日本KDDI遭入侵：1422万邮箱账密泄露，波及六家运营商

一个第三方软件漏洞，让日本第二大电信运营商的邮件系统成了筛子。

三个关键信息

日本电信巨头 KDDI 于 6 月 17 日发现其共享邮件后端遭到入侵，攻击者利用第三方软件漏洞获取了最多 1422 万个邮箱地址及对应密码。 KDDI 当天即封堵入侵通道，并向日本个人信息保护委员会和总务省报告。这是 KDDI 历史上首次邮箱地址和密码同时泄露的安全事件。

泄露波及六家日本互联网服务提供商：STNet、JCOM、中部电信、Nifty、Biglobe 和 KDDI Web Communications。 这些运营商共享 KDDI 的邮件基础设施，一个漏洞导致六家同时中招。1422 万这个数字是最坏情况估计，覆盖现有用户、前用户和休眠账户。

KDDI 至今未公布涉事第三方软件的名称和供应商。 根据日本修订后的《个人信息保护法》，因网络攻击导致的数据泄露须在发现后迅速提交初步报告（通常 3-5 天），并在 60 天内提交最终报告。KDDI 的最终报告截止日期在 2026 年 8 月中旬。

王斗视角

1422 万——这个数字接近东京都的常住人口。而且泄露的不只是邮箱地址，是邮箱加密码的完整组合，这意味着每一条都可以直接拿去撞库。更让人捏把汗的是这个架构：六家运营商共享同一个邮件后端，一个第三方软件的漏洞就把六家全部打穿。这种「共享基础设施」的效率优势，在安全事件发生时会精确地变成「批量失败」的劣势。KDDI 到现在还不肯说是哪个第三方软件出了问题，大概率是因为用同一套软件的不止他们一家，这锅一旦公开，连锁反应会更大。

来源：Japan Times · BleepingComputer · TechTimes