※本ページはプロモーションが含まれています※
2025年7月、香川県高松市に本社を置く株式会社STNet（エスティネット）が、顧客約40万人分のメールアドレスとパスワード、合わせて約45万6000件の個人情報が外部に漏えいしたと発表しました。今回の漏えいは、親会社であるKDDIが企業向けに提供するメールシステムへの不正アクセスが原因とされています。
STNet情報漏えい事件の全容と発表内容の詳細解説
2025年7月6日、香川県高松市春日町に本社を置く株式会社STNetは、同社が提供するメールサービスの利用者情報が外部に漏えいした事実を正式に発表しました。この発表は、KDDIが企業向けに提供しているメールシステムへの不正アクセスに端を発するもので、日本国内のインターネットサービスプロバイダー（ISP）業界において過去最大級の情報漏えい事案のひとつと位置付けられています。
STNetの発表によると、漏えいの対象となったサービスは以下の3つです。
- ピカラ光サービス：四国4県（香川・徳島・愛媛・高知）を中心に展開する光回線インターネット接続サービス
- ピカラモバイルサービス：スマートフォン向け格安SIM・格安スマホサービス（旧「Fiimo（フィーモ）」）
- お仕事ピカラサービス：小規模事業者や個人事業主向けのビジネスインターネットサービス
漏えいした情報は、顧客39万7152人分のメールアドレスとパスワードで、その総件数は45万6159件にのぼります。一人の顧客が複数のメールアドレスを保有しているケースもあるため、顧客数と件数に差が生じている点が特徴です。STNetは公式サイトおよびプレスリリースを通じて顧客に対し深くお詫びを表明するとともに、被害拡大防止のための緊急対応を進めています。
今回の事案は、単なる企業情報のリークではなく、個人の通信インフラに直結する認証情報が流出したという点で極めて深刻です。メールアドレスとパスワードのセットが第三者の手に渡ることで、なりすまし、不正ログイン、詐欺メール、フィッシング攻撃など、二次被害の連鎖が発生するリスクが極めて高い状況です。
KDDI不正アクセス問題との関連性とプロバイダー6社への波及
STNetの情報漏えいは、独立した事象ではなく、KDDI株式会社が全国のISP事業者向けに提供するメールシステム基盤への不正アクセスという、より大規模な問題の一部です。KDDIは2025年6月23日、外部からの不正アクセスにより、同社のメールプラットフォームを利用する全国のプロバイダー6社について、合計で最大1422万件のメールアドレスとパスワードが漏れた可能性があると発表しました。
影響を受けた6社は以下の通りです。
- STNet（高松市／ピカラ光サービス、ピカラモバイル、お仕事ピカラ）
- KDDIウェブコミュニケーションズ（東京）
- JCOM（東京）
- 中部テレコミュニケーション（ctc）（名古屋市）
- ニフティ（東京／@niftyメール）
- ビッグローブ（東京／BIGLOBEメール）
これら6社はいずれも、KDDIが構築・運用するISP事業者向けの共通メールプラットフォームを利用しており、そのシステム上のセキュリティ脆弱性を突かれた形となりました。1422万件という膨大な数字は、日本のインターネット利用者の相当数に影響が及ぶ可能性を示唆しており、国内における個人情報漏えい事件として歴史に残る規模と言えます。
KDDIおよび各プロバイダー各社は、不正アクセスの経路特定、システムの脆弱性修正、影響範囲の確定作業を並行して進めており、総務省もKDDIに対して原因究明と再発防止策の報告を求めています。今回のSTNetの発表は、この一連の調査の中で被害範囲が確定した段階で行われたものであり、他の5社についても順次詳細発表が行われる見込みです。
約40万人分の個人情報漏えいがもたらす二次被害リスクと危険性
今回のSTNet情報漏えいで最も警戒すべきは、「メールアドレス」と「パスワード」がセットで流出している点です。この組み合わせが第三者の手に渡ることで、以下のような深刻な二次被害が発生する恐れがあります。
1. パスワードリスト型攻撃（クレデンシャルスタッフィング）
多くの利用者は、複数のオンラインサービスで同一のメールアドレスとパスワードを使い回しているのが実情です。攻撃者は流出したパスワードリストを使用して、SNS、ネットバンキング、ECサイト、クラウドストレージなどへの不正ログインを試みます。これは「パスワードリスト攻撃」または「クレデンシャルスタッフィング」と呼ばれ、近年最も被害が多いサイバー攻撃手法のひとつです。
