2026年6月23日、KDDIがメールシステムへの不正アクセスで、最大1,422万件のメールアドレス・パスワードが漏えいした可能性があると発表しました。「1,422万件」「KDDI」という言葉のインパクトでニュースは大きく報じられていますが、「で、結局わたしは何をすればいいの？」という肝心な部分が、意外と整理されていません。
この記事は、煽りも油断もなしで、一般のメール利用者が「自分に関係あるのか」「今日何をすべきか」を3分で判断できるようにまとめたものです。ネットワークエンジニア（以下、NE）として、リスクの本質も噛み砕いて解説します。
結論：まず、これだけやってください
細かい話は後回しでかまいません。やることは次の3つだけです。
- 下の6社のメールを「今、または過去に」使ったことがあるか思い出す
- 使ったことがあるなら、そのメールのパスワードを変更する
- そのパスワードを他サービス（銀行・Amazon・楽天・SNSなど）で使い回していたら、そちらも全部変更する
該当しなければ、この件であなたが慌ててやることは基本的にありません。該当する場合だけ、続きを読んでください。
【@niftyメールの人は急ぎ】 ニフティは6月25日23:59までにパスワードを変更するよう求めており、期限後は安全確保のためメールパスワードを順次無効化するとしています。@niftyメールを使っている人は、今日・明日中に対応してください。
まず落ち着く：「auメール」は今回の対象ではありません
最初にいちばん大事な切り分けです。au・UQ mobileのキャリアメール（@au.com／@ezweb.ne.jp／@uqmobile.jp）は、今回の漏えいとは無関係です。KDDIの広報は報道機関の取材に対し、「auメールなどKDDI自社のメールサービスは別システムのため影響はない」と明言しています。あわせて「現時点で実被害の報告は受けていない」とも説明しています。
「KDDI」と大きく報じられるので、auユーザーが「自分のスマホのメールが危ない」と不安になりがちですが、そこは切り分けてください。今回流出した可能性があるのは、KDDIが裏側の基盤として他社（ISP）に提供していたメールシステムです。つまりKDDIは「メールの黒子（インフラ提供者）」で、利用者から見える看板は各ISPのブランドになります。
対象は、KDDIが公式に挙げている次の6社のメールサービスです。
| 看板（あなたが使っている名前） | 提供元 |
|---|---|
| @niftyメール | ニフティ |
| BIGLOBEメール | ビッグローブ |
| J:COM NET のメール／J:COM経由のCATV局のメール | JCOM |
| コミュファ光／ビジネスコミュファのメール | 中部テレコミュニケーション |
| ピカラ光／ピカラモバイル／お仕事ピカラのメール | STNet |
| レンタルサーバー「CPI」のメール | KDDIウェブコミュニケーションズ |
注意したいのが、JCOMの行です。 対象には「J:COM NET」だけでなく、JCOMの基盤を使う地方のケーブルテレビ局向けメールも含まれます。地元CATVのメールを使っている人は、「この表にうちの局名が無いから無関係」と早合点しないでください。自分のメールがどの基盤で動いているか分からない場合は、契約しているプロバイダー（提供元）の公式サイトで告知を確認するのが確実です。
なお、BIGLOBEは利用者に対し、メールのパスワードに加えてBIGLOBE IDのパスワード変更も呼びかけています。該当する人は両方の変更を検討してください。
ここまでの経緯（なぜ今ごろ？ もう対策済み？）
「発表は23日なのに、なぜ？」と思った人向けに、時系列を整理します。KDDIが不正アクセスを確認したのは6月17日。同社は同日のうちにシステムを改修し、被疑箇所を特定して技術的な防御措置を実施したと説明しています。つまり侵入の入口は塞いだうえで、6月23日に公表したという流れです。
ただし、ここで安心しきれない点が2つあります。1つは、攻撃が実際にいつ始まり、どれだけのデータが抜かれたかは「調査中」で、まだ確定していないこと。もう1つは、入口を塞いでもすでに流出した可能性のあるパスワードは無効化されないこと。だからこそ、利用者側でのパスワード変更が必要になります。
「最大1,422万件」の正しい読み方──ただし”休眠こそ危ない”
「1,422万件」という数字は確かに大きいのですが、KDDIはこの中にすでに解約した人や、長期間使っていない休眠アカウントも含むと明記しています（しかも「調査継続中のための最大値」）。なので「今まさにアクティブな利用者」だけに絞れば、実数はもう少し小さくなります。数字だけが独り歩きしている面はあります。
ただし──ここが油断してはいけない逆説です。「もう使ってないから関係ない」が、いちばん危険です。
理由は、昔そのメールに設定していたパスワードを、あなたが今も別のサービスで使い回している可能性があるからです。休眠アカウントの古いパスワードが、現役の銀行口座のパスワードと同じ、というのは決して珍しくありません。なぜ「使っていない古いアカウント」が現役の資産を脅かすのか──その鍵が「パスワードの使い回し」です。次の章で、その仕組みを具体的に見ていきます。
