmail 不審なアクセスを検出しました」「【重要】Biglobe Cloud Mailへのメールシステム切り替えのご案内」なども載っています。@niftyの9月11日追加の例は差出人が [email protected]、9月17日追加の例は「ニフティ株式会社」名義で、どちらも自社ドメインに見える形でした。BIGLOBEはフィッシングメールへの注意喚起で「『会員登録を継続更新するため』などの理由で、お客さまのログイン情報を問い合わせるメールを送信することはありません」と明記しています。

フィッシング対策協議会の2026年6月26日の緊急情報は、国内ISPの認証情報を乗っ取って送られたとみられるAmazonをかたるメールも報告しています。実在するISPのアドレスから届いたことも、正規の根拠になりません。

本物の案内「メールパスワード漏えいの可能性に伴う変更手続きのお願い」の確かめ方

「【重要】メールパスワード漏えいの可能性に伴う変更手続きのお願い」は、@niftyが対象者に送った案内の件名です。@niftyの不正アクセスに関するFAQは、対象者には2026年6月23日から24日にメールで案内したと説明し、7月1日以降に届いた「【再度のお願い】」付きの同じ件名についても回答しています。

同じ件名をまねた偽メールが作られる余地は残ります。FAQの判定基準は一貫していて、「@nifty Webメール」で開いたときに差出人横に@niftyのロゴマークが出るものが正規です。本文の中に貼られたロゴは正規とは限りません。迷ったら、普段利用している公式アプリや確認済みのブックマークから公式サイトを開き、@niftyの第一報のお知らせにある「対象メールアドレス確認ページ」で確かめてください。確認ページの表示は「変更が完了しております」「変更の対象となっております」「対象ではございません」などで、システム側で無効化されたかどうかもここで分かります。

BIGLOBEがこの件名のメールを送ったという記載は、公式ページに見当たりません。BIGLOBEの告知は「【重要】不正アクセス発生に関するお詫びと、パスワード再設定のお願い」という表題のお知らせページです。

0120-985-275・0120-69-6068とBIGLOBEが案内する電話番号

0120-985-275は@niftyの第一報・第二報とFAQに特設ダイヤルとして載っており、FAQは案内メールに書かれた電話番号を正規の番号と回答しています。0120-69-6068はBIGLOBEの不正アクセスの告知（2026年9月1日更新）に載る特設窓口です。下の3つは本件とは別件の、BIGLOBEメールの一部認証方式の終了に関する窓口と発信番号で、BIGLOBEはこの2つの番号から一部の会員へ電話していると案内しています。

番号が本物でも、その番号を名乗る電話が本物とは限りません。BIGLOBEのパスワード再設定は利用者が登録電話番号から自分で発信する電話認証で、@niftyはWeb上の再設定ページで行います。窓口側から電話をかけてパスワードやカード番号を口頭で尋ねる手順は、どちらの告知にもありません。そうした電話は一度切り、公式ページの番号へ自分からかけ直してください。

公式が示す見分け方と、偽サイトに入力してしまった後の対処

• @nifty：怪しいメールは「@nifty Webメール」か会員向けアプリ「マイ ニフティ」で開く。差出人横に@niftyマークが無ければ、リンクも添付も開かない
• BIGLOBE：ログインや個人情報の入力が必要なページは必ずHTTPS。正規URLの例は mypage.sso.biglobe.ne.jp、auth.sso.biglobe.ne.jp。正規の差出人アドレスは info（アットマーク）bcs.biglobe.ne.jp だが、偽メールのFromアドレスも複数確認されている
• BIGLOBE：2026年4月22日から、biglobe.ne.jpになりすましたメールを受信側に拒否させるDMARCポリシーのrejectへ順次変更している
• KDDI：初報で利用者に「ISP事業者さまから提供される情報」の確認を求めており、KDDIが利用者へ直接連絡するという記載は無い

どれも、メールの中のリンクを使わない点で共通しています。普段利用している公式アプリや確認済みのブックマークからアクセスし、案内の有無を確かめてください。検索を使う場合も、表示されたリンクをそのまま信用せず、公式ドメインを確認してください。偽サイトでIDとパスワードを入力してしまったら、@niftyはウイルスチェックのうえ速やかにパスワードを変更するよう、BIGLOBEも至急BIGLOBEパスワードを変えるよう案内しています。カード番号や暗証番号まで入力したなら、すぐにカード会社・銀行へ連絡してください。

