Violation de données KDDI ISP de 2026

Selon le rapport officiel, les accès non autorisés ont commencé chez certains fournisseurs d’accès à Internet le 16 mai 2026. KDDI a confirmé l’incident le 17 juin, a modifié le système le jour même pour isoler le point d’entrée présumé et a mis en place des protections techniques. Sa première annonce publique date du 23 juin. Le ministère japonais chargé des communications a demandé un rapport en vertu de la loi sur les activités de télécommunications le 24 juin, et KDDI a remis son rapport détaillé le 6 juillet.

Ces accès ont exploité une vulnérabilité dans un logiciel tiers utilisé au sein de la plateforme. Le fournisseur du logiciel ignorait l’existence de cette faille lorsque KDDI a confirmé l’incident le 17 juin. KDDI a ensuite engagé la procédure de notification aux autorités publiques et de divulgation. KDDI n’a communiqué ni le nom du logiciel, ni un identifiant CVE, ni l’identité de l’auteur des accès, ni d’autres détails sur la méthode d’accès précise.

Les catégories de données dont l’exposition est confirmée sont les adresses e-mail et les mots de passe. Le chiffre de 12 231 954 correspond, dans le rapport officiel, au nombre de personnes dont les adresses e-mail ont été exposées; il ne s’agit pas d’un décompte de lignes de données brutes uniques ni d’enregistrements locaux. Le chiffre de 7 616 173 correspond au sous-ensemble de ce groupe dont les mots de passe ont été exposés. Les noms, numéros de téléphone, adresses postales, données de paiement, identifiants délivrés par les autorités et contenus des e-mails ne figurent pas parmi les champs dont l’exposition est confirmée dans le rapport.

Des sources indépendantes identifient STNet, JCOM, Chubu Telecommunications, NIFTY et BIGLOBE comme les cinq fournisseurs utilisant la plateforme. Les services au Mail, UQ mobile Mail et au one net Mail de KDDI fonctionnaient sur des équipements distincts et n’ont pas été touchés, selon le rapport officiel. Un nom de domaine ou une marque KDDI ne suffit pas, à lui seul, à établir qu’une boîte mail donnée est concernée par cet incident.

En production, il n’existe aucune tâche d’importation ni aucune donnée locale à l’échelle individuelle pour cet incident, et chaque collection d’adresses e-mail, de mots de passe ou d’autres données liées contient zéro enregistrement. Le périmètre externe de l’incident chez l’entreprise n’est pas présenté comme un résultat de recherche local, un jeu de données d’adresses e-mail uniques ou un décompte de mots de passe stockés localement.

Au 21 juin, KDDI avait déployé un dispositif EDR sur les serveurs contrôlant les communications externes. L’entreprise a indiqué qu’une analyse forensique réalisée le 23 juin par un tiers n’avait décelé aucune trace suspecte au-delà de la faille divulguée. Elle a coordonné les changements de mots de passe avec les fournisseurs d’accès à Internet concernés et a prévu des réinitialisations obligatoires pour les comptes restants. Si vous recevez une notification, vous pouvez accéder directement à l’adresse du fournisseur et choisir un nouveau mot de passe unique; si vous avez réutilisé l’ancien mot de passe sur un autre service, vous pouvez également le changer sur ce service. Vérifiez les messages de réinitialisation inattendus par un canal officiel connu, sans utiliser le lien contenu dans le message.