株式会社KDDIウェブコミュニケーションズ（レンタルサーバー「CPI」のメールサービス）

KDDIとの調査で、CPIのメールシステムで作られたメールアドレス1,250,543件の漏えいを確認したと公表しました。パスワードそのものは漏れていません。不正アクセスはCPIについては6月8日から起きていました。

これまでパスワード変更を呼びかけてきましたが、まだ変えていない利用者を対象にパスワードの強制変更を行うとし、日程は別に知らせるとしています。原因と再発防止策の詳細はKDDIの発表に譲っています。

最終報告として、CPIのメールサービスの全プランで計1,250,543件のメールアカウント情報が漏れたとまとめました。攻撃者はKDDIが運営するサーバに入り込み、脆弱性を使って別のサーバにあるメールアカウント情報を取得しました。パスワードはハッシュ化か別システムでの管理のため、そのものは漏れていません。

経緯として、KDDIが6月1日に他のISPから調査依頼を受けたこと、6月17日に製品ベンダーから脆弱性の報告を受けて改修したこと、7月7日〜9日に対象者へ個別連絡し、7月21日に強制変更したことを示しました。再発防止策はKDDI側で進めています。