レンタルサーバ「CPI」のメールアカウント125万件が漏えい — KDDIのISP向けメール基盤の脆弱性を悪用

レンタルサーバ「CPI」を運営するKDDIウェブコミュニケーションズは2026年8月24日、同社のメールサービスに対する不正アクセスについて調査結果と対応完了を公表した。KDDIがISP事業者向けに提供するメール基盤に含まれる第三者製ソフトウェアの脆弱性を悪用され、メールアカウント約1,250,543件が外部に漏えいした。脆弱性への対処は2026年6月17日に完了し、執筆時点では新たな被害は確認されていないと同社は説明している。

何が起きたか — 2つのサーバにまたがる窃取

同社の説明によると、CPIのメールサービスはKDDIが開発したISP事業者向けメール基盤を利用している。悪意のある第三者はサーバAに存在した脆弱性を悪用して不正侵入し、サーバBに保存されていたメールボックスに紐づくメールアカウント情報を不正に取得した。発生は2026年6月8日で、KDDIが2026年6月17日に製品ベンダーから脆弱性の報告を受けて改修を実施し、2026年6月21日に技術的防護措置を完了した。同日、KDDIからCPIへ第一報が入り、2026年6月23日に両社が第一報を公表した。

独立した外部調査会社によるログ調査とフォレンジック調査では、当該脆弱性以外に不審なアクセスや痕跡は確認されなかったとしている。

影響範囲 — 125万件の内訳とパスワードの扱い

漏えいの対象はCPIでメールサービスを提供する全プランで、件数は1,250,543件だ。プランごとの影響は次の通りで、KDDIウェブコミュニケーションズが明確に区別している。

• ビジネス スタンダード、KWCメール — メールアカウントとパスワード（ハッシュ化した状態で管理）の漏えい。パスワードそのもの（平文）ではなく、ハッシュ値が漏えいした
• その他のプラン — メールアカウントの漏えいのみ。パスワード情報は別システムで管理しているため影響はない

同社は2026年7月6日に影響範囲の確定報告をKDDIから受領し、2026年7月7日〜9日に影響対象の顧客へ個別メールで確定内容を通知した。利用者負担の軽減策として、2026年7月8日に管理者用コントロールパネル上で強制変更対象アカウントを確認できる表示機能をリリースしている。

時系列で見る対応 — 強制変更まで

公表資料が示した主な経緯は次の通りだ。

• 2026年6月1日 — KDDIが他ISP事業者からパスワード漏えい可能性の調査依頼を受領し、製品ベンダーによる脆弱性調査と外部調査会社によるログ・フォレンジック調査を開始
• 2026年6月17日 — 製品ベンダーから第三者製ソフトウェアの脆弱性悪用による情報漏えい可能性の報告を受領し、対象ソフトウェアを改修して脆弱性に対処
• 2026年6月18日〜21日 — KDDIが本メールシステムに対する技術的防護措置を実施。2026年6月21日に全サーバへ**EDR（Endpoint Detection and Response：端末の脅威検知・対応製品）**を導入
• 2026年6月23日 — 第三者専門機関の調査で当該脆弱性以外に不審なアクセスがないことを確認し、両社が第一報を公表
• 2026年7月1日 — 影響範囲確定を待たず、顧客の安全確保を最優先としてパスワード変更を要請。ビジネス スタンダードとKWCメール利用者に7月21日実施の強制変更を案内
• 2026年7月6日 — KDDIが続報を公表、CPIも続報を公表
• 2026年7月21日 — パスワード未変更の対象アカウントに対して強制変更を実施。リマインドは7月16日に実施済み

同社は7月1日の時点で強制変更を予告し、パスワードがハッシュ化されているとはいえ悪用リスクを低減するため、早期の変更を呼びかけていた。

実施済みと今後の対策 — KDDIウェブコミュニケーションズとKDDIが公表した内容

両社が公表した再発防止策は次の通りだ。出典元を明示して記載する。

KDDIが実施済みと公表した対策（完了日付き）:

• システム改修（2026年6月17日完了） — 対象システムを改修し脆弱性に対処した
• EDR導入（2026年6月21日完了） — 外部通信を監視・制御するEDRを全サーバへ導入し、検知・対処能力を向上させたとしている
• フォレンジック調査（2026年6月23日確認） — 第三者専門機関による調査で、当該脆弱性以外に不審なアクセスや痕跡がないことを確認したとしている
• パスワード強制変更（2026年7月21日実施） — ビジネス スタンダードとKWCメールの未変更アカウントを対象に強制変更を実施した

KDDIウェブコミュニケーションズは、これらの対策により「本件の原因となった脆弱性は解消されており、不正アクセスに利用された経路についても遮断している」「第三者専門機関の調査を踏まえ、本件に起因する新たな被害は確認されていないことから対応は完了している」と説明している。

今後の対策としてKDDIが公表した内容:

• 当該ソフトウェアの設計書とプログラムの詳細分析を実施する。AI等の技術も活用しながら潜在的なリスクを網羅的に調査し、その結果を踏まえ、不具合や脆弱性の有無について継続的な確認と改善を行うとしている

なお、メール運用以外の事項も含め、不明点はCPIサポートへ問い合わせるよう同社は案内している。

---

出典: KDDIウェブコミュニケーションズ, “弊社メールサービスへの不正アクセスに関する調査結果および対応完了のご報告”, 2026年8月24日. https://www.cpi.ad.jp/news/support-info/260824/