レンタルサーバ「CPI」を運営する株式会社KDDIウェブコミュニケーションズは8月24日、6月23日に公表したCPIを利用する顧客向けに提供する同社メールサービスへの不正アクセスについて、調査結果を発表した。
KDDIウェブコミュニケーションズでは、CPI提供のメールサービスの基盤システムとしてKDDI株式会社が開発したISP事業者向けのメール基盤を利用していた。
KDDIウェブコミュニケーションズのメールサービスへの不正アクセスは、KDDIが同システムの一部として導入していた第三者製のソフトウェアの脆弱性を悪用されたことによるもので、KDDIウェブコミュニケーションズでは2026年6月8日から発生していた。KDDIでは2026年6月17日に不正アクセスを確認し、同日、被害拡大を防止するため同システムを改修している。
漏えいしたのは、レンタルサーバーCPIでメールサービスを提供している全プランのメールアカウント情報1,250,543件で、その内容は下記の通り。
対象プラン：ビジネス スタンダード、KWCメール
影響：メールアカウントおよびパスワード（ハッシュ化した状態で管理）の漏えい
対象プラン：その他のプラン
影響：メールアカウントの漏えい（パスワード情報は別システムで管理しているため、パスワードへの影響はない）
同社では7月7日から9日に、影響対象となる顧客に、確定した影響内容について個別にメールで案内を行っている。
KDDIでは今後、当該ソフトウェアの設計書とプログラムの詳細分析を実施し、AI等の技術も活用しながら潜在的なリスクを網羅的に調査し、その結果を踏まえ、不具合や脆弱性の有無について継続的な確認と改善を行うとのこと。
