情報処理安全確保支援士の勉強用に、KDDIの不正アクセス事案を整理しました。 自分用の勉強ノートです。
サマリ
KDDIがISP（Internet Service Provider）6社向けに提供するメール基盤が不正アクセスを受け、メールアドレス約1,223万人分、うちパスワード約762万人分の漏えいが確認されたそうです。 6月23日の初報では、漏えいした可能性のある情報を最大1,422万件としていたとのことでした。
対象6社：STNet、KDDIウェブコミュニケーションズ、JCOM、中部テレコミュニケーション、ニフティ、ビッグローブ
侵入経路
ISP向けメールシステムで使用していた第三者製ソフトウェアの脆弱性を悪用されたそうです。 当時、この脆弱性はソフトウェアベンダーも認識していなかったとのこと。 なお実際の不正アクセスは、一部のISP事業者において2026年5月16日から発生していたようです。
検知のきっかけ
2026年6月17日に不正アクセスを確認したとありますが、具体的な検知契機は公表資料に記載されていませんでした。 侵入発生（5月16日）から検知（6月17日）まで、約1ヶ月のギャップがあります。
初動対応
被疑箇所を特定し、同日中にシステム改修と脆弱性への対処を実施したそうです。 ISP事業者と連携して利用者のパスワード変更を進め、未変更者を含めて強制変更を実施したとのことでした。
影響範囲の確認
第三者機関によるフォレンジック調査を行い、当該脆弱性以外の不審な痕跡がないことを確認した、と書かれていました。
再発防止策
- 外部通信を制御する全サーバーにEDR（Endpoint Detection and Response）を導入し、不正アクセスの検知を強化したそうです
- 第三者製ソフトウェアの設計書・プログラムを分析し、潜在的な不具合や欠陥がないかを確認するとのこと
- より安全性の高い通信規格への移行を進めるとのこと（具体的な通信規格名は公表資料に記載なし）
確認テーマ：未知の脆弱性による侵入や被害拡大を、どう早期検知するか
ここが一番気になったところです。 ベンダーも気づいていない脆弱性なら、事前にパッチで塞ぐことはできないはずです。 それでも再発防止策にはEDR導入が挙がっていて、これは脆弱性を塞ぐものではなく、侵入されたあとの挙動を捉える仕組みなんだと理解しました。 つまり「防ぐ」と「見つける」は別の作業らしく、未知の脆弱性そのものは防げなくても、突かれたあとの動きなら検知できる、という発想のようです。
未知の脆弱性を突かれた場合、必ずしもわかりやすいマルウェアが置かれるとは限らないので、通常と違う挙動を広く見る必要があるそうです。
ホスト上の挙動
- 未知のプロセスやシェルの起動
- 管理者権限への昇格
データへのアクセス
- 認証情報を格納するファイルやDBへの大量アクセス
- 大量のアカウント情報の読み出し
ネットワーク通信
- 普段通信しない外部IPとの通信
- 外部への大量データ送信
答案例
認証情報を保管するファイルやデータベースへの大量アクセス、管理者権限への昇格、通常と異なるプロセスの実行、外部への大量通信などを監視する