メールが送受信できない・認証を求められるときの再設定と復旧手順

「BIGLOBEメールが急に送受信できない」「正しい認証情報が必要ですと表示される」。症状が6月末から7月上旬に始まったなら、各社がパスワードの無効化・リセットを実施した時期と重なります。Webメールにログインできることや、不審な送信済みメールがないことだけでは、送受信できない原因は断定できません。@niftyのWebメールはログインパスワードを使うため、メールパスワードの無効化状況とメールソフトの設定を別々に確認してください。

@nifty：6月26日からのパスワード無効化とIMAP新規接続の制限

ニフティは、期日（6月25日23時59分）までにメールパスワードの変更が確認できなかったアドレスについて、6月26日から順次パスワードを無効化しました。メールアドレスは失われておらず、パスワード再設定ページで新しいメールパスワードを設定すれば再び使えます。

IMAPの扱いは別の問題です。@niftyの第二報の時系列によると、5月29日にメールシステムの急激な負荷上昇を認知してIMAP経由の不正ログインを疑い、6月15日にはIMAP接続でさらに高負荷な状況が起きたため、IMAPの新規接続を制限しました。FAQはメールソフトへの設定をPOPで行うよう案内し、再開見込みは「確定しましたら会員サポートへ記載予定」としています（2026年10月13日時点で再開の記載は無し）。IMAPで新規設定して接続できない場合は、新規接続の制限も原因として考えられます。パスワードや接続設定の誤りも切り分けてください。

BIGLOBE：7月1日〜9日のリセットと電話認証での再設定

ビッグローブは、6月23日以降にパスワードを変更していない会員を対象に、7月1日から9日にかけてBIGLOBEパスワードをリセットしました。再設定するまで、BIGLOBEメールに加えてマイページなど各種サービスにもログインできません。復旧は、パスワード再設定ページで電話認証（登録氏名・生年月日と、登録した電話番号からの発信）を行い、新しいパスワードを設定する流れです。

アドレスそのものの利用に不安がある会員向けに、BIGLOBEは当面の間メールアドレス変更サービスを無料にしています。変更するとWebメールのカレンダー登録内容が削除されるため、先にエクスポートしておきます。

パスワード変更後のルーター設定｜@niftyのPPPoEとIPoE、BIGLOBEの接続パスワード

@niftyで本件の変更対象はメールパスワードです。FAQによると、ルーターに設定する「接続（認証）パスワード」はログインパスワードのことで、本件でログインパスワードの変更は不要です（メールパスワードと同じ文字列にしていた場合は変更が必要）。メールパスワードだけを変えたなら、ルーターはそのままで構いません。ログインパスワードも変えた場合は接続方式で分かれます。

• PPPoE（IPv4）接続：ルーターに設定したパスワードの変更が必要。停電などで一度切れると再接続できなくなる
• @nifty v6サービス（IPoE接続）のみ：変更不要。ホームゲートウェイの「接続先設定（IPv4 PPPoE）」画面がグレーアウトしていればこの状態
• 回線は他社でメールだけ@nifty：接続への影響は無い

BIGLOBEで漏えいしたのはBIGLOBEパスワードで、インターネット接続に使う「接続パスワード」は対象外です。告知は接続パスワードもインターネット接続設定も変更不要とし、接続パスワードを変えると接続が切れる場合があると注意しています。ルーターには触らないでください。

メールソフト側の書き換えと、10月31日以降のBIGLOBE認証方式の終了

再設定後は、パソコンのメールソフトとスマートフォンのメールアプリの両方で旧パスワードを置き換えます。送信（SMTP）側の認証情報が別に保存されていないか、同じアカウントを登録した端末が他に無いかも確認します。Thunderbirdでの症状別の対処はサンダーバードでメールが受信できない時の対処にまとめています。

BIGLOBEメールには、もう1つ別の停止要因があります。旧世代の認証方式「APOP」と「CRAM-MD5」の提供を、2026年10月31日以降に順次終了します。iPhone・iPadの標準メールアプリや、Becky!・Thunderbird・秀丸メールなどでこれらの方式のまま使っている場合が対象で、Outlook、Gmailアプリ、BIGLOBEのWebメールは変更不要とされています。BIGLOBEが示す推奨設定は次のとおりです。

