【インシデント速報】2026年8月24日｜KDDIメール1223万件に行政指導・アカデミコナビ16.5万件漏えい・青山財産グループのランサム被害
secure【インシデント速報】2026年8月24日｜KDDIメール1223万件に行政指導・アカデミコナビ16.5万件漏えい・青山財産グループのランサム被害
パスワードの平文保存が行政指導の直接原因に――保存方式を今すぐ点検。ECサイト・グループ会社・委託先が侵入口になる事例が続いており、自社だけでなく「預けている先」「つながっている先」まで守る発想が必要です。パスワードのハッシュ化・脆弱性の解消・オフラインバックアップの3点を優先してください。
KDDI — ISP向けメールシステムへの不正アクセスで個人情報保護委員会が行政指導、1,223万件のID・パスワードが漏えい
個人情報保護委員会は8月19日、KDDI株式会社に対する個人情報保護法に基づく行政上の対応を発表した。KDDIはプロバイダ向けのメールシステムを開発し、複数のISP（インターネットサービスプロバイダ）にメールサービスを提供していたが、6月17日に、このシステムを構成するソフトウェアの脆弱性を悪用した不正アクセスにより、メールサービス利用者のID（メールアドレス）とパスワードが漏えいしたことが発覚していた。
漏えいが確認されたのは1,223万1,954人分。このうち761万6,173人分のパスワードは平文（暗号化やハッシュ化をしていない、そのまま読める状態）で保存されており、認証情報を盗んだ第三者がメールボックス内を閲覧できる事態となった。
委員会は、多数の利用者を抱えるシステムでありながらパスワードを平文で保存し、侵入後の横展開を防ぐアクセス制御などの多層的な対策が不十分だったとして、技術的安全管理措置の不備を認定。KDDIに改善を指導し、二次被害の状況を含む再発防止策の実施状況を10月19日までに報告するよう求めた。原因の一部はプロバイダ側の事情に起因するとして、当該プロバイダにも改善を指導している。利用者に対しては、同じ・似たパスワードを他サービスで使い回していないか確認し、判明した場合は速やかに変更するよう注意喚起した。
中小企業への影響
行政指導の決め手は「パスワードの平文保存」でした。自社サービスや社内システム、古い自作ツールでパスワードを暗号化・ハッシュ化せずに保存していないかは、規模を問わず問われるポイントです。加えて、原因の一部がシステムを利用する側（プロバイダ）にあったとして委託先も指導対象になっており、サプライチェーン全体で責任が及ぶことを示しています。
推奨対応
- パスワードは必ずハッシュ化（bcrypt・Argon2 など）して保存し、平文・可逆暗号での保存を廃止する
- 侵入されても被害を広げないよう、アクセス制御・権限分離・ログ監視で「横展開」を止める多層防御を用意する
- メールやシステムを外部に委託している場合、委託先のパスワード管理・脆弱性対応の状況を契約と定期確認でチェックする
加賀ソルネット — 販売サイト「アカデミコナビ」への不正アクセスで165,587名分の個人情報漏えいが確定（第二報）
加賀ソルネット株式会社は8月17日、7月1日に公表した販売サイト「アカデミコナビ」への不正アクセスについて第二報を発表した。同社は6月22日に第三者からの不正アクセスを確認しており、当初は最大約17万件の個人情報が漏えいした可能性があるとしていた。
外部専門機関によるフォレンジック調査の結果、2021年12月から2026年4月までに「アカデミコナビ」でユーザー登録した合計165,587名分の、氏名・住所・電話番号・メールアドレス・会員ID・所属校情報・購入情報の漏えいが確認された。マイページのパスワードは今回漏えいしたファイルには含まれていない。「アカデミコナビ」は大学生向けにパソコンやソフトウェアを斡旋販売するサイトで、複数の大学が利用している。
