KDDI: Eindringen in Mail-Infrastruktur für ISP – bis zu 14,22 Millionen Datensätze könnten abgeflossen sein

2026-06-23

KDDI teilte am 23. mit, dass das für Internetzugangsanbieter bereitgestellte Mailsystem unbefugt angegriffen worden sei und dabei möglicherweise personenbezogene Daten von bis zu 14,22 Millionen Fällen abgeflossen seien. Darin enthalten seien E-Mail-Adressen und Passwörter; zudem bestehe die Gefahr, dass auch E-Mail-Inhalte abgeflossen seien.

Überblick über den Schaden

Betroffen sind sechs externe ISP

KDDI erklärte, betroffen sei ein System, das sechs externen Internetzugangsanbietern bereitgestellt werde. Dazu gehören STNet, KDDI Web Communications, JCOM, Chubu Telecommunications, Nifty und Biglobe. Der E-Mail-Dienst von KDDI selbst wird auf einer anderen Plattform betrieben, Auswirkungen gab es nicht.

Schwachstelle ausgenutzt

Am 17. erkannt, Gegenmaßnahmen umgesetzt

Das Unternehmen nahm den Vorfall am 17. zur Kenntnis und führte zur Verhinderung einer Ausweitung des Schadens Systemanpassungen durch. Nach Angaben des Unternehmens wurde eine Schwachstelle in Software eines Drittanbieters ausgenutzt. Auch verdächtige Stellen im Zusammenhang mit dem unbefugten Zugriff wurden identifiziert; technische Schutzmaßnahmen wurden ergriffen.

E-Mail-Adressen und Passwörter bestätigt

Möglicherweise war ein Login möglich

Nach aktuellem Stand wurde bestätigt, dass E-Mail-Adressen und Passwörter im Zusammenhang mit Mailboxen, die in dem betroffenen E-Mail-Dienst angelegt wurden, abgeflossen sind. Es wird vermutet, dass ein Login in die Mailboxen möglich war, wodurch unbefugtes Einsehen von E-Mails oder der Missbrauch von Versandfunktionen möglich gewesen wäre.

Nutzer zu Aktualisierung aufgerufen

Bericht an Datenschutzkommission und Ministerium für Inneres und Kommunikation

KDDI ruft die betroffenen Nutzer über die ISP dazu auf, ihre Passwörter umgehend zu ändern. Auch die Datenschutzkommission und das Ministerium für Inneres und Kommunikation wurden informiert; künftig will man die betroffenen Bereiche gemeinsam mit den ISP rasch eingrenzen.

Wiederholte Datenlecks in der Telekombranche

180 Vorfälle bei börsennotierten Unternehmen

Laut Tokyo Shoko Research kamen im Jahr 2025 die von börsennotierten Unternehmen und ihren Tochtergesellschaften gemeldeten Vorfälle von Datenlecks und Datenverlusten auf 180. Die Zahl der Betroffenen lag mit mehr als 30 Millionen um etwa das Doppelte über dem Vorjahr, und 60 Prozent der Ursachen entfielen auf unbefugten Zugriff oder Vireninfektionen.

Bei KDDI wurde im Januar in einem Tochterunternehmen, das Online-Werbevermittlung betreibt, ein Bilanzfälschungsskandal durch Scheintransaktionen bekannt; der Präsident der Tochtergesellschaft trat zurück. Auch KDDI-Präsident Hirochi Matsuda gab einen Teil seines monatlichen Gehalts zurück. In dem am 23. veröffentlichten Ad-hoc-Bericht belief sich die Zustimmung zur Wahl von Vorstandschef Akira Takahashi bei dem auf der ordentlichen Hauptversammlung am 17. vorgelegten Vertrauensvotum für die Direktoren auf 62,34 Prozent, bei Matsuda auf 77,67 Prozent. Beide Werte lagen damit deutlich unter den mehr als 90 Prozent des Vorjahres.

Wenn Ihnen dieser Artikel geholfen hat, teilen Sie ihn gerne.