KDDI系レンタルサーバー「CPI」でメール不正アクセス発生。影響と対応をまとめて解説

📖 推定読了時間：約6分

「自分の使っているレンタルサーバーで、こういう問題が起きたらどうしよう」——サイトやメールをレンタルサーバーで運用している人なら、そんな不安が一度は頭をよぎったことがあるのではないでしょうか。普段は当たり前に使っているサービスだからこそ、いざという時にどう対応すればいいのか分からないと不安になりますよね。

2026年6月から7月にかけて、KDDIグループが提供する法人向けレンタルサーバー「CPI」で、メールサービスへの不正アクセスが発生し、メールアカウント情報の漏えいが確認されました。この記事では、今回の事案の内容と、レンタルサーバーを利用するすべての人が参考にできる備え方を整理します。

何が起きたのか：メールシステムへの不正アクセス

今回の一件は、KDDI株式会社が発表した、ISP事業者向けメールシステムに対する不正アクセスに端を発しています。CPIレンタルサーバーもこのメールシステムを利用していたため、影響を受けることになりました。CPIが2026年7月7日に公開した続報によると、「ビジネス スタンダード」および「KWCメール」の利用者についてはメールアカウントの漏えいが確認されたものの、パスワードはハッシュ化された状態で管理されており、パスワードそのものの漏洩は確認されていないとされています。

影響が確認された利用者には、個別にメールで連絡が行われました。パスワード自体の漏洩はないとはいえ、安全確保の観点から、CPIは対象アカウントに対してメールパスワードの変更を呼びかけています。

実はここが大事：強制パスワード変更のスケジュール

CPIは、自主的なパスワード変更が行われなかったアカウントについて、2026年7月21日未明に運営側でメールパスワードを強制的に変更するという対応を取りました。これにより、変更前のパスワードでは、メールソフトでの送受信やコントロールパネルへのログインができなくなる仕組みです。

注意しておきたいのは、強制変更のタイミングは利用者側では選べず、実施の前後はコントロールパネルなどが混雑して繋がりにくくなる可能性があるとアナウンスされていた点です。こうした大規模な対応が行われる際は、事前に案内されたスケジュールをよく確認し、余裕を持って自主的に対応しておくのが安心です。

見落としがちな二次被害：便乗フィッシングメール

今回の一件でもう一つ注意したいのが、事案に便乗した「なりすまし・フィッシングメール」への注意喚起が、CPIから複数回にわたって発信されているという点です。実際のセキュリティインシデントが話題になると、それに乗じて公式を装った偽メールを送りつけ、パスワードなどの情報を盗もうとする手口が横行しやすくなります。

• ⚠️「至急パスワードを変更してください」といったメール内のリンクは安易にクリックしない
• ✅パスワード変更は、必ずブックマークや公式サイトから直接ログインして行う
• ✅不審なメールを受け取った場合は、利用しているサービスの公式サポート窓口に確認する

自分のサーバーで同じことが起きたら？今からできる備え

今回はCPIというサービス固有の事案ですが、レンタルサーバーやクラウドサービスを利用している以上、似たようなインシデントは他の事業者でも起こりうるものです。日頃から次のような備えをしておくと、いざという時の被害を抑えやすくなります。

• 👍メールアカウントや管理画面のパスワードを、他のサービスと使い回さない
• 👍利用しているサービスの公式お知らせページを、定期的にチェックする習慣をつける
• 👍可能であれば、多要素認証（二段階認証）が使える設定は有効にしておく

まとめ

CPIレンタルサーバーで発生した今回のメール不正アクセス事案は、パスワードそのものの漏洩こそ確認されていないものの、メールアカウント情報の漏えいや、それに便乗したフィッシングメールへの注意が必要な事案でした。運営側は影響確認から強制パスワード変更まで、段階的に対応を進めています。

レンタルサーバーやメールサービスを利用している人は、今回の件を「他社の話」で終わらせず、自分が使っているサービスのパスワード管理や通知確認の習慣を見直すきっかけにしてみるとよいでしょう。