令和8年8月19日、個人情報保護委員会は、プロバイダ向けのメールシステムから利用者のIDとパスワードが漏えいした事案で、システムを開発したKDDI株式会社と一部のプロバイダに、安全管理措置を改善するよう指導しました。ここでは、公表資料に書かれた範囲で、何が起きたか、何を不備と指摘したか、何を求めたかを整理します。
近いページとの違い: 四半期ごとの指導事例を並べた委員会の指導事例の一覧とは別に、このページは1件の事案（認証情報の漏えい）について、不備と指摘された点（平文保存・アクセス制御）と、求められた対応を事案の順に追います。漏えい等報告の規則整備の論点は規則整備の6論点にあり、このページは規則の話ではなく、実際の指導の中身を扱います。
1. 何が起きたか
| 項目 | 資料の記載 |
|---|---|
| システム | KDDIが開発し、複数のプロバイダにメールサービスとして提供しているプロバイダ向けのメールシステム |
| 発覚した日 | 令和8年6月17日 |
| 原因 | システムを構成するソフトウェアの脆弱性（プログラムの弱点）を悪用した不正アクセス |
| 漏えいした情報 | メールサービス利用者のID（メールアドレス）とパスワード |
| 本人の数 | 1223万1954人 |
| うち平文保存 | 761万6173人分のパスワードが、システムに平文（暗号化などをしない、そのまま読める形）で保存されていた |
資料は、パスワードが平文だったため、認証情報を盗んだ第三者がメールボックス内の情報を見られる状態になっていた、と書いています。
2. 委員会が指摘した点
資料は、KDDIとプロバイダで指摘の理由を分けています。
KDDIに対する指導
- 前提となる事情: 複数のプロバイダに提供することを想定して開発し、事案の時点では多くの利用者が使うシステムになっていた。そのうえ、多くのパスワードを平文で保存していた。
- 求められていた対策: こうした点によるリスクに応じて、侵入された後に被害が横へ広がること（横展開）を防ぎ、被害を最小限に抑えるため、多層的に対策を講じる必要があった。
- 不備とされた点: これらを踏まえたアクセス制御（誰がどの情報や機器に触れられるかを制限すること）などの措置を十分に講じておらず、個人情報保護法のガイドライン（通則編）が示す技術的安全管理措置に不備が認められる。
一部のプロバイダに対する指導
パスワードの平文保存は、一部のプロバイダ側の事情に起因するものだった、と資料は書いています。そのため、そのプロバイダにも技術的安全管理措置の不備が認められるとして、安全管理措置の改善を指導しました。資料には、プロバイダの名前は載っていません。
3. 求められた対応と期限
| 相手 | 求められたこと |
|---|---|
| KDDI | 安全管理措置の改善（指導）。あわせて、二次被害の発生状況も含めた再発防止策の実施状況を、関係資料を付けて令和8年10月19日までに委員会へ報告すること |
| 一部のプロバイダ | 安全管理措置の改善（指導）。報告の期限は資料に書かれていません |
報告期限の令和8年10月19日は、2026-10-19に到来しました。委員会の報道発表資料の一覧（2026-10-19確認）には、KDDIからの報告の結果や、追加の行政上の対応を知らせる公表は見当たりません。一覧にある直近の関連公表は、令和8年10月7日の注意喚起「大規模な漏えい等事案を踏まえた対応について」で、報告結果の公表ではありません。報告の内容が公表されるかどうかは、8月19日の資料には書かれていないため、公表は確認できていない状態です。
4. メールサービスの利用者への注意喚起
この資料は、事案への対応だけでなく、利用者向けの注意喚起も含んでいます。
- 危ない理由: 漏えいしたものと同じ、または似たパスワードを別のサービス（他社のサービスを含む）でも使い回していると、リスト型攻撃によって、そちらにも不正にログインされ、個人データの漏えいなどにつながるおそれがある。リスト型攻撃とは、不正に手に入れた他人のIDとパスワードをリストのように使い、いろいろなサイトへのログインを試みる攻撃のことです。
- 利用者（団体・個人）に求められたこと: 同じ、または似たパスワードを他のサービスで使い回していないかを速やかに確認し、使い回しが分かったら、そのサービスのパスワードを強いものに速やかに変更する。
- 事業者・行政機関等に求められたこと: 個人情報取扱事業者と行政機関等は、従業者や職員に、上の確認と変更を周知徹底する。
5. 自社で見直すときの観点
次の3つは、公表資料の指摘を、自社の点検の切り口に置き換えたものです。資料が自社の事情に当てはまるかどうかは、事案ごとに違います。この記事は、これで足りると示すものではありません。
- 保存の仕方: 利用者のパスワードを、平文で保存している場所がないか。資料は、平文保存が被害を重くした事情として挙げています。
- アクセス制御: 1か所に侵入されたあと、ほかの機器や情報へ広がらないように、アクセスを制限しているか。資料の言う「多層的な対策」に当たる部分です。
- 他社に提供するシステム: 資料は、多くの利用者が使うシステムになっていた点を、リスクに応じた対策が必要だった事情として挙げています。委託先との契約の考え方は委託先契約で定める事項の3論点で扱っています。
ガイドライン自体の見直し案はこちらのページ、不正アクセスが起きたときの調査の進め方はこちらのページにまとめています。
よくある質問
この指導は、メールを使っている一般の会社も対象ですか
公表資料で指導を受けたのは、システムを開発したKDDIと、一部のプロバイダです。メールサービスを使う側の企業や団体に対しては、指導ではなく、パスワードの使い回しを確認して変更するよう求める注意喚起が出ています（このページの4節、確認日 2026-10-06）。
「平文で保存」とは、パスワードがどう保存されていることですか
公表資料では、暗号化などをせず、そのまま読める形で保存されていた状態を指しています。資料は、この状態だったため、認証情報を盗んだ第三者がメールボックス内の情報を見られた、と書いています（確認日 2026-10-06）。
他の指導事例は、どこで見られますか
委員会が公表した指導事例の整理は指導事例の一覧にあります。自社の措置が十分かどうかの判断は、顧問弁護士・情報セキュリティの専門家または個人情報保護委員会へご確認ください。