個人情報保護委員会は8月19日、KDDI株式会社への個人情報の保護に関する法律に基づく行政上の対応について発表した。
KDDIではプロバイダ向けのメールシステムを開発し、複数のプロバイダにメールサービスを提供していたが、6月17日に本件システムを構成するソフトウェアの脆弱性を悪用した不正アクセスで、保存されていたメールサービス利用者のID（メールアドレス）とパスワードの漏えいが発覚していた。漏えいが確認されたのは1,223万1,954人で、うち761万6,173人のパスワードは平文のまま保存されており、認証情報を窃取した第三者によってメールボックス内の情報が閲覧可能な事態となっていた。
同委員会では、KDDIは多くのメールサービス利用者が利用するシステムとなっていたこと、多くのパスワードを平文で保存していたことから、攻撃者の侵入後の横展開を防止し、被害の拡大を最小限に抑えるべく、多層的に対策を講ずる必要があったが、これらの事情を踏まえたアクセス制御等の措置を十分に講じておらず、個人情報の保護に関する法律についてのガイドライン（通則編）「10 講ずべき安全管理措置の内容」に示す技術的安全管理措置の不備が認められるとしている。同委員会ではKDDIに対し、安全管理措置を改善するよう指導するとともに、二次被害の発生状況も含めた再発防止策の実施状況について、関係資料を添付の上、10月19日までに報告するよう指導を行っている。
また同委員会では、本件システムでは大量の個人データを取り扱っているにもかかわらず、メールサービス利用者が設定したパスワードが平文で保存されていたことは、一部のプロバイダ側の事情に起因するものであったとし、当該プロバイダについてはガイドライン（通則編）「10 講ずべき安全管理措置の内容」に示す技術的安全管理措置の不備が認められるとし、当該プロバイダに対し、安全管理措置を改善するよう指導している。
また同委員会では、メールサービス利用者に対し、本件認証情報と同じまたは類似する文字列のパスワードを他のサービスで使い回していないかを確認し、使い回しが判明した場合は、速やかに強固な文字列に変更するよう注意喚起を行っている。
