- 最初にやること：対象6社（@nifty・BIGLOBE・J:COM・コミュファ光・ピカラ・CPI）のいずれかを使っていたら、今すぐメールパスワードを変更する。解約済みアカウントも対象。
- 二次被害を防ぐ：同じパスワードを使い回している他サービス（SNS・銀行・ショッピング等）も全て変更する。これが最重要。
- 不信感が拭えないなら：KDDI系サービスからの乗り換えを検討。モバリズム編集部調査では回答者の71%が「乗り換えを検討している」と回答。
- 乗り換え先の基準：情報漏洩実績の少ない楽天モバイル・LINEMO・ahamoが有力候補。主回線と異なる回線を選ぶこと（同回線はNG）。
- 追加のセキュリティ対策：パスワードマネージャーの導入、二段階認証の設定、フィッシングメールへの警戒を忘れずに。
今回の事件の全容―何が起きたのか
2026年6月23日、KDDIはISP事業者向けに提供するメールシステムが不正アクセスを受け、最大1,422万件のメールアドレス・パスワードが外部に漏洩した可能性があると発表しました。
2026年6月17日。発表まで6日間の空白があった点も批判を集めている。
1,422万件のメールアドレス＆パスワード。解約済み・休眠アカウントも含む。
第三者製ソフトウェアの脆弱性を悪用したサイバー攻撃（サプライチェーン型）。
システムは改修済み・防御措置実施済み。個人情報保護委員会・総務省へ報告中。
KDDIはメールボックスへのログインが可能な状態になっていた可能性を示唆しています。つまり、メール本文の不正閲覧や送信機能の悪用リスクもある状態です。「可能性」とはいえ、早急なパスワード変更は必須対応です。
KDDIは2026年7月6日、総務省への報告書提出とあわせて、メールアドレス1,223万3,087人分、パスワード761万6,173人分（メールアドレスの内数）の漏洩を確認したと発表しました。6月23日時点では「最大1,422万件の可能性」という上限値での発表でしたが、今回はあくまで調査の結果「事実」として確認できた件数です。あわせて、悪用された脆弱性は確認当時ソフトウェアベンダー自身も把握していないゼロデイだったこと、一部ISPでは5月16日の時点で既に不正アクセスが始まっていたことも判明しています。現時点で二次被害の発生は確認されていないとしていますが、調査自体はまだ完全には終了しておらず、確認件数は今後さらに更新される可能性があります。ISP各社は対象アカウントのパスワード強制リセットを順次進めており、まだパスワードを変更していない方は最優先で対応してください。
なぜこれほど大規模になったのか：「単一障害点」問題
今回の事件の本質は、KDDIが複数のISP事業者に「共通の裏側インフラ」としてメールシステムを提供していたことにあります。ニフティやBIGLOBEを使っている利用者の大半は、自分のメールがKDDIの基盤で動いていたとは知らなかったはずです。
1つの共通基盤が突破されただけで、ブランドの異なる6社のサービスが同時に巻き込まれる。これが「サプライチェーン型攻撃」の恐ろしさです。個々のサービスのセキュリティが高くても、土台となるインフラが破られれば全て崩れ落ちるのです。
KDDI本体が運営するauやUQモバイル、povo2.0のメールサービスは別基盤で管理されており、今回の不正アクセスの影響を受けていません。ただし「KDDIだから安心」という過信は危険です。
対象サービスと確認方法―自分は被害者か？
以下の6社のメールサービスを現在または過去に利用していた場合、情報漏洩の対象に含まれる可能性があります。
| ISP事業者 | 対象メールサービス | 対応期限 |
|---|---|---|
| ニフティ株式会社 | @niftyメール（@nifty.com） | 2026年6月25日23:59まで （期限後はパスワード無効化） |
| ビッグローブ株式会社 | BIGLOBEメール | 各社公式サイトで確認 |
| JCOM株式会社 | J:COM NETメール | 各社公式サイトで確認 |
| 中部テレコミュニケーション | コミュファ光・ビジネスコミュファのメール | 各社公式サイトで確認 |
| STNet | ピカラ光・ピカラモバイル・お仕事ピカラのメール | 各社公式サイトで確認 |
| KDDIウェブコミュニケーションズ | レンタルサーバー「CPI」のメールサービス | 各社公式サイトで確認 |
「昔使っていたけど今は使っていない」アカウントも対象に含まれると公式が明記しています。過去に上記サービスを使っていた方も確認が必要です。メールアドレスのドメインが @nifty.com / @biglobe.ne.jp / @jcom.home.ne.jp 等の方は要注意。
