KDDI ISP 2026 Veri İhlali
KDDI ISP 2026 veri ihlali, KDDI'nin internet servis sağlayıcıları için geliştirdiği ortak e-posta platformundaki üçüncü taraf yazılım açığının kullanılmasıyla gerçekleşti.
Sızan Veri Türleri
2- E-posta Adresleri
- Parolalar
Bu İhlal Hakkında
KDDI'nin 6 Temmuz tarihli ve 21 Temmuz'da güncellenmiş resmî raporu, sistemde oluşturulan e-posta adresleri açığa çıkan 12.231.954 kişiyi ve bu grubun içinde sistem parolaları açığa çıkan 7.616.173 kişiyi bildirir. Parola değeri e-posta kapsamının alt kümesidir ve iki sayı toplanmaz.
Olayın zaman çizelgesi ve nedeni
Resmî rapora göre yetkisiz erişim bazı ISP'lerde 16 Mayıs 2026'da başladı. KDDI olayı 17 Haziran'da doğruladı, aynı gün sistemi değiştirerek şüpheli noktayı sınırladı ve teknik savunma uyguladı. 23 Haziran'da ilk kamu açıklamasını yaptı; Japonya İçişleri ve Haberleşme Bakanlığı 24 Haziran'da Telekomünikasyon İşletmeciliği Yasası kapsamında rapor istedi ve KDDI ayrıntılı raporunu 6 Temmuz'da sundu.
Erişim, platformun parçası olarak kullanılan üçüncü taraf yazılımdaki bir güvenlik açığından yararlandı. Yazılım sağlayıcısı açığı KDDI'nin olayı doğruladığı 17 Haziran tarihinde bilmiyordu ve daha sonra kamu kurumuna bildirim ile yayımlama çalışmalarını başlattı. KDDI yazılım adını, CVE numarasını, aktörü veya kesin erişim yönteminin ek ayrıntılarını açıklamadı.
Hangi veri ve hizmetler kapsamda?
Doğrulanan sınıflar e-posta adresleri ve parolalardır. 12.231.954, resmî raporun e-posta adresi açığa çıkan kişiler için kullandığı kapsamdır; benzersiz ham satır veya yerel kayıt sayısı değildir. 7.616.173, aynı grubun içinde parolası açığa çıkan kişilerin alt kümesidir. Ad, telefon, posta adresi, ödeme bilgisi, devlet kimliği ve e-posta içeriği raporda doğrulanmış alanlar olarak listelenmez.
Bağımsız haber, STNet, JCOM, Chubu Telecommunications, NIFTY ve BIGLOBE'u bu platformu kullanan beş sağlayıcı olarak listeler. KDDI'nin ayrı ekipmanda çalışan au Mail, UQ mobile Mail ve au one net Mail hizmetleri resmî rapora göre etkilenmedi. Bir KDDI alan adı veya markası tek başına belirli bir posta kutusunun olay kapsamında olduğunu kanıtlamaz.
Yerel kapsam ve müdahale
Üretimde bu olay için import işi veya yerel kişi verisi yoktur; e-posta, parola ve diğer ilişki koleksiyonlarının tamamı sıfırdır. Dıştaki şirket kapsamı yerel arama sonucu, benzersiz e-posta veri kümesi veya saklanan parola sayısı olarak sunulmaz.
KDDI 21 Haziran'a kadar dış iletişimi kontrol eden sunuculara EDR kurdu; 23 Haziran'daki üçüncü taraf adli incelemesinde açıklanan açık dışında şüpheli iz bulunmadığını bildirdi. Etkilenen ISP'lerle parola değişikliklerini yürüttü ve kalan hesaplar için zorunlu sıfırlama planladı. Bildirim alan müşteriler sağlayıcının adresini doğrudan açarak yeni ve benzersiz parola belirleyebilir; aynı eski parola başka bir hizmette kullanıldıysa o kopya da değiştirilebilir. Beklenmedik parola sıfırlama mesajları, mesaj içindeki bağlantı kullanılmadan bilinen resmî kanaldan doğrulanmalıdır.
Doğrulama ve editoryal yöntem
LeakData; olay adı, tarih, etkilenen kayıt sayısı ve veri türlerini erişilebilir kaynaklarla karşılaştırır. Doğrulanamayan alanlar kesin bilgi olarak sunulmaz ve kayıtlar yeni kanıt bulunduğunda güncellenir.
Eksik veya hatalı bilgi bildirin
