【2026年6月版】セキュリティ情報まとめ
2026年6月は、普段使っているメールや写真販売サービスなど、一般利用者に身近なサービスで相次いでセキュリティ事案が公表されました。
なかでも大きな影響が懸念されたのが、KDDIがインターネット接続事業者向けに提供するメールシステムへの不正アクセスです。
@nifty、BIGLOBE、J:COMなど複数のサービスにまたがり、最大1,422万件のメールアドレスとパスワードが漏洩した可能性があると公表されました。
これは、自分がKDDIと直接契約していなくても、普段利用しているサービスの裏側で共通基盤が使われていれば、別企業のインシデントの影響を受ける可能性があることを示しています。
本記事では、2026年6月に公表された主なセキュリティ事案、重大な脆弱性、フィッシング、AIをめぐるリスク、制度面の動きを整理します。
本記事は2026年6月29日時点の公開情報をもとに作成しています。
調査中の事案については、今後の発表により対象件数や内容が変更される可能性があります。
3行でまとめる
KDDIのISP向けメール基盤が不正アクセスを受けた：@nifty、BIGLOBE、J:COMなど6社のメールアドレスとパスワードが、最大1,422万件漏洩した可能性があります。
WindowsとChromeで重大な脆弱性が相次いだ：Microsoftは過去最大級の月例更新を公開し、Chromeでは実際の攻撃で悪用されているゼロデイ脆弱性が修正されました。
フィッシングとAI悪用への警戒が続く：ISPアカウントを乗っ取って送信したとみられるフィッシングメールや、AIによるなりすまし・情報漏洩のリスクが改めて注目されました。
1．KDDIのISP向けメールシステムで最大1,422万件が漏洩した可能性
KDDIは2026年6月23日、インターネット接続事業者向けに提供しているメールシステムが不正アクセスを受けたと発表しました。
影響を受けた可能性があるのは、次の事業者が提供するメールサービスです。
ニフティ「@niftyメール」
ビッグローブ「BIGLOBEメール」
JCOM「J:COM NET」
中部テレコミュニケーション「コミュファ光」
STNet「ピカラ」
KDDIウェブコミュニケーションズ「CPI」
漏洩した可能性がある情報は、メールボックスに紐づくメールアドレスとパスワードで、最大約1,422万件です。
対象には、現在利用中のアカウントだけでなく、解約済みや休眠状態のアカウントも含まれます。
また、対象となるパスワードには、ハッシュ化・暗号化されたものも含まれています。
一方、KDDIが提供するauやUQ mobileのメールサービスは別のシステムを利用しており、今回の対象には含まれていません。
原因は第三者製ソフトウェアの脆弱性
KDDIによると、不正アクセスでは、メールシステムで利用していた第三者製ソフトウェアの脆弱性が悪用されました。
KDDIは6月17日に不正アクセスを確認し、同日中にシステム改修や技術的な防御措置を実施しています。
今回の事案では、次の二つの要素が重なりました。
メールシステムで利用していた第三者製ソフトウェアに脆弱性があった
複数のISP事業者がKDDIの共通メール基盤を利用していた
一つのソフトウェアや共通基盤の問題が、複数の事業者やサービスへ広がった形です。
これは、ソフトウェア、委託先、共通インフラなどの供給網を通じて影響が拡大する、サプライチェーンリスクを示す事例といえます。
利用者から見れば@niftyやBIGLOBEのメールであっても、そのすべてを契約先の企業だけで運用しているとは限りません。
普段見えていない共通基盤が攻撃を受けることで、自分が直接契約していない企業のインシデントに巻き込まれる可能性があります。
利用者が取るべき対応
対象となるメールサービスを利用している場合は、各事業者からの案内を確認したうえで、メールパスワードを変更してください。
特に重要なのは、同じパスワードをほかのサービスでも使っている場合です。
メールと同じパスワードを通販サイト、SNS、クラウドサービスなどで使っている場合は、それらも変更する必要があります。
メールアカウントを乗っ取られると、パスワード再設定メールを悪用され、別のサービスまで不正アクセスされる可能性があります。
