総務省は7月29日、KDDI株式会社への文書による行政指導について発表した。
KDDIでは5月16日から6月17日に、複数のインターネットサービスプロバイダ向けに提供するメールシステムにて、外部からの不正アクセスでユーザーのメールアドレスや同システムのログインパスワード等のメール関連情報が漏えいし、第三者から約762万人のユーザーのメールボックス内の情報が閲覧可能となっていたことが発覚している。
同省では、通信の秘密の保護の観点から、メールシステムは本来、多層的な防御態勢が敷かれるべきであるにもかかわらず、それが有効に機能せず、結果として、約762万人もの通信の秘密が漏えいする事態を招き、特に、KDDIの設備から漏えいしたパスワードが「暗号化等の安全管理措置が講じられない状態で保存されていたという事情は看過できない」としている。
また同省では、本事案で多数のユーザーのパスワード変更が必要となったことを踏まえ、利用者に与えた影響は大きく、電気通信事業に対する利用者の信頼が大きく損なわれたことは、「極めて遺憾」であるとし、KDDIに対し、徹底した再発防止に努めるよう、厳重に注意している。
その他、同省では、KDDIが原因の特定や対処を行ったうえで本事案を公表したことについて、本事案を最初に覚知したプロバイダ1社から第一報を受けてか
ら22日間を要したことについて、「迅速な対応とは言い難い」と断罪している。
同省では本件について、電気通信事業法（昭和59年法律第86号）第4条第1項に規定する通信の秘密の漏えいがあったものと認められるとし、KDDIに対し「再発防止策の実施状況」、「二次被害に係る状況」について8月31日までに同省への報告を求めるとともに、その後、同指導を実施した2026年7月29日から起算して少なくとも1年間は、四半期ごとに報告するよう、文書による行政指導を行ったとのこと。
