【セキュリティニュース】2026年7月8日号｜KDDIメール漏えい1,223万件確定・2りんかん318万人・める配くん

KDDIのISP向けメールシステム不正アクセス、メールアドレス約1,223万件・パスワード約762万件の漏えいが確定

KDDIは7月6日、6月23日に公表したISP事業者向けメールシステムへの不正アクセスについて続報を公表しました。調査の結果、漏えいが確定した件数はメールアドレスが1,223万3,087件、メールシステムのパスワードが761万6,173件です。当初発表の「最大1,422万件の可能性」から、実際の漏えい範囲が特定された形です。

原因は第三者製ソフトウェアのゼロデイ脆弱性

原因は、システムの一部に導入していた第三者製ソフトウェアの脆弱性で、確認時点（6月17日）ではソフトウェアベンダー自身が把握していない、いわゆるゼロデイ脆弱性でした。一部のISP事業者では5月16日から不正アクセスが発生していたことも判明しています。対象は同システムを利用するJ:COM NET、@niftyメール、BIGLOBEメール、コミュファ光、ピカラ（STNet）、KDDIウェブコミュニケーションズのレンタルサーバー「CPI」の各メールサービスで、各ISP事業者による対象パスワードの強制変更が進められています。

2りんかんイエローハットの情報漏えい、最終報で317万9,454名分と特定。アプリAPIの悪用が原因

バイク用品店「2りんかん」を運営する2りんかんイエローハット（イエローハット連結子会社）は6月19日、4月23日に公表した不正アクセスによる個人情報漏えいについて最終報告を公表しました。第三者機関の調査により、漏えいした顧客情報は317万9,454名分と特定されています。中間報告時点の「最大345万5,754名」から精査された数字です。

攻撃者は「2りんかんアプリ」のAPIを悪用し、4月20日早朝から顧客情報を保管するサーバーのデータを取得していました。漏えいした情報は氏名、住所、電話番号、生年月日、メールアドレス、会員番号、アプリのユーザーID・パスワード、ポイント残高のほか、車種・車台番号などの車両情報も含まれます。クレジットカード情報は当該サーバーに保管されておらず対象外です。同社はアプリの改修とセキュリティ強化を進めています。

メール配信システム「める配くん」に不正アクセス、利用する10社超で登録者情報流出のおそれ

ディライトフルが運営するメール配信システム「める配くん」のサーバーが第三者による不正アクセスを受け、情報漏えいと考えられる痕跡が確認されました。不正アクセスは6月15日から16日にかけて、システムの脆弱性を突く手口で行われたと説明されています。

公表企業は7月に入っても増加中

同サービスはメールマガジン配信などに広く使われており、プリマハム、東書Eネット（東京書籍）、ユニリタ、KYOTO EXPERIMENTなど、業種・規模を問わず10社超の利用組織が登録者情報流出のおそれを順次公表しています。公表は7月に入っても続いています。流出した可能性があるのは配信先として登録されていた氏名とメールアドレスで、住所・電話番号・クレジットカード情報は同システムに登録されていないとされています。運営会社は該当サーバーの停止と再構築を行い、多要素認証やWAFの導入など監視体制の強化を進めるとしています。