KDDIは7月6日、ISP（インターネットサービスプロバイダー）向けメールシステムへの不正アクセスに関する調査結果を公表し、1223万3087人分のメールアドレスの漏えいが確定したと発表した。このうち761万6173人分については、パスワードの漏えいも確認されている。6月23日の時点では「最大1422万件が漏えいした可能性がある」としていたが、その後の詳細な調査により、実際の被害規模が確定した形だ。
ゼロデイ脆弱性を突かれたISP向けメール基盤
今回の不正アクセスが発生したのは、KDDIが開発したISP向けのメール基盤システムである。このシステムはアカウント管理やメールの送受信、Webメール機能、データ保存などを一体的に提供するもので、6月23日の発表時点では@niftyメールやBIGLOBEメール、「J:COM NET」など6社のメールサービスが対象となっていた。
問題の発端は、システムに組み込まれていた第三者製ソフトウェアの脆弱性を悪用した不正アクセスだ。この攻撃は5月16日から一部のISP事業者で発生しており、KDDIが不正アクセスを確認したのは6月17日のことである。KDDIは同日中にシステムを改修し、当該脆弱性への対処を完了した。
特に注目すべきは、この脆弱性がゼロデイ脆弱性だった点だ。KDDIが確認した時点で、ソフトウェアのベンダー自身もその脆弱性を把握していなかったという。現在、ベンダーは公的機関への届け出を済ませ、情報公開の準備を進めているとされている。
漏えい確定件数とパスワード変更の進捗状況
KDDIはISP事業者と連携し、対象者のメールパスワード変更を強力に推進している。日常的にメールを利用する多くのユーザーはすでに変更を完了しており、残る利用者についてもISP事業者による強制変更が行われ、一両日中に全面的な対応が完了する見込みだとしている。
なお、auメール、UQ mobileメール、au one netメールは別の設備で運用されているため、今回の漏えいの影響は受けないという点は、利用者にとって重要な情報である。
再発防止策と今後のセキュリティ強化方針
KDDIは再発防止に向けて、複数の施策を実施している。まず、6月21日には外部通信を制御する全サーバーに対してEDR（Endpoint Detection and Response）の導入を完了した。EDRはサーバーやPC上の不審な挙動を検知し、迅速に対処するためのツールであり、セキュリティ監視の強化に直結する。
さらに、6月23日には第三者機関によるフォレンジック調査を実施。この調査により、今回悪用された脆弱性以外に不審な痕跡がないことが確認されている。
今後の取り組みとしては、AIを活用したソフトウェアの設計書とプログラムの分析を予定している。これにより、潜在的な問題がないかを網羅的に洗い出すとともに、ISP事業者と連携してセキュリティ強度の高い通信規格への移行も早期に進める方針だ。
総務省への報告と今後の行政対応
総務省は6月24日、電気通信事業法に基づく報告をKDDIに求めており、同社は7月6日に報告書を提出した。この報告を踏まえ、総務省がどのような行政指導や追加の調査を行うのか、今後の動向が注目される。
大手通信キャリアが提供するISP向けメールシステムにおいて、これほど大規模な情報漏えいが発生したことは、日本のインターネットインフラ全体のセキュリティに対する信頼に影響を与える可能性がある。ゼロデイ脆弱性という極めて攻撃側に有利な条件下での被害であったとはいえ、サプライチェーンを含めたシステム全体のセキュリティ対策の難しさを改めて浮き彫りにしたと言える。
利用者としては、該当するISPのメールサービスを利用している場合、すでにパスワード変更が完了しているかどうかを改めて確認することが推奨される。また、今後も同様のインシデントに備え、パスワードの使い回しを避け、可能であれば二要素認証を有効にするなど、自衛策を講じておくことが重要だ。