【編集部独自調査】ユーザーの声と怒りの実態
KDDIの情報漏洩発表直後（2026年6月23〜24日）、モバリズム編集部では国内在住でKDDI系サービス（au・BIGLOBE・@nifty・J:COM等）を利用したことがある方を対象に、SNSや各種レビューサイトに寄せられた声を独自に収集・分析しました。
投稿を収集・集計した結果、最も多かった声は「怒り・不信感」（38%）、次いで「不安・心配」（27%）、「乗り換えを検討」（21%）という順でした。
特に多かった声（投稿から抜粋・要約）
6日間も何も知らせずにいたのが一番腹立つ。システム改修した当日に連絡すべきでしょ。自分たちの管理不足なのに謝罪も薄い。
発表遅延に怒り説明責任を問う声メールパスワード変更の締め切りが6月25日ってどういうこと？こちらは被害者なのに、対応を急かされる理不尽さが信じられない。
期限設定への不満被害者への対応KDDIって2006年にも同様の情報漏洩やらかしてるじゃないですか。学習能力ゼロ。さすがに今回は乗り換えます。
過去の漏洩も想起乗り換え決意解約して何年も経つアカウントも対象って聞いて、今更かよと思った。古いパスワードを他でも使ってたから全部変えないといけない。面倒くさい。
休眠アカウントへの驚きパスワード使い回し問題今回収集したユーザーの声を読んで、最も多く感じた感情は「怒り」ではなく「裏切られた感覚」でした。インターネット接続事業者・携帯キャリアというのは、ユーザーが毎月お金を払って「個人情報を預けている」関係です。その信頼を破られたことへの怒りは当然です。
特に問題だと感じたのは、不正アクセス確認日（6月17日）から発表日（6月23日）まで6日間の空白があった点です。この間、ユーザーは何も知らないまま同じパスワードを使い続けていた可能性があります。発覚即日の公表ができなかった理由について、KDDIはより丁寧な説明を行う責任があると考えます。
また、「第三者製ソフトウェアの脆弱性」という説明は正直なものかもしれませんが、「自社では管理できなかった」という言い訳にもなり得ます。インフラ提供者として採用したソフトウェアの安全性は責任の範囲内です。今後の再発防止策の詳細な公表を強く求めます。
情報漏洩で起こりうる具体的なリスク
「メールアドレスとパスワードが漏れた」と聞いても、何が起こるのか実感しにくいかもしれません。具体的なリスクを理解することが、適切な対策につながります。
盗んだメールアドレス＋パスワードを他のサービスに自動で試す攻撃。パスワードの使い回しがある場合、銀行・SNS・ECサイトが芋づる式に乗っ取られる。最も実害が多いリスク。
メールボックスへのアクセスが可能な状態だった可能性がある。個人情報・通販の注文確認・パスワードリセットメール等が読まれる危険がある。
メールアドレスを入手した攻撃者が「KDDIからのお知らせ」を装う偽メールを送信。偽サイトに誘導してパスワードやクレジットカード情報を盗み取る。漏洩直後に急増する傾向がある。
乗っ取ったメールアカウントを使って大量スパムメールを送信される。気づかぬうちに自分のアドレスが迷惑メールの発信元になるケースがある。
多くのサービスの「パスワードリセット」はメールアドレスに確認リンクを送る仕組み。メールを読まれている場合、他サービスのパスワードを乗っ取られる可能性がある。
本物のメールアカウントで連絡先に「振込先の変更」等を依頼するビジネスメール詐欺（BEC）。企業・個人問わず金銭的被害に直結する。
メール・銀行・クレジットカード・SNS・ECサイトなど複数で同じパスワードを使い回している方は、今回の漏洩がきっかけでそれら全てのサービスへの不正アクセスが試みられます。実際、過去の大規模漏洩事件でも「パスワード使い回し」が被害拡大の最大要因となっています。
通信会社の情報漏洩史―繰り返される悲劇
KDDIを含む通信会社の情報漏洩は、今回が初めてではありません。過去の主要事例を振り返ります。
ブロードバンドサービスの顧客情報が流出。犯人は情報を盾にソフトバンクを恐喝しようとして逮捕された。当時の国内最大規模。
約472万件KDDIの業務委託先社員がDIONの顧客情報を持ち出し流出。総務省から行政指導を受けた。今回の事件と同様、ISPを通じた顧客情報の流出という構造も酷似している。
約400万件子会社に勤務していた元派遣社員が顧客情報を不正に持ち出した。社長が引責辞任。内部不正による漏洩の典型例。
約900万件法人向けメールセキュリティサービスがサイバー攻撃を受け、Active! mailのゼロデイ脆弱性（CVE-2025-42599）が悪用された。今回のKDDI事件と同様のサプライチェーン型攻撃。総務省から行政指導。
