KDDI-Sicherheitsvorfall legt 14,2 Millionen E-Mail-Konten bei sechs japanischen ISPs offen

KDDI Corporation, Japans zweitgrößter Mobilfunkanbieter, hat am 17. Juni bekannt gegeben, dass Angreifer in seine verwaltete E-Mail-Infrastruktur eingedrungen sind und möglicherweise die Zugangsdaten von bis zu 14,22 Millionen Konten bei sechs japanischen Internetdienstanbietern offengelegt haben.

Der Vorfall ist einer der größten Datenlecks in der jüngeren Geschichte Japans und betrifft Kunden von STNet, KDDI Web Communications, JCOM, Chubu Telecommunications, Nifty und Biglobe – alles Anbieter, die eine gemeinsame, von KDDI betriebene E-Mail-Verwaltungsplattform nutzen.

Wie der Angriff ablief

Die Untersuchungen von KDDI ergaben, dass die Angreifer Sicherheitslücken in Drittanbieter-Software ausnutzten, die in das gemeinsame E-Mail-System integriert war. Nach dem Eindringen erlangten sie unbefugten Zugriff auf Postfach-Informationen, einschließlich E-Mail-Adressen und der dazugehörigen Passwörter. Der Vorfall wurde am 17. Juni 2026 entdeckt, und KDDI handelte schnell, um die Angreifer zu blockieren und die Eintrittspforte zu schließen.

Das Unternehmen informierte noch am selben Tag die japanische Kommission für den Schutz personenbezogener Daten und das Ministerium für Innere Angelegenheiten und Kommunikation – eine relativ zügige Reaktion, die darauf hindeutet, dass KDDI über etablierte Incident-Response-Prozesse verfügt.

Wer betroffen ist

Die Zahl von 14,22 Millionen stellt die maximal mögliche Gefährdung dar und umfasst derzeitige, ehemalige und inaktive Konten bei allen sechs betroffenen ISPs. Nicht jedes Konto wurde zwangsläufig abgerufen, doch KDDI hat nicht bestätigt, welche Teilmenge tatsächlich angegriffen wurde. Das Unternehmen hat alle Nutzer der sechs ISPs aufgefordert, ihre E-Mail-Passwörter sofort zu ändern, unabhängig davon, ob sie eine individuelle Benachrichtigung erhalten haben.

Die betroffenen ISPs decken große japanische Breitbandmärkte ab. Nifty ist einer der ältesten ISPs des Landes mit Millionen von Privatkunden. JCOM ist ein Kabelfernseh- und Breitbandanbieter. Biglobe ist ein bekannter Verbraucher-ISP in KDDI-Besitz. Das Shared-Infrastructure-Modell, das diesen Vorfall erst ermöglichte – eine Plattform, die mehrere Betreiber bedient – ist in der japanischen Telekommunikationsbranche weit verbreitet, weshalb eine einzige Sicherheitslücke eine überdurchschnittlich große Wirkung hatte.

Was offengelegt wurde

KDDI bestätigte, dass E-Mail-Adressen und Login-Passwörter zu den offengelegten Daten gehörten. Ob die Passwörter im Klartext, gehasht oder verschlüsselt gespeichert waren, wurde nicht mitgeteilt. Falls Passwörter ohne starkes Hashing gespeichert waren, reicht das Risiko über die E-Mail-Konten hinaus: Viele Nutzer verwenden Passwörter für Banking, soziale Medien und andere Dienste mehrfach, sodass Credential Stuffing eine ernste sekundäre Bedrohung darstellt.

Auswirkungen auf den japanischen ISP-Sektor

Der Vorfall verdeutlicht ein strukturelles Risiko im japanischen ISP-Ökosystem: Die Bündelung der E-Mail-Infrastruktur unter wenigen großen Carriern führt dazu, dass ein einzelner Vorfall Kunden bei Dutzenden von Verbrauchermarken gefährden kann. Obwohl KDDIs schnelle Reaktion das Zeitfenster der Gefährdung begrenzt hat, wirft der Umfang des Vorfalls die Frage auf, ob gemeinsame Plattformen eine stärkere Isolierung zwischen den ISP-Mandanten aufweisen sollten.

Die japanische Kommission für den Schutz personenbezogener Daten wird sich wahrscheinlich mit der Sicherheitslücke der Drittanbieter-Software befassen, die im Zentrum des Angriffs stand. KDDI hat den Vorfall öffentlich gemacht und arbeitet mit den japanischen Aufsichtsbehörden zusammen. Betroffene Nutzer sollten umgehend ihre Passwörter ändern und, wo verfügbar, die Zwei-Faktor-Authentifizierung aktivieren.