使わなくなったメールアカウントについても、放置せず、必要に応じて削除や無効化を検討した方がよいでしょう。
2．「はいチーズ！フォト」で購入者情報が漏洩
学校や保育園などの写真をインターネットで販売する「はいチーズ！フォト」でも、不正アクセスによる情報漏洩が公表されました。
千株式会社によると、2026年6月4日18時頃から6月5日9時頃にかけて不正アクセスが行われ、6月5日に検知されました。
漏洩した情報には、購入者や送付先の次の情報が含まれます。
氏名
住所
電話番号
所属する団体名
園名や学校名
写真データ、クレジットカード情報、パスワード、メールアドレスについては、漏洩対象ではないと説明されています。
園名や学校名との組み合わせに注意
今回のように、氏名、住所、電話番号、園名、学校名が組み合わさると、単なる営業電話よりも信頼性の高いなりすましに悪用される可能性があります。
たとえば、次のような連絡には注意が必要です。
学校や保育園を装った電話
写真販売会社を装った返金案内
配送業者を装った住所確認
子どもの情報を知っているように見せる不審な連絡
情報を知っていることと、その連絡相手が正規の関係者であることは別です。
不審な連絡を受けた場合は、その場で個人情報を答えず、公式サイトや学校などが案内している正規の連絡先へかけ直すことが重要です。
3．Microsoftが過去最大級の月例更新を公開
Microsoftは2026年6月の月例セキュリティ更新で、過去最大級となる数の脆弱性を修正しました。
修正件数は集計方法によって異なり、約198件から208件とされています。
集計数に差があるのは、Microsoft製品だけを数えるか、Chromiumなど外部コンポーネントの更新を含めるかなど、集計条件が異なるためです。
重要なのは、単純な件数よりも、重大度の高い脆弱性が複数含まれていることです。
注目された脆弱性には、次のようなものがあります。
Microsoft Defenderの権限昇格
HTTP.sysのリモートコード実行
Windowsカーネルのリモートコード実行
BitLockerの保護を回避する脆弱性
Windows Serverや認証基盤に関係する脆弱性
Microsoftは、影響を受ける製品を利用している場合、できるだけ早くセキュリティ更新を適用するよう呼びかけています。
また、公開前に悪用されたものや、脆弱性情報が一般に公開されていたものを含む複数の脆弱性が確認されています。
ただし、「情報が公開されている脆弱性」と「実際の攻撃で悪用されている脆弱性」は同じではありません。
更新の優先度を判断する場合は、Microsoftのセキュリティ更新プログラムガイドや個別のCVE情報を確認する必要があります。
個人利用者はWindows Updateを確認
家庭でWindowsを利用している場合は、Windows Updateを実行し、再起動まで完了させてください。
更新プログラムを確認しただけでは、再起動待ちの状態で更新が完全に適用されていないことがあります。
「設定」から「Windows Update」を開き、更新と再起動の状態を確認しましょう。
組織ではサーバーと認証基盤を優先
組織では、次のシステムを優先して確認する必要があります。
外部公開しているWindows Server
ドメインコントローラ
認証基盤
HTTP.sysを利用するサーバー
Hyper-V環境
Microsoft Defenderを利用する端末
更新による影響を検証したうえで、可能な限り早く適用することが重要です。
4．Chromeで実際に悪用されたゼロデイを修正
Googleは2026年6月、ChromeのV8 JavaScriptエンジンに存在する脆弱性「CVE-2026-11645」を修正しました。
この脆弱性は、メモリの本来アクセスすべきでない範囲を読み書きできる問題です。
Googleは、この脆弱性を悪用するエクスプロイトが実環境に存在していることを確認しており、危険度を「High」と評価しています。
つまり、修正前のChromeを使い続けると、悪意のあるWebページなどを通じて攻撃を受ける可能性があります。
Chromeは更新後に再起動が必要
Chromeはバックグラウンドで更新をダウンロードしますが、更新を完全に適用するにはブラウザの再起動が必要です。
