KDDI、不正アクセスでメールアドレス1,223万名とパスワード761万名漏洩

　KDDIは7月6日、6月23日に公表したインターネットサービスプロバイダー(ISP)向けメールシステムへの不正アクセスについて、漏洩したメールアドレスおよびパスワードの詳細な件数を発表した。これによれば、漏洩したメールアドレスの対象人数は1,223万3,087名、パスワードの対象人数は761万6,173名だった。

　KDDIは6月23日、ISP向けメールシステムの一部として導入していた第三者製のソフトウェアの脆弱性を悪用され、不正アクセスを受けたことを報告。不正アクセスは5月16日から行なわれ、6月17日に確認された。同日に、被害拡大防止のためにシステムを改修し、脆弱性へ対処した。さらに6月23日に第三者機関によるフォレンジック調査を行ない、脆弱性以外の不審な痕跡が存在しないことを確認した。

　なお、この時点ではソフトウェアベンダーがこの脆弱性を認識していなかったという。そのため、ソフトウェアベンダーはこの脆弱性について公的機関へ届け出を行ない、情報公開に向けた取り組みを進めている。

　不正アクセスを確認した後、KDDIはISP事業者とすぐさま連携し、対象ユーザーの電子メールアカウントのパスワード変更対応を進めている。また、メールサービスをあまり利用していないユーザーも含め、安全確保に向けてISP事業者によるパスワードの強制変更を一両日中の完了を目途に進めている。加えて、KDDIはISP事業者のユーザー対応支援も行なう。

　今後は継続的な対策として、本ソフトウェアの設計書およびプログラムの分析をAIなども活用しながら行ない、潜在的な問題を網羅的にチェック。その分析結果をもとに不具合や欠陥が存在しないかを細部まで確認する。さらに抜本的な取り組みとして、ISP事業者とともに、よりセキュリティ強度の高い通信規格への移行を早期に進めるなど、業界全体の安全性向上に貢献していくとした。