約407万件KDDIがISP向けに提供するメールシステムが不正アクセス。@nifty・BIGLOBE・J:COMなど6社に影響。発覚から発表まで6日間の空白が批判を集めている。
最大1,422万件今すぐやること：パスワード変更の手順
対象サービスに心当たりがある方は、以下の手順を今日中に実行してください。
@nifty・BIGLOBE・J:COM・コミュファ光・ピカラ・CPIのいずれかを現在または過去に使っていたか確認。解約済みアカウントも対象です。メールアドレスのドメインで判断できます（@nifty.com / @biglobe.ne.jp / @jcom.home.ne.jp 等）。
必ず各社の正規公式サイトからログインして変更してください。検索エンジンからアクセスする際は、URLが正規のドメインであることを確認。メールやSNSのリンクから飛ぶのは危険です（フィッシング対策）。ニフティは2026年6月25日23:59が期限です（期限後はパスワード無効化）。
今回漏洩したパスワードと同じものを他のサービスで使っている場合は、そちらも全て変更が必要です。銀行・クレジットカード・SNS・Amazonなどのショッピングサイト・その他のメール・サブスクサービスなど、特に重要なサービスから優先的に変更してください。
「KDDIからのお知らせ」「ニフティより緊急のご連絡」等を装ったフィッシングメールが増加します。リンクを踏まず、公式サイトに直接アクセスするようにしてください。不審なメールは削除し、添付ファイルは絶対に開かないことが大切です。
パスワード変更後は、主要なサービスで二段階認証（2FA）を設定しましょう。パスワードが漏れていても、二段階認証があれば不正ログインを大幅に防げます。Google Authenticator等の認証アプリが特におすすめです。
@nifty・BIGLOBE・J:COM等のメールアドレスを、他のWebサービス（ネットバンキング、ECサイト、SNS、サブスク等）のログインIDやパスワード再設定用の連絡先として登録している場合は、改めて注意が必要です。可能であれば、それらのサービスの登録メールアドレスをGmailやiCloudメールなど今回の対象外のアドレスに変更するか、変更が難しい場合は最低限そのサービスのログインパスワードだけでも新しいものに変更しておきましょう。「メールが読まれる＝紐づく他サービスも乗っ取られる」経路を断つことが二次被害防止の鍵です。
ニフティ（@nifty）は2026年6月25日23:59までにパスワード変更をするよう要請しており、期限後は順次パスワードを無効化すると告知しています。他社より期限が早いため、@niftyをお使いの方は最優先で対応してください。
ネットバンキング・クレジットカード・ECサイト・SNSなど、対象メールアドレスを連絡先やログインIDとして登録しているサービスがある場合は、①登録メールアドレスを別のアドレスに変更する、②それが難しい場合は該当サービスのパスワードを変更する、のいずれかを改めて強く推奨します。メールボックス自体が第三者に閲覧されていた可能性がある以上、パスワード再設定メールを横取りされるリスクが常につきまといます。
信頼できる光回線の乗り換え先3選＋比較
パスワード変更だけで不安が拭えない方、もしくはKDDI系サービスから光回線ごと離れたい方のために、実績のある光回線の選択肢を紹介します。スマホ（SIM）の乗り換えと組み合わせて、通信費全体を見直しましょう。
①キャッシュバック＋電気・ガスもまとめてお得にしたいなら「とくとくBB光」（全国対応）、②速度最優先なら「NURO光」（一部エリア）、③関西在住でmineoも使うなら「eo光」。3社ともに他社違約金補填（最大60,000円）のキャンペーンあり。
① GMOとくとくBB光 ― 電気・ガスもまとめてお得！最大127,000円キャッシュバック・全国対応
とく
とくBB
画像出典：GMOとくとくBB光公式
- ①全員対象：特設サイトからのお申込みでもれなく5,000円キャッシュバック
- ②他社解約違約金補助：他社インターネットの解約時に発生する違約金・工事費残債を最大60,000円まで負担
- ③10ギガプラン特典：10ギガプランでのお申込みでさらに20,000円キャッシュバック増額
- ④オプション同時申込特典（最大42,000円）：ひかりテレビ・電話オプション加入で最大23,000円／インターネット安心セキュリティ＋スマホトラブルサポート＋の同時加入で4,000円／とくとくBBでんき・ガスの加入で最大15,000円
- ④のオプション4,000円特典は、最大3ヶ月の無料お試し期間内に解約しても、1ヶ月以上利用すれば適用対象（お試し感覚での加入でOK）