Chromeの右上に「更新」などの表示が出ている場合は、作業中のタブを保存したうえで再起動してください。
更新状況は、Chromeのメニューから次の順に確認できます。
ヘルプ → Google Chromeについて
Edge、Brave、Operaなど、Chromiumを基盤とするブラウザについても、それぞれ最新版を確認した方がよいでしょう。
5．国内ISPの認証情報を悪用したとみられるフィッシング
フィッシング対策協議会は2026年6月26日、国内ISPの認証情報を不正利用して送信されたとみられるフィッシングメールについて注意を呼びかけました。
確認されたメールでは、VISAやAmazonなどを装う件名が使われています。
例として、次のような件名が報告されています。
「【重要】VISA力一ド ご利用制限のお知らせ」
「【重要】お客様のAmazonアカウントが一時的に制限されています」
「【Amazon.co.jp】お支払い方法の確認が必要です」
「お荷物の配送に問題が発生しました」
「カード」の「カ」を漢字の「力」に置き換えるなど、迷惑メールフィルターを回避しようとする表記も確認されています。
なお、この注意喚起とKDDIの不正アクセス事案との直接的な関連性は確認されていません。
フィッシング対策協議会も、KDDIなどの注意喚起を参考情報として掲載しつつ、直接的な関連性は確認できていないと説明しています。
現時点では、同一の事件として断定すべきではありません。
ただし、ISPのメールアカウントが乗っ取られると、正規のメールサーバーからフィッシングメールを送信される可能性があります。
正規のメール基盤が悪用されることで、受信側の迷惑メール判定を通過しやすくなる場合もあります。
6．税金や年金を装うPayPay送金詐欺にも注意
住民税や国民年金の納付を装い、PayPayアプリでの支払いへ誘導するフィッシングについても、5月から注意喚起が続いています。
この手口では、差押えや延滞などの言葉で不安をあおり、正規のPayPay送金用URLへ誘導することがあります。
リンク先が本物のPayPayドメインであっても、送金先が正規の行政機関とは限りません。
詐欺師が用意した送金先へ、利用者自身に支払い操作をさせる手口です。
フィッシング対策協議会は、この手口で支払った金額はPayPayから補償されないと注意を呼びかけています。
税金、年金、公共料金などについて、メールやSMSからPayPayでの支払いを求められた場合は詐欺を疑ってください。
メールやSMSのリンクは使わず、次のような方法で確認します。
自治体や日本年金機構の公式アプリ
あらかじめ登録している公式サイトのブックマーク
納付書や契約書に記載された公式URL
公式に案内されている電話番号
検索を利用する場合も、広告枠に表示されたサイトを安易に開かず、ドメイン名が正しいか確認する必要があります。
7．今月も警戒が続くランサムウェア
ランサムウェアによる被害は、2026年も世界的に高い水準が続いています。
IPAの「情報セキュリティ10大脅威2026」でも、組織向けの1位は「ランサム攻撃による被害」です。
2位は「サプライチェーンや委託先を狙った攻撃」で、いずれも2023年以降、4年連続で順位に変化がありません。
攻撃グループとしては、Qilinなどが引き続き活発に活動していると複数のセキュリティ企業が報告しています。
ただし、ランサムウェアの被害件数を見る際には注意が必要です。
多くの集計は、攻撃者が運営するリークサイトへの掲載数をもとにしています。
攻撃者の主張が事実であるとは限らず、同じ被害が重複して数えられる場合もあります。
そのため、グループ別の件数や順位は、集計主体や期間によって異なります。
暗号化しない恐喝も増えている
近年は、データを暗号化せず、情報を盗んだうえで公開をちらつかせる恐喝も増えています。
クラウド上のデータを削除したり、バックアップを破壊したりする手口もあります。
「暗号化されなければランサムウェアではない」と考えるのは危険です。
重要なのは、次のような複数の対策を組み合わせることです。
オフラインまたは変更不能なバックアップ
多要素認証
管理者権限の制限
EDRや監視ログ
復旧手順の訓練