同社は不正アクセスに悪用された脆弱性への対策を実施済みで、現在サービスを一時停止し、システムを新規構築したうえで2026年10月末の再開を予定している。再発防止策として、管理機能へのアクセス制御強化、ログ監視・異常検知体制の強化、再開前の第三者による脆弱性診断、攻撃表面管理（ASM）による継続的なチェックなどを順次実施するとしている。
中小企業への影響
Webサイトの脆弱性を突かれる典型的な不正アクセスです。所属校情報など機微な情報を含む会員データが流出しました。「最大17万件の可能性」から調査を経て「16.5万件の確定」へと数字が動いており、公表直後の被害規模は暫定値であること、確定にはフォレンジック調査（ログ解析）が欠かせないことがわかります。ログを保全できていなければ、被害範囲すら特定できません。
推奨対応
- Webアプリ・CMS・プラグインの脆弱性を放置せず、定期的な脆弱性診断と速やかなアップデートを行う
- 公開しているサーバやサービスを攻撃表面管理（ASM）で棚卸しし、狙われる入口を継続的に把握する
- 万一に備えてアクセスログを一定期間保全し、フォレンジック調査ができる体制を平時から整えておく
青山財産ネットワークス — グループ会社へのランサムウェア攻撃、影響範囲を確定（第3報）
東証スタンダード上場の株式会社青山財産ネットワークス（証券コード8929）は7月31日、5月14日に公表したグループ会社へのランサムウェア攻撃について第3報を発表した。
グループ会社の株式会社日本資産総研で、外部からランサムウェアによる不正アクセスを受け、システム内のファイルが暗号化される被害が発生していた。同社は合同対策本部を設置し、外部の専門家と連携して被害拡大の防止、影響範囲の調査、復旧対応を進めてきた。
第3報では、被害が確認された日本資産総研と日東不動産の2社以外のグループ会社への影響は確認されていないと報告された。5月の公表から約2か月半をかけて影響範囲を絞り込んだ形で、ランサムウェア被害では調査の確定までに相応の時間を要することがうかがえる。
中小企業への影響
グループ会社・子会社が攻撃の入口となり、グループ全体へ波及するリスクを示す事例です。資産管理業のように機微な情報を扱う組織は特に標的になりやすく、上場企業でも被害を免れません。取引先や親会社の一員としてネットワークがつながっている中小企業は、自社が「侵入口」にならないよう備える必要があります。
推奨対応
- グループ会社・子会社・関連会社もネットワークを分離し、EDR（端末の検知・対応）で守る
- 暗号化されても復旧できるよう、オフライン（ネットワークから切り離した）バックアップを定期取得し、復旧手順を訓練する
- 侵入・感染を検知した際の初動（隔離・専門家連携・対策本部設置）をあらかじめ手順化しておく
編集部まとめ
今回の3件に共通するのは「認証情報の守り方」と「侵入後に被害を広げない仕組み」です。KDDIの平文パスワード保存は行政指導の直接原因となり、パスワードのハッシュ化が最低限の義務であることを改めて示しました。ECサイトやグループ会社が入口になる例も続いています。自社だけでなく委託先・子会社まで含め、脆弱性の解消・多層防御・オフラインバックアップを平時から整えることが、被害を最小限に抑える近道です。
参考情報
- KDDI の ISP 事業者向けメールシステムに不正アクセス、個人情報保護委員会が行政指導 | ScanNetSecurity
- KDDI株式会社及びインターネットサービスプロバイダに対する個人情報の保護に関する法律に基づく行政上の対応（個人情報保護委員会）
- 加賀ソルネット運営の「アカデミコナビ」に不正アクセス、合計165,587名分の個人情報漏えいを確認 | ScanNetSecurity
- 当社ECサイトに対する不正アクセスに関する続報（第二報）（加賀ソルネット）
- 青山財産ネットワークス グループ会社にランサムウェア攻撃、日本資産総研と日東不動産以外での影響は確認されず | ScanNetSecurity
- 当社グループ会社におけるセキュリティインシデントの発生に関するご報告（第3報）（青山財産ネットワークス）
