文章总结： KDDI邮箱平台因第三方软件漏洞遭未授权访问，泄露超1200万邮箱地址及760万密码。攻击始于2026年5月，KDDI于6月确认并处置。核心风险在于密码复用可能引发撞库、钓鱼等连锁攻击。建议用户立即修改受影响密码、启用多因素认证、检查邮箱转发规则并警惕二次钓鱼。企业应排查员工凭据复用情况，强制重置高风险账号密码。 综合评分： 88 文章分类： 数据泄露,安全意识,安全运营,漏洞分析

KDDI 邮箱平台泄露超千万账号：最该警惕的，是密码复用

原创

tcode tcode

字节脉搏实验室

2026年7月9日 10:11 北京

在小说阅读器读本章

去阅读

    数据泄露新闻多了以后，很多人会下意识觉得“又是一个大公司出事，和我关系不大”。

    但如果泄露的是邮箱地址和密码，风险就会立刻变得具体。邮箱往往是找回其他账号的入口，密码复用又会把一次泄露放大成多个平台的连锁风险。

    7 月 8 日，KDDI 邮箱平台泄露事件被多家安全媒体跟进报道，值得普通用户和企业都认真看一眼。

事件概述

    KDDI 在 2026 年 7 月 6 日发布的报告中说明，其面向 ISP 运营商提供的邮件系统遭遇未授权访问。该系统为 ISP 提供邮件账号管理、收发信、Webmail 和邮件数据保存等功能。

    KDDI 称，攻击源于其系统中使用的第三方软件漏洞。未授权访问从 2026 年 5 月 16 日开始发生，KDDI 于 6 月 17 日确认事件，并在当天对系统进行修改和防御处置。KDDI 表示，在其确认时，该漏洞尚未被软件供应商认知，供应商随后向公共机构报告并推进公开披露。

    KDDI 披露，已确认泄露的电子邮件地址涉及 12,233,087 人，密码涉及 7,616,173 人。BleepingComputer 于 7 月 8 日跟进报道称，KDDI 正与相关 ISP 推进密码修改和强制重置。

核心事实

    事实：KDDI 官方 7 月 6 日报告显示，本次事件影响 ISP 运营商邮件系统，不影响 KDDI 自身移动和固定互联网邮件服务的独立基础设施。

    事实：KDDI 已确认泄露 12,233,087 人的邮件地址，以及 7,616,173 人的密码。部分密码以哈希或加密形式保存，但官方未说明明文、哈希、加密各自占比及具体算法。

    事实：KDDI 称攻击者利用第三方软件漏洞进入系统；截至 KDDI 6 月 17 日确认时，该漏洞尚未被软件供应商认知。

    推测：泄露的邮箱和密码可能被用于撞库、钓鱼、垃圾邮件、账号找回攻击和二次诈骗。这个判断基于同类凭据泄露常见后果，不代表 KDDI 已确认这些后续攻击发生。

    观点：对普通用户来说，最紧急的动作不是等待完整调查，而是立即处理密码复用和邮箱账号安全。

影响分析

    邮箱地址本身看似不敏感，但它经常是登录名、找回入口和身份线索。攻击者拿到邮箱地址后，可以更精准地发送钓鱼邮件、伪装服务通知、诱导重置密码或尝试登录其他平台。

    密码泄露的影响更直接。如果用户在多个网站使用相同或相近密码，攻击者可以用自动化方式尝试登录社交平台、电商、云盘、游戏、企业办公系统甚至银行相关服务。

    企业也不能只把它看成个人账号问题。员工如果将个人邮箱密码复用于企业系统，或者在供应商平台、影子 IT 工具、旧系统中重复使用密码，外部泄露可能成为企业入侵的起点。

普通用户和企业应对建议

    1. 立即修改受影响邮箱密码，并避免只在末尾加数字这类弱变体。

    2. 检查密码复用：凡是和该邮箱使用过相同或相近密码的平台，都应改成唯一强密码。

    3. 启用 MFA 或通行密钥：优先为邮箱、网银、电商、社交平台、云盘和企业办公账号开启多因素认证或 passkey。

    4. 检查邮箱安全设置：查看是否存在陌生转发规则、自动回复、第三方授权、异常登录设备、未知恢复邮箱或手机号。

    5. 警惕二次钓鱼：不要轻信“账号泄露处理”“补偿领取”“紧急验证”“安全升级”等邮件或短信中的链接。

    6. 企业应做凭据排查：监控员工企业邮箱、SSO、VPN、云服务是否存在与外部泄露密码复用的风险；对高风险账号强制重置密码并复核 MFA。

结语

    KDDI 事件不是单纯的“日本运营商新闻”。它提醒所有人：邮箱账号仍然是数字身份的核心入口。

    只要邮箱和密码同时泄露，最危险的往往不是这一个邮箱被登录，而是同一组密码被拿去试别的门。今天能做的最有效动作很明确：唯一密码、MFA、检查转发规则、警惕二次钓鱼。

关键来源

• KDDI 官方 PDF，2026-07-06，ISP 事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告：https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-73_4619/kddi_nr_s-73_4619_pdf_01.pdf

• BleepingComputer，2026-07-08 07:24 AM，Telco giant KDDI says data breach affects over 12 million people：https://www.bleepingcomputer.com/news/security/japanese-telecom-giant-kddi-says-data-breach-affects-12-million-people/

• The Record，2026-07-07，Major Japanese telco says cyberattack exposed 12 million emails：https://therecord.media/major-japanese-telco-cyberattack-12-million-emails

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《KDDI 邮箱平台泄露超千万账号：最该警惕的，是密码复用》