# BIGLOBEメールの推奨設定（BIGLOBEのお知らせ news799 より）
受信（POP）: サーバー名 mail.biglobe.ne.jp ／ ポート 995 ／ 暗号化 SSL/TLS ／ 認証 通常のパスワード（PLAIN/LOGIN）
送信（SMTP）: サーバー名 mail.biglobe.ne.jp ／ ポート 465 ／ 暗号化 SSL/TLS ／ 認証 通常のパスワード（SMTP認証/LOGIN）

10月31日より後に送受信できなくなったなら、パスワードではなく認証方式の設定を疑ってください。

メールボックスを見られた前提で確認することと、パスワードの使い回し解消

受信箱に残る再設定メール・添付の洗い出しとログイン履歴の確認

パスワードを変えても、見られた可能性のある受信箱の中身は戻りません。総務省と個人情報保護委員会は、パスワードを窃取した第三者が約762万人分のメールボックス内の情報を閲覧できる状態だったと認定しています。次の順で受信箱を検索してください。

1. 「パスワード再設定」「認証コード」「ワンタイム」で検索し、再設定メールが届いていたサービスを一覧にする
2. 一覧のうち金融・決済・通販を先にパスワード変更し、多要素認証を有効にする（ここまでは当日中）
3. 「本人確認」「免許証」「マイナンバー」「契約書」で検索し、本人確認書類の添付があれば、その書類を使った口座開設や契約に注意する

各社のログイン履歴は不審な利用を探す手掛かりになりますが、メールへの不正アクセスをすべて確認できるものではありません。BIGLOBEはBIGLOBE IDでログインした日時や場所（日本／海外）を表示する「ログイン履歴」を案内していますが、国内からでも利用環境によって「海外」と判定される場合があるため、日時・端末・サービスを自分の利用と照らし合わせます。@niftyの会員サポートではログインパスワードによるログイン履歴を確認できますが、メールパスワードを用いた不正ログインの詳細は確認できないとFAQに記載されています。

使い回したパスワードの変更順と多要素認証・監視の続け方

メールアドレスとパスワードの組が漏れると、使い回し先へのリスト型攻撃で被害が広がるおそれがあります。個人情報保護委員会の2026年8月19日の公表も、同じ又は類似するパスワードを他のサービスで使い回していないか速やかに確認するよう利用者に求めています。変更は、そのアドレスをIDにしていて被害額が大きいものから進めます。ネット銀行・証券、カードやキャリア決済が紐づく通販、そのアドレスでパスワード再設定できるサービスの順です。使い回し先を思い出せないなら、パスワード管理のベストプラクティスのとおり管理ツールで洗い替えるのが現実的です。

多要素認証は、金融・決済、メール、クラウドストレージ、SNSを優先し、対応する他のサービスにも順次設定してください。方式ごとの強さは多要素認証（MFA）の実装方式で比較しています。Have I Been PwnedやMozilla Monitorは、収録済みの漏えい情報を調べる補助手段です。検索結果がなくても漏えいしていないとは判断せず、本件の対象確認は各社の公式案内で行ってください。Googleのダークウェブレポートは2026年2月16日に終了しているため、終了後に使える流出チェックの手順で代替手段に切り替えてください。偽の「本人確認のお願い」は10月に入っても公式の実例に追加されています。各サービスの不審なログイン通知を有効にし、身に覚えのない請求や再設定メールが無いかを当面は見続けてください（個々の偽メールが本件で漏えいした情報を使って送られたかは、公式の掲載からは分かりません）。

確定した漏えい人数と事業者別の内訳、平文保存を認定した行政の判断

確定値12,231,954名とパスワード7,616,173名｜初報「最大1,422万件」との違い

6月23日の初報の「最大1,422万件」は可能性の上限でした。7月6日の続報で、事実として確認された漏えいはメールアドレス12,233,087名とされ、7月21日に12,231,954名へ訂正されました。パスワードは7,616,173名のまま変わっていません。メールアドレスが漏れた人の約62%はパスワードも漏れています。

auメール、UQ mobileメール、au one netメールは別の設備で構築されており、KDDIは本件による影響・漏えいは無いと明記しています。

メール基盤を利用する事業者別の漏えい件数とパスワード漏えいの有無

パスワードが漏れたかは事業者とサービスで分かれます。各社の公表値にJCOMの7月21日の訂正とCPIの8月24日の最終報告を反映すると、次のとおりです。パスワード漏えい人数はメールアドレス漏えい人数の内数で、CPIはハッシュ値の漏えいを区別して記載しています。

