KDDI情報漏洩で総務省が行政指導｜対象者と今すぐやるべき対策

（2026年7月30日 公開・同日追記あり）

総務省は2026年7月29日、KDDIがインターネットサービスプロバイダー（ISP）事業者向けに提供するメールシステムへの不正アクセスで多数のメールアドレス・パスワードが漏洩した問題について、電気通信事業法にもとづき「厳重注意」の行政指導を行いました。総務省はこの漏洩を電気通信事業法が定める「通信の秘密」の漏洩にあたると判断しています。この記事では、行政指導の内容と対象者、そして利用者が今すぐやるべき対策を、公式発表と報道をもとに整理します。

行政指導までの経緯

今回の行政指導に至るまでの流れは次のとおりです。KDDIがISP事業者向けに提供するメールシステムに不正アクセスがあったのは2026年5月16日からで、KDDI自身がこれを確認したのは6月17日でした。同日中にシステム改修などの対応を実施したとされています。

6月23日、KDDIは最大1,422万件のメールアドレス・パスワードが漏洩した可能性があると公表。これを受けて総務省は6月24日、電気通信事業法にもとづく「報告徴収」（事実確認のための行政処分）を実施し、KDDIに調査結果の報告を求めました。そして7月6日、KDDIは調査の結果、実際に漏洩したメールアドレスが約1,223万人分、パスワードが約761万人分であることを確認したと発表。この確定を踏まえて総務省が最終判断を下したのが、今回7月29日の行政指導です。

総務省の行政指導の内容とは

総務省は今回の漏洩について、電気通信事業法が通信事業者に課している「通信の秘密」を保護する義務に反すると判断し、KDDIに再発防止の徹底などを求める厳重注意の行政指導を行いました。総務省は「ユーザーに及ぼした影響は大きく、電気通信事業に対する信頼が大きく損なわれた」と指摘しています。

行政指導を受け、総務省でKDDIの松田浩路社長が直接文書を受け取りました。松田社長は報道陣の取材に「重く受け止めて、再発防止に全力を尽くす」とコメントしています。KDDIによると、現時点でこの漏洩を原因とする具体的な不正利用（二次被害）は確認されていないとのことです。

総務省が今回とくに問題視したのが、漏洩したパスワードの保存状態です。総務省は、漏洩したパスワードに暗号化などの安全管理措置が講じられない状態（平文）で保存されていたことを「看過できない」として厳重注意の対象としました。さらに、ISP事業者の1社から不正アクセスの第一報を受けてから、KDDIが事案を公表するまでに22日間を要した点についても「迅速な対応とは言い難い」と指摘しています。

今後求められる報告義務

今回の行政指導で、KDDIには継続的な報告義務が課されています。まず2026年8月末までに再発防止策の実施状況を総務省へ報告する必要があります。さらにその後1年間にわたり、四半期ごとに再発防止の取り組み状況と二次被害の有無について報告することが求められています。単発の謝罪で終わらず、長期にわたって監督下に置かれる形です。

なぜ「報告徴収」から「行政指導」へ段階が上がったのか

電気通信事業法にもとづく行政上の対応には段階があり、まず事実関係を確認する「報告徴収」があり、その内容や再発防止策が不十分と判断された場合に「行政指導」へ進みます。さらに深刻なケースでは業務改善命令や役務停止命令に発展することもあります。2025年に発生したIIJの類似事案でも、報告徴収を経て行政指導に至った経緯があり、今回のKDDIも同様の段階を踏みました。約761万人という規模の大きさに加え、パスワードの平文保存や公表の遅れといった対応面の問題も、今回の判断に影響したとみられます。

対象者は誰？確認方法

今回の漏洩・行政指導の対象となるのは、KDDIがISP事業者向けに提供するメールシステムを利用している、次の6社のメールサービス利用者です。

• 楽天モバイルのKDDIローミング終了はいつ?確認方法まとめ
• ニフティ株式会社（@niftyメール）
• ビッグローブ株式会社（BIGLOBEメール）
• JCOM株式会社（J:COM NET等）
• 中部テレコミュニケーション株式会社（コミュファ光）
• 株式会社STNet（ピカラ光サービス等）
• 株式会社KDDIウェブコミュニケーションズ（レンタルサーバー「CPI」）