委託先やクラウドサービスの確認
8．AIの利用をめぐるリスクが主要な脅威として浮上
IPAの「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が組織向け3位に初めて選ばれました。
AIに関するリスクは、攻撃者による悪用だけではありません。
AIを利用する組織側にも、情報漏洩や誤情報の利用などの問題があります。
主なリスクは次の通りです。
AIへ機密情報や個人情報を入力する
会社が管理していない個人アカウントでAIを業務利用する
AIが生成した誤情報を確認せず利用する
AIでフィッシング文面や攻撃コードが作成される
AI音声や映像で本人になりすます
AIサービスと連携したOAuth権限が悪用される
AIが生成した文章やコードの出典や安全性を確認しない
ディープフェイク詐欺は過去事例から学ぶ
AIを使ったなりすましの代表例として、2024年には香港で、映像会議に参加した上司や同僚がディープフェイクだった事例が報告されました。
これは2026年6月に発生した事件ではありませんが、AIによる映像や音声を本人確認の根拠として過信できないことを示す過去事例です。
今後は、映像や音声が自然だから本人だと判断するのではなく、送金や重要な変更には別の確認経路が必要になります。
たとえば、次のような対策が考えられます。
登録済みの電話番号へかけ直す
チャットやメールなど別の経路でも確認する
高額送金は複数人で承認する
家族や社内で合言葉を決める
突然の口座変更はその場で処理しない
9．フィッシング対策ガイドライン2026年度版が公開
フィッシング対策協議会は2026年6月1日、「フィッシング対策ガイドライン2026年度版」を公開しました。
ガイドラインでは、メール送信者のなりすましを防ぐため、DMARCなどの送信ドメイン認証技術の導入が重視されています。
DMARCは、SPFやDKIMの認証結果を利用し、正規ドメインを装ったメールを検知・拒否するための仕組みです。
利用者の認証については、パスキーや多要素認証の活用も重要になります。
DMARCだけですべて防げるわけではない
DMARCは、正規ドメインのなりすまし対策として有効です。
一方、攻撃者が別のよく似たドメインを取得した場合や、正規のメールアカウント自体を乗っ取った場合には、DMARCだけでは防げません。
そのため、組織には次の対策も必要です。
類似ドメインの監視
アカウントの多要素認証
不審なログインの検知
メール本文内のリンク検査
利用者への継続的な注意喚起
パスワードだけに依存しない認証
10．サイバー対処能力強化法は段階的に施行へ
2025年5月に成立したサイバー対処能力強化法と関連法について、制度の施行に向けた準備が進んでいます。
制度の柱は、主に次の4つです。
官民連携の強化
通信情報の利用
攻撃元サーバーなどへのアクセス・無害化措置
政府の組織・体制の整備
政府資料では、官民連携やアクセス・無害化措置など、一部の制度について2026年10月1日の施行が想定されています。
一方、通信情報の利用に関係する制度などは、その後に段階的に施行される予定です。
そのため、「2026年中にすべてが全面施行される」というわけではありません。
一般利用者にとっての論点は、政府がサイバー攻撃に対してより積極的に対応できるようになる一方で、通信の秘密やプライバシーとどのように両立するかという点です。
今後、具体的な運用基準や監督体制を継続して確認する必要があります。
個人が今すぐ行うべき対策
1．対象ISPのメールパスワードを変更する
@nifty、BIGLOBE、J:COM、コミュファ光、ピカラ、CPIなど、対象となるサービスを利用している場合は、事業者の案内を確認してください。
パスワードを使い回している場合は、ほかのサービスも変更します。
2．Windowsとブラウザを更新する
Windows Updateを実行し、再起動まで完了させます。
Chrome、Edgeなどのブラウザも最新版に更新してください。
3．メールやSMSのリンクから支払わない
税金、年金、通販、カード会社、配送業者を装う連絡を受けても、本文内のリンクは使わない方が安全です。
公式アプリ、あらかじめ登録したブックマーク、請求書や契約書に記載された公式URLから確認します。