JCOMは7月21日、ケーブルテレビ事業者向けメールの対象人数を119,885名から118,752名へ訂正しました。この訂正を反映した表の合計は12,231,954名で、KDDIの訂正後の総数と一致します。CPIはビジネス スタンダードとKWCメールでパスワードのハッシュ値も漏えいしたと説明しています。平文のパスワードそのものは漏えいしていないとしています。J:COM NETはメールアドレスのみですが、JCOMでもケーブルテレビ事業者向けメールでは1,257名分のパスワードが漏れています。社名ではなく、使っているメールサービスで判断してください。

平文保存の認定と、5月16日の侵害開始から報告期限までの経緯

初報は「パスワードには、ハッシュ化・暗号化されたものも含みます」と説明していました。個人情報保護委員会の8月19日の公表は、761万6,173人のパスワードが平文のまま保存され、認証情報を窃取した第三者がメールボックス内の情報を閲覧できる事態になっていたと認定しています。平文保存は「一部のプロバイダ側の事情に起因する」とされ、委員会はKDDIに加えて当該プロバイダも指導しました（社名は非公表）。総務省も7月29日の指導文書で、約762万人のメールボックス内の情報が閲覧可能となった事態を電気通信事業法第4条第1項の通信の秘密の漏えいと認めています。

総務省の指導文書は、最初に覚知したプロバイダ1社からKDDIが第一報を受けてから公表まで22日を要したことを「迅速な対応とは言い難い」と指摘し、7月29日の行政指導で8月31日までの報告と、その後少なくとも1年間の四半期ごとの報告を求めました。個人情報保護委員会は第147条に基づく指導と、第146条第1項に基づく10月19日までの報告を求めています。

メール基盤の再発防止策｜ゼロデイ対策・パスワード保存・委託先管理

ゼロデイと多層防御｜個人情報保護委員会が10月7日に示した技術的安全管理措置の見直し案

悪用されたのは、KDDIがシステムの一部として導入していた第三者製ソフトウェアの脆弱性で、6月17日時点ではベンダー自身も認識していないゼロデイでした。KDDIによると、ベンダーは公的機関への届け出を行い情報公開に向けて取り組んでいますが、製品名やCVE番号は2026年10月13日時点で公表されていません。個人情報保護委員会は、侵入後の横展開を防ぐ多層的な対策が不十分だったとして技術的安全管理措置の不備を認定しました。KDDIは6月21日に外部通信を制御する全サーバーへEDRを導入し、今後はISP事業者とともにセキュリティ強度の高い通信規格への移行を進めるとしています。

個人情報保護委員会は2026年10月7日、大規模な漏えい等事案を踏まえた注意喚起を出し、ガイドライン（通則編）別添の技術的安全管理措置について、2027年4月に確定予定の見直し内容を先取りで示しました。見直し後の「講じなければならない措置」は5項目で、その1つが「不正アクセス等の検知等」です。不正アクセス等が起きた場合に早期に検知する措置を平時から講じ、組織内ネットワークでの被害拡大を防げるよう運用することを求めています。手法の例示には、組織外ネットワークからのアクセスや管理者権限でのアクセスに、フィッシングに耐性のあるものを含む多要素認証を導入することも挙がっています。本件を名指しした文書ではありませんが、ゼロデイを前提に「侵入された後」を設計する方向は今回の認定と一致します。

パスワードを平文で保存しない実装｜Argon2idでのハッシュ化の例

パスワードを平文で保存すると、保存先から情報を窃取された際に、取得されたパスワードをそのまま悪用されるおそれがあります。保存時は利用者ごとのソルト付きで計算コストの高いハッシュにし、ログイン時は照合だけを行います。Pythonならargon2-cffiで数行です。ハッシュとソルトの仕組みはハッシュ化とは？暗号化との違いとパスワード保管・改ざん検知の仕組みを解説で扱っています。

# pip install argon2-cffi
from argon2 import PasswordHasher
from argon2.exceptions import VerifyMismatchError

ph = PasswordHasher()  # 既定値は Argon2id。ソルトは利用者ごとに自動生成される

# 登録・変更時: 平文ではなくハッシュ文字列だけを保存する
stored = ph.hash("利用者が入力したパスワード")

# ログイン時: 照合だけを行う（不一致なら例外）
def login(stored_hash, input_password):
    try:
        ph.verify(stored_hash, input_password)
    except VerifyMismatchError:
        return False
    # パラメータを強化した後の再ハッシュ例（DBへの保存処理は省略）
    if ph.check_needs_rehash(stored_hash):
        new_hash = ph.hash(input_password)  # これをDBへ書き戻す
    return True