本当に怖いのは「メールを覗かれること」ではない
一般のニュースだと「メールの中身を読まれるかも」という点が気になりがちですが、NE目線で見たとき、多くの人にとっての本当のリスクは別のところにあります。
それがパスワードの使い回しによる”芋づる式”被害です。専門的にはクレデンシャルスタッフィング（漏れたID・パスワードの組み合わせを、他サービスのログインに片っ端から試す攻撃）と呼ばれます。
つまり怖いのは「@niftyメールに入られること」そのものよりも、そのパスワードと同じものを使っていた銀行・クレジットカード・Amazon・楽天・各種SNSに、芋づる式にログインされることです。攻撃者は自動化ツールで、漏れた組み合わせを何千ものサイトに一気に試します。1つ漏れただけのつもりが被害が連鎖するのは、このためです。
実際、認証情報が大規模に露出する事案は後を絶ちません。直近ではFortinet機器の認証情報流出（FortiBleed）も大きく報じられました。今回のように「どこかで漏れた認証情報が、別のサービスへ流用される」流れは共通しています。
加えて、こうした大きな漏えいニュースの直後は、便乗フィッシングが必ず増えます。「あなたのアカウントが漏えいしました。今すぐこちらでパスワード変更を」という、本物そっくりの偽メール・偽SMSです。次章の手順で、これも一緒に防ぎます。
今日やること（具体手順）
冒頭の3つを、もう少し具体的に落とし込みます。
① 該当するなら、まずメールのパスワードを変更
対象6社のいずれかを使っている／使っていたなら、そのアカウントのパスワードを変更します。このとき最大のコツは「公式サイトを自分で開く」こと。
- メールやSMSに貼られたリンクは踏まない（便乗フィッシング対策）
- 「（プロバイダー名）＋公式」で検索するか、ブラウザに公式URLを自分で入力して、そこからログインして変更する
② 使い回していた他サービスも変更
同じパスワードを別のサービスでも使っていたなら、そちらも変更します。優先順位は お金が動くもの（銀行・カード・証券・キャリア決済）→ EC（Amazon・楽天）→ SNS の順で。
③ 新しいパスワードは「サービスごとに別物」にする
ここで全部同じにすると、次の漏えいでまた振り出しです。サービスごとに違うパスワードにするのが、今回の教訓そのものです。
④ 余裕があれば、二段階認証（2要素認証）をON
パスワードが漏れても、ログイン時にもう一段の確認（SMSコードや認証アプリ）があれば、不正ログインはかなり防げます。銀行やAmazon、Googleなど、対応しているサービスは設定しておきましょう。
なぜ、1社への攻撃が6社に波及したのか（ネットワークエンジニア視点・補足）
最後に少しだけ技術的な背景を。「なぜKDDIへの1回の侵害で、6社ものサービスが一斉に影響を受けたのか」が気になった人向けです。
理由は、複数のISPが、KDDIという共通のメール基盤の上に相乗りしていたからです。インフラを1か所に集約すると運用効率は上がる一方、そこが破られたときの影響が一気に横へ広がります。NEの世界で言う単一障害点（SPOF：Single Point Of Failure）の考え方が、セキュリティ侵害にもそのまま当てはまった形と言えます。
関連：海底ケーブル防護報告書をネットワークエンジニア視点で解説｜BGP冗長化と経済安保
原因が「第三者製ソフトウェアの脆弱性」だった点も見逃せません。自社で作っていない部品（外部ソフト）は社内から中身が見えにくく、脆弱性への気づきや対処が後手に回りやすい。サプライチェーン（部品の供給網）全体のセキュリティが問われる、近年の典型的な構図です。
なお、攻撃の細かい手口（どのソフトの、どの脆弱性が、いつから悪用されたか）は本稿執筆時点で公表されておらず、各種報道の技術的分析の多くは推測を含みます。確定情報は、KDDIおよび各ISPの公式発表を一次情報として確認してください。
まとめ：今回をパスワード習慣の見直しに使う
- auメールは無関係。慌てる前に、対象6社（＋J:COM経由のCATV）を使ったかどうかを切り分ける
- 「1,422万件」は休眠・解約を含む数字。でも休眠こそ使い回しで危ない
- 本当のリスクはメールを覗かれることより、使い回しによる芋づる被害
- やることは、該当メールのパスワード変更 → 使い回し先も変更 → サービスごとに別パスワード → できれば二段階認証
- 公式サイトは自分で開く（便乗フィッシング対策）
毎回ニュースのたびに全パスワードを点検するのは現実的ではありません。これを機にパスワードマネージャーを1つ導入してしまえば、サービスごとに固有の強いパスワードを自動で管理でき、次に同種の事件が起きても被害を最小限にできます。今回の件を、面倒な作業ではなく「セキュリティ習慣をアップデートするきっかけ」にしてしまいましょう。
※本記事は2026年6月24日時点の公表情報（KDDIの報道発表資料および各ISPの告知、報道各社の報道）に基づきます。調査は継続中であり、対象範囲や被害状況は今後更新される可能性があります。最新の対応方法は、必ず契約中のプロバイダー公式サイトでご確認ください。