検索結果を利用する場合は、広告表示やドメイン名を慎重に確認してください。
4．パスキーや多要素認証を使う
特に、次のアカウントでは優先して有効化してください。
メール
Apple、Google、Microsoft
Amazonなどの通販
銀行や証券
SNS
クラウドストレージ
5．家族で本人確認の方法を決める
AI音声を使ったなりすまし対策として、家族内で合言葉を決めておく方法があります。
「事故に遭った」「今すぐ送金して」と言われても、いったん電話を切り、普段使っている番号へかけ直してください。
組織が今四半期に確認したいこと
1．委託先とクラウドサービスを棚卸しする
自社が直接運用していないサービスも含め、次の内容を確認します。
どの事業者がデータを保管しているか
どのSaaSと連携しているか
どのアカウントに管理者権限があるか
インシデント時に誰から連絡が来るか
契約終了後のデータやアカウントが残っていないか
利用している第三者製ソフトウェアに脆弱性がないか
2．ヘルプデスクの本人確認を強化する
電話やチャットだけでパスワードリセットやMFA再登録を許可すると、ソーシャルエンジニアリングに悪用される可能性があります。
本人確認手順を文書化し、担当者の判断だけに依存する例外対応を減らす必要があります。
3．6月のセキュリティ更新を優先適用する
特に、外部公開サーバー、ドメインコントローラ、認証基盤、Hyper-V、Microsoft Defenderについて優先的に確認します。
4．生成AIの利用ルールを決める
生成AIの利用を一律に禁止するだけでは、会社が利用状況を把握できない「シャドーAI」が増える可能性があります。
次の点を明確にした方がよいでしょう。
使用可能なAIサービス
入力してよい情報
個人アカウント利用の可否
出力内容の確認責任
ソースコードや顧客情報の扱い
外部連携やOAuth権限の管理
AIが生成した成果物のレビュー方法
5．インシデント公表の手順を準備する
被害が発生してから初めて広報文を考えると、発表の遅れや内容の矛盾につながります。
法務、広報、セキュリティ、経営層の役割を事前に決めておく必要があります。
公表する情報、利用者への通知方法、問い合わせ窓口、監督機関への報告手順も整理しておきましょう。
まとめ
2026年6月は、KDDIのISP向けメールシステムへの不正アクセスを通じて、共通基盤や委託先を経由して被害が広がるリスクが改めて明らかになりました。
利用者から見えるサービス名と、裏側でシステムを運用している企業は必ずしも同じではありません。
そのため、自分が直接契約していない企業のインシデントでも、普段使っているメールやサービスへ影響が及ぶことがあります。
また、MicrosoftやChromeでは重大な脆弱性が相次ぎ、フィッシングではISPアカウントの乗っ取りや、公金を装ってPayPayでの支払いへ誘導する詐欺が確認されています。
個人がまず行うべきことは、難しいセキュリティ製品を導入することではありません。
パスワードを使い回さない
パスキーや多要素認証を使う
OSとブラウザを更新する
メール内のリンクから支払わない
急な送金要求は別経路で確認する
この基本を続けるだけでも、防げる被害は少なくありません。
注意点
KDDIの約1,422万件は、漏洩した可能性がある最大件数です。
KDDIの公式発表で対象とされているのは、メールアドレスとパスワードです。メール本文の漏洩は公表されていません。
6月26日に注意喚起されたISP認証情報を悪用したとみられるフィッシングと、KDDIの事案との直接的な関連性は確認されていません。
Microsoftの修正件数は、集計条件によって198件から208件程度の差があります。
「公開済みの脆弱性」と「実際に攻撃で悪用された脆弱性」は同じではありません。
AI詐欺の過去事例は、2026年6月に発生した事件とは限りません。今月の傾向を理解するための参考事例として掲載しています。
サイバー対処能力強化法は段階的に施行される予定であり、すべての制度が2026年中に施行されるとは限りません。
関連記事
参考情報
いいなと思ったら応援しよう！
よろしければ応援お願い致します。 いただいたチップはnoteへのコンテンツ活動費として使わせて頂きます。 