KDDIは6月23日、インターネット接続事業者向けに提供しているメールシステムが不正アクセスを受け、最大1422万件のメールアドレスとパスワードが漏えいした可能性があると発表しました。
影響を受けたのは、ニフティ、BIGLOBE、J:COM、中部テレコミュニケーション、KDDIウェブコミュニケーションズ、STNetの利用者です。
今回の問題は、KDDIがISP各社向けに提供していたメールシステムが狙われたもので、利用者が各社のメールサービスを通じて作成したメールボックスにひもづく情報が対象です。
漏えいした可能性があるのは、メールアドレスとパスワードで、アカウントの認証情報が含まれている点が特に深刻です。
原因は、システム内で使われていた第三者製ソフトウェアの脆弱性を悪用されたことでした。
KDDIは17日に不正アクセスを把握し、その後、問題のある箇所を特定したうえで技術的な防御策を進めています。
KDDIによると、今回の影響はKDDI独自運営のメールサービスには及ばないとされています。
一方で、対象となったISPメールを長く使っていた人や、同じパスワードを他のサービスにも使い回していた人は、二次被害のリスクに注意が必要です。
利用者がまず取るべき対応は、対象サービスのパスワードを変更することです。
さらに、他のウェブサービスと同じパスワードを使っていた場合は、そこも含めて変更し、二段階認証を設定できるものは有効化しておくと安全性が高まります。
また、メールのログイン履歴や転送設定、不審な自動返信の有無なども確認したほうがよいでしょう。
メールアドレスとパスワードの組み合わせが流出すると、第三者にメールを開かれるだけでなく、他サービスのパスワード再設定にも悪用されるおそれがあります。
KDDIでは2006年にもDION顧客情報の流出事件がありましたが、今回の件はその再来というより、サプライチェーン上のソフトウェア脆弱性を突かれた現代型のインシデントといえます。
通信事業者であっても、外部ソフトの管理や認証情報の保護がどれだけ重要かを改めて示す事案です。