とくとくBBでんき・ガスは地域の電力会社・ガス会社と同じくらいの料金水準で利用でき、まとめてもコストが跳ね上がらない。窓口が1つになり、引っ越しや契約管理の手間も減らせる。
解約金なし・NTT光コラボで全国どこでも申し込み可能。引っ越しが多い人にも安心。
GMOとくとくBB光の申し込み後にmineoを申し込むと、最大6ヶ月10GBのパケット増量特典あり。
キャッシュバックは案内メールへの返信や口座登録など、所定の手続きが受取の条件となります。案内が届くメールアドレスを見落とさないよう、契約時に必ず条件・時期を公式サイトで確認してください。
この特典の魅力は金額だけでなく「ネット・電気・ガスを1社にまとめられる」点にあります。とくとくBBでんき・ガスは地域の電力会社・ガス会社と同水準の料金で使えるため、まとめても割高になりにくく、支払い・問い合わせ窓口を一本化できるのは家計管理の面でも便利です。加えて他社違約金補助（最大60,000円）と全員対象5,000円CBを組み合わせれば、J:COMやBIGLOBEからの乗り換えコストを大きく相殺できます。縛りなしで全国対応なのも安心感があります。
② NURO光 ― 下り最大10Gbpsの爆速・速度最強派向け
光
画像出典：NURO光公式
独自G-PON方式で下り最大2Gbps。実測でも1Gbps超えが当たり前。テレワーク・4K動画に最適。
ソフトバンク・ワイモバイルのスマホと「おうち割光セット」を適用するとスマホ代も毎月割引。
関東・東海・関西・一部の道県に限定。申し込み前に必ず公式でエリア確認を。
速度で選ぶなら迷わずNURO光です。G-PON独自回線による下り最大2Gbpsは実測でも普通に出る水準で、在宅勤務・ゲーム・4K動画が重なる家庭でも余裕があります。ソフトバンク・ワイモバイルのスマホをお使いの方は「おうち割光セット」でスマホ代も安くなります。エリア外の方はとくとくBB光を選んでください。
③ eo光 ― 関西限定・mineoとセット割で月330円永年割引
光
画像出典：eo光公式
eo光もmineoも関電グループ（OPTAGE）運営。mineoとのセット割が使えるのは光回線の中でeo光のみ。月330円の永年割引は年間3,960円の節約。
関電グループ独自の光回線を使用。混雑しにくく速度・安定性ともに高評価で、関西満足度ランキング数年連続No.1。
提供エリアは近畿2府5県と福井県のみ。それ以外の地域の方はとくとくBB光またはNURO光を選んでください。
関西在住でmineoを使っている、またはこれから使う予定がある方にとって、eo光は最も自然な選択肢です。同じ関西電力グループが運営しているため、mineoとのセット割が使えるのはeo光のみという唯一無二の強み。KDDIやJ:COMのインフラから、関電グループの独自回線へ移行することでインフラリスクも分散できます。
| 比較項目 | とくとくBB光 | NURO光 | eo光 |
|---|---|---|---|
| 提供エリア | 全国 | 一部エリア | 関西・福井限定 |
| 使用回線 | NTT光コラボ | G-PON独自回線 | 関電グループ独自回線 |
| 最大速度（下り） | 1Gbps / 10Gbps | 2Gbps / 10Gbps | 1Gbps / 5Gbps / 10Gbps |
| 月額料金（1ギガ・戸建） | 4,928円〜 | 5,500円 | 5,280円〜 |
| 最大キャッシュバック | 最大127,000円（電気・ガスもまとめてお得） | 最大75,000円 | 最大40,000円+セット割 |
| 違約金補填 | 最大60,000円 | 最大60,000円 | あり |
| 契約縛り | なし | 一部プランなし | 2年（解約金あり） |
| mineoセット割 | なし（コラボCBあり） | なし | 月330円永年割引 |
④ 乗り換え先3社のメール・パスワードのセキュリティ状況は？
「乗り換えたら本当に安全なのか」も気になるポイントです。3社ともKDDIとは別会社・別インフラですが、いずれも過去に何らかのセキュリティ関連のインシデントを起こしています。「情報漏洩ゼロ」の会社は存在しないという前提で、各社の状況と対策を整理しました。
| サービス | GMOとくとくBB光 | NURO光（So-net） | eo光（OPTAGE） |
|---|---|---|---|
| 運営元 | GMOインターネットグループ | ソニーネットワークコミュニケーションズ | 株式会社オプテージ（関西電力グループ） |