重要な点として、au／UQ mobile／au one net のメールサービスは今回の対象外です。KDDI自身のメールサービスは別の設備で構築されており、今回の不正アクセスによる影響はないとされています。上記6社のいずれかのメールアドレスを持っている場合は、各社の公式サイトやお知らせ、届いた案内メール・SMSの内容を確認してください（案内を装った偽メールへの誘導リンクは踏まず、公式サイトから直接確認するのが安全です）。

今すぐやるべき対策

対象サービスを利用している人は、次の対策を落ち着いて進めておくと安心です。

1. 対象メールのパスワードを変更する

ISP各社が強制的なパスワード変更を進めていますが、まだの場合は自分でも早めに変更しておきましょう。

2. 同じパスワードを使い回している他サービスも変更する

もっとも注意したいのがこの点です。漏洩したメールのパスワードを、ネット通販・SNS・ネットバンキングなど他のサービスでも使い回している場合は、そちらも変更してください。攻撃者が漏洩したアドレスとパスワードの組み合わせを他サービスで試す「パスワードリスト攻撃」への備えになります。

3. 二段階認証を設定し、不審なメール・SMSに注意する

対応しているサービスでは二段階認証（多要素認証）を有効にしておくと安心です。またこの件を口実にしたフィッシングメールが届く可能性があるため、メール内のリンクから直接ログイン情報を入力せず、必ず公式アプリや公式サイトのブックマークからアクセスするようにしてください。

個人情報や認証情報の漏洩はKDDIの事案に限った話ではありません。同時期には佐川急便でも約7万人分の個人情報漏洩が確認されており、複数のサービスでパスワードや個人情報を使い回していないか、この機会にあわせて見直しておくと安心です。

Xでの反応

今回の行政指導は7月29日の発表直後からX上でも大きく取り上げられ、報道各社のニュースが多数リポストされました。

「総務省はKDDIに対し、情報漏洩として厳重注意をしましたね」

— Xユーザーの投稿より（2026-07-29）

「KDDI情報流出、総務省が通信の秘密漏えいで厳重注意の行政指導」（ニュース速報の共有）

— Xユーザーの投稿より（2026-07-29）

行政指導という言葉のインパクトからか、対象サービスを利用していない人からも関心を集めており、通信サービス全般のセキュリティ対策への注目が高まっています。

よくある質問（FAQ）

Q. 総務省の行政指導はいつ、どんな内容ですか？

2026年7月29日、総務省がKDDIに対し電気通信事業法にもとづく厳重注意の行政指導を行いました。今回の漏洩を「通信の秘密」の漏洩と判断し、再発防止の徹底を求めています。

Q. auやUQ mobileのメールも対象ですか？

対象外です。au・UQ mobile・au one netのメールは別の設備で構築されており、今回の不正アクセスによる影響はないとKDDIは説明しています。対象はニフティ・BIGLOBE・J:COM等、ISP事業者向けに提供していたメール基盤です。

Q. KDDIは今後どんな対応を求められますか？

2026年8月末までに再発防止策の実施状況を報告することに加え、その後1年間は四半期ごとに再発防止の取り組み状況と二次被害の有無について報告することが求められています。

Q. すでに不正利用の被害は出ていますか？

KDDIによると、2026年7月29日時点でこの漏洩を原因とする具体的な不正利用は確認されていません。ただし今後のリスクに備え、対象者はパスワード変更などの対策をしておくことが推奨されます。

あわせて読みたい

• 【ニフティ最大54万件流出】対象は?確認方法と今すぐの対策
• KDDI 761万人分のパスワード漏洩を確認｜対象6社と今すぐの対策（初報）
• au・UQ mobile手数料値上げ｜8月から対象と新料金一覧
• au PAYカード改定はいつから？リボ19.8%と海外手数料4.5%
• 生命保険協会で情報漏えい｜約3.7万人・対象者と今すぐの対処
• 佐川急便で個人情報漏洩｜約7万人・原因と対象、今すべき対処

参考・出典

• パスワード761万人分漏洩、KDDIを行政指導 総務省（日本経済新聞）
• KDDIに行政指導（時事通信 / Yahoo!ニュース）
• 総務省、KDDI厳重注意 メール、パスワード漏えいで（共同通信）
• KDDIに総務省が行政指導、ISP向けメールシステムへの不正アクセスで約762万件のパスワード漏えい（INTERNET Watch）

本記事の情報は2026年7月29日〜30日時点の公式発表・報道にもとづきます。最新の対応状況はKDDIおよび総務省の公式発表でご確認ください。