APOPやCRAM-MD5のように、サーバー側が元のパスワード（または同等の値）を持たないと照合できない古い認証方式が残っていると、この形にできない場合があります（本件の平文保存がこの理由かは非公表）。残すなら範囲を棚卸しし、移行計画とセットで管理してください。

共有メール基盤の委託先に確認する項目と、事故後に利用者を守る準備

被害が1,223万人分に達したのは、1つのメール基盤を6社が共有していたからです。認証情報を自社の管理外に預ける構造はSaaSや外部委託の全域にあり、サプライチェーン攻撃の起点別3類型の委託先起点の型にあたります。委託先には、認証情報の保存方式（平文保存の有無、ハッシュのアルゴリズム）、侵害の検知から委託元への連絡までの時間、第三者製ソフトウェアの構成管理の3点から確認します。本件では平文保存の原因が委託元側（一部のプロバイダ）の事情とされた点も見逃せません。委託元が出す要件が安全性を下げていないかも点検対象です。外部の目で棚卸しするなら脆弱性診断・セキュリティ診断で、認証情報の保存方式や公開範囲を診断対象に含められるか、事前に相談してください。

事故後に利用者を守る準備も必要です。正規の通知に必ず付く目印（Webメールの公式マーク）、URLを載せず公式サイトへ誘導する通知文、自社ドメインのDMARCをrejectまで強める設定。通知文や確認手段は平時から準備し、事故後も改善を続けてください。DMARCの段階的な強化はフィッシング対策ガイドライン2026年度版の解説で扱っています。

よくある質問

BIGLOBEから「【重要】システムアップグレードに伴う本人確認のお願い」が届きました。本物ですか？

偽メールです。BIGLOBEは公式ページ「BIGLOBEを詐称したフィッシング詐欺の実例」にこの件名を掲載し、@niftyも自社をかたるメールの例として7月8日に掲載しています。BIGLOBEは会員登録の継続などを理由にログイン情報を問い合わせるメールは送らないと明記しています。リンクは開かずに削除してください。

0120-985-275は本物の窓口ですか？

@niftyの特設ダイヤル（10時〜18時・毎日）として、第一報・第二報とFAQに掲載されている正規の番号です。BIGLOBEの特設窓口は0120-69-6068です。ただし、その番号を名乗ってかかってきた電話が本物かは別の問題です。不審なら一度切り、公式ページの番号へ自分からかけ直してください。

niftyのログインパスワードを変更しましたが、ルーターはそのままで大丈夫ですか？

接続方式によります。PPPoE（IPv4）接続なら、ルーターに設定したパスワードも新しいログインパスワードに変える必要があります。@nifty v6サービス（IPoE接続）のみの場合や、@niftyの回線契約が無い場合は変更不要です。本件で変更が必要なのはメールパスワードで、メールパスワードだけを変えたならルーターはそのままで構いません。

BIGLOBEの情報漏えいで補償はありますか？

2026年10月13日時点で、BIGLOBEの告知に金銭的な補償の記載はありません。案内されているのは、パスワード再設定、ログイン履歴の確認、当面の間無料にしたメールアドレス変更サービス、特設窓口0120-69-6068です。

自分が漏えいの対象かどうかは、どうやって確認できますか？

@niftyは第一報のお知らせにある「対象メールアドレス確認ページ」で判定でき、対象者には6月23日から24日にメールで案内しています。BIGLOBEは、漏えいした可能性があるのはBIGLOBEメールアドレスだとしています。auメールやUQ mobileメールは別設備のため対象外です。どちらも、届いたメールのリンクではなく、ブラウザで公式サイトを開いて確かめてください。

関連記事

• ユニバーサルミュージック個人情報流出（310万件）｜対象確認・今すべき対処と詐欺の見分け方
• ニフティ不正アクセス：@nifty光の申込情報 最大1万8千件の対象確認と不審な連絡の見分け方
• 村田製作所の情報漏洩｜約8.8万件に取得のおそれ・2026年不正アクセスの原因と時系列
• マイナビ個人情報漏洩の一覧（2020〜2026年の7件）：11万件の対象確認・登録は危険か・偽連絡の見分け方
• 駿河屋は安全？クレカ決済は停止中・再開未定｜2026年10月時点の現在地と対処
• Googleのダークウェブレポートは終了済み｜代わりの個人情報流出チェック方法
• ハイホー不正ログイン：3万8,509件の対象確認と電話勧誘への対処