| 過去の主なインシデント | 大規模な顧客情報漏洩の公表事例は確認されていない | 2023年10月、業務委託先経由で「So-net 光」利用者情報が不正流出 | 2018年8月、会員ID「eoID」へのパスワードリスト攻撃で約6,458件が不正ログイン被害 |
| 原因の傾向 | ー | 委託先の管理不備（自社基盤への直接攻撃ではない） | 他社流出リストを使った使い回しパスワードの悪用（自社データ流出ではないと説明） |
| 2段階認証 | SMS認証に対応 | 専用アプリでのログイン通知等（メールログイン自体への2FAは限定的） | 標準搭載なし（ID・PWのみ） |
| 無料セキュリティ対策 | マカフィー「インターネット安心セキュリティ」を最大12ヶ月無料提供 | カスペルスキー セキュリティを無料提供 | ログイン履歴の確認機能あり |
現時点で大規模な顧客情報流出は確認されていませんが、無関係というわけではなく「今のところ公表事例がない」状態です。SMSによる二段階認証やマカフィーのセキュリティソフトが無料で使えるため、契約後は早めに設定しておくと安心です。
2023年10月、業務委託先の管理不備を原因とする顧客情報の不正流出が公表されています（クレジットカード情報等の決済情報は含まれず）。So-netやNUROを装ったフィッシングメールも過去に確認されており、届いたメールのリンクを不用意に踏まないことが引き続き重要です。
2018年8月、会員共通ID「eoID」に対する不正ログイン（パスワードリスト攻撃）が発生し、約6,458件で住所・氏名・電話番号・メールアドレス等が閲覧された可能性があると公表されました。オプテージ側は「自社データの流出ではなく、他社サービスから流出したID・パスワードの使い回しが原因」と説明していますが、eoID自体には二段階認証が標準搭載されていない点は留意が必要です。ログイン履歴の確認機能を使い、身に覚えのないログインがないか定期的にチェックすることをおすすめします。
今後のセキュリティ対策まとめ
今回の漏洩をきっかけに、デジタルライフ全体のセキュリティを見直しましょう。今すぐできる対策から始めることが大切です。
1Passwordや Bitwarden等のパスワードマネージャーを使い、サービスごとに異なる長い乱数パスワードを設定。使い回しを根絶できる最強の対策。
Google Authenticator・Authy等の認証アプリを使い、主要サービスに二段階認証を設定。パスワードが漏れていても不正ログインを防ぐ。
GmailやiCloudメールはGoogle・Appleのセキュリティ基盤で動いており、ISP系メールより攻撃リスクが低い。メールアドレスをこれらに集約することを検討。
haveibeenpwned.com でメールアドレスを検索すると、過去の漏洩事件に含まれているか確認できる。英語サイトだが使い方は簡単。
公式を装ったメールのリンクは踏まない。URLを確認し、公式サイトには直接アクセスする習慣を。不審なメールは迷惑メール報告して削除。
重要サービス（銀行・クレカ・SNS）は半年〜1年に一度パスワードを変更する習慣を。カレンダーにリマインダーを設定しておくと忘れない。
①haveibeenpwned.comで自分のメールアドレスを検索する ②主要サービスに二段階認証を設定する（Gmail・楽天・Amazon・銀行等） ③パスワードマネージャーの無料版（Bitwarden等）を試す。この3つだけで、セキュリティレベルが劇的に向上します。
よくある質問（FAQ）
まとめ・今すぐやること
- 【即日対応必須】@nifty・BIGLOBE・J:COM・コミュファ光・ピカラ・CPIのいずれかのメールアドレスをお持ちの方は、今すぐ各社公式サイトからパスワードを変更する。
- 【最重要・二次被害防止】同じパスワードを他のサービスでも使っている方は、全て変更する。銀行・クレカ・SNS・ECサイトを優先。
- 【ニフティは特に急いで】@niftyユーザーは2026年6月25日23:59が期限（期限後はパスワード無効化）。
- 【フィッシングに注意】「KDDIからのお知らせ」を装うメールのリンクは踏まない。公式サイトには直接アクセスする。
- 【不信感があれば乗り換え検討】光回線はGMOとくとくBB光（全国・電気ガスもまとめてお得）、NURO光（速度重視）、eo光（関西・mineoセット割）が有力候補。
- 【追加セキュリティ対策】二段階認証の設定、パスワードマネージャーの導入、GmailやiCloudへのメール移行を検討。
今すぐ行動しよう。
情報を守るのは自分自身だ。
漏洩した情報は取り戻せません。でも、これ以上の被害は防げます。
下記3ステップで、今日から守りを固めましょう。
コメント