KDDIに総務省が行政指導、ISP向けメールシステムへの不正アクセスで約762万件のパスワード漏えい

　総務省は7月29日、KDDI株式会社に対して文書による行政指導を行ったとして、文書を発表した。

　本件は、KDDIが提供するISP向けメールシステムが不正アクセスを受け、約762万件のパスワードが漏えいし、第三者がメールを閲覧可能な状態となっていたもの。KDDIでは総務省の要請を受けて7月6日に本件に関する報告を行っており、今回の行政指導は、これに基づいたものとなる。

　指導文書では約762万件の通信の秘密が漏えいする事態を招いたことに対し、メールシステムにおいては本来多層的な防御態勢が敷かれるべきであるにもかかわらず、それが有効に機能しなかったと指摘。特に、漏えいしたパスワードに暗号化などの安全管理措置が講じられない状態で保存されていたことを「看過できない」とし、厳重注意としている。

　また、本事案を最初に覚知した「プロバイダ1社より第一報を受けてから、本事案の公表まで22日間を要したことは、迅速な対応とは言い難い」点も問題として挙げている（最初に、ニフティが本件について6月1日にKDDIに連絡。KDDIは17日に不正アクセスを確認し、23日に発表した。なお、KDDIでは、一部事業者に対して5月16日から不正アクセスが発生していたとしている）。

　総務省では、KDDIが発表している再発防止策を確認したうえで、今後同様の事態が発生しないよう、システムにおける多層的な防御態勢の再検討、セキュリティ事案発生時における対応能力の向上、経営層を含む社内、および社外の関係事業者への情報共有を体制の確認、体制改善などを強く求めている。

　また、8月31日までに、再発防止策の自制状況と二次被害に係る状況についての報告を求め、その後も1年間、四半期ごとの報告を求めている。