KDDIのISP向けメール基盤不正アクセス、約1223万件のメアド流出が確定

　KDDIが提供するISP事業者向けのメールシステムにおいて発生した不正アクセスに関し、同社は7月6日、調査結果および対応状況についての続報を発表した。

　6月23日に公表した「漏えいの可能性」について、その後の調査で漏えいの事実が正式に確認された。

　なお、同社のモバイルおよび固定インターネットサービス（auメール、UQ mobileメール、au one netメール）は異なる設備で運用されており、今回の被害は発生していない。

不正アクセスの経緯と被害状況

　本件は、KDDIがISP事業者向けに提供しているメール基盤システムにおいて、第三者製のソフトウェアに存在した脆弱性が悪用されたものとなる。

　不正アクセスは5月16日から一部のISP事業者において発生しており、KDDI側は6月17日に本件を検知。同日中にシステムの改修および脆弱性への対処を完了させた。

　今回の発表で、流出した事実が確認されたメールアドレスは1223万3087件、システムログイン用パスワードは761万6173件。

今後の対策

　これまでにKDDIでは、ISP側と連携して、ユーザーのメールアドレスのパスワードを変更している。

　同社によれば、日常的に利用するユーザーの多くは、すでにパスワードの変更を終えているという。今後は、あまり利用してない人も含め、数日以内にパスワードの強制変更が進められる。

　再発防止策として、同社は6月21日、外部通信を制御する全サーバーへのEDR（Endpoint Detection and Response）導入を完了した。

　6月23日には第三者機関によるフォレンジック調査を実施し、当該脆弱性以外の不審な痕跡が存在しないことを確認済みという。今後はAIを活用したプログラム分析により潜在的な問題を網羅的にチェックするほか、ISP事業者と協力してセキュリティ強度の高い通信規格への早期移行を推進し、業界全体の安全性向上を目指すとしている。