2. フィッシングメール・詐欺メールの標的化
メールアドレスが流出したことにより、利用者は標的型フィッシングメールの主要ターゲットとなります。「STNetを装った偽のパスワード変更案内メール」「KDDIからの重要通知を装ったメール」などが送りつけられる可能性が高く、これらのメール内のURLをクリックすると、偽のログイン画面に誘導されてさらなる情報を盗まれる危険があります。
3. メールアカウントの乗っ取りと悪用
ピカラのメールアカウントそのものが乗っ取られた場合、攻撃者は本人になりすまして知人・家族・取引先に詐欺メールを送信することが可能になります。また、他サービスのパスワード再設定通知メールを受信・削除することで、連鎖的にアカウントが奪われる「アカウントテイクオーバー」に発展するリスクもあります。
4. ダークウェブでの情報売買
漏えいした認証情報は、ダークウェブ上のブラックマーケットで商品として売買されるケースが少なくありません。一度売買市場に流通すると、複数の犯罪グループの手に渡り、被害の完全な把握と収束は極めて困難になります。
STNetによるパスワード強制変更対応とコールセンター開設の詳細
STNetは今回の情報漏えいを受け、被害拡大防止のための緊急対応を段階的に実施しています。特に注目すべきは、「利用者による対応が期限までに行われなかった場合、会社側でパスワードを強制的に変更する」という異例の措置を発表した点です。
顧客への通知方法
STNetは対象となる顧客に対し、以下の方法でパスワード変更を呼びかけています。
- メールによる通知：登録済みのメールアドレス宛にお詫びと対応依頼のメールを送信
- 書面による通知：郵送でも同様の内容を通知し、確実な情報伝達を図る
- 公式サイトでの案内：Myピカラのマイページおよびピカラ公式サイトで告知
強制変更の実施タイミング
期限までに利用者による自主的なパスワード変更が行われなかった場合、STNetは会社側で対象アカウントのパスワードを一括で強制変更する措置を取ります。この強制変更後は、利用者は新しいパスワードの再発行手続きを行わなければメールサービスを利用できなくなるため、事前の対応が強く推奨されます。
特設コールセンターの開設情報
問い合わせに対応するため、STNetは以下の通り特設コールセンターを開設しています。
- 電話番号：0800－777－2100（フリーダイヤル）
- 受付時間：午前9時から午後8時まで
- 対応内容：情報漏えいに関する問い合わせ、パスワード変更手順の案内、被害相談など
不明点がある利用者や、パスワード変更手順に不安がある利用者は、このコールセンターへ電話することで、担当オペレーターから直接サポートを受けることができます。特に高齢者やインターネットの操作に不慣れな利用者は、無理に自力で対応しようとせず、コールセンターを積極的に活用することが推奨されます。
利用者が今すぐ実施すべきパスワード変更手順とセキュリティ対策
今回のSTNet情報漏えい事件を受け、対象サービスの利用者は「今すぐ実施すべき対策」を段階的に進める必要があります。以下、具体的な手順とセキュリティ強化のポイントを解説します。
ステップ1：Myピカラでメール用パスワードを変更する
ピカラ光サービスの利用者は、会員専用ページ「Myピカラ」にログインし、メール用パスワードを直ちに変更してください。手順は以下の通りです。
- Myピカラの公式ログインページへアクセス（ピカラ公式サポートページ）
- 通常のユーザー名とパスワードでログイン
- 「メールパスワードの変更」メニューを選択
- 新しいパスワードを設定（英数字・記号を混ぜた12文字以上を推奨）
- 変更を保存し、確認メールを受信
ステップ2：メールソフトの設定を新パスワードに更新
Outlook、Thunderbird、Apple Mail、Gmailアプリなど、ピカラのメールアドレスを設定しているすべてのメールソフトで、新しいパスワードへの再設定が必要です。この作業を怠ると、メールの送受信ができなくなります。
ステップ3：他サービスのパスワードも総点検
ピカラのメールアドレスとパスワードを、他のサービス（Amazon、楽天、Yahoo!、SNSなど）でも同じ組み合わせで使用している場合、それらすべてのパスワードも即座に変更してください。パスワードの使い回しは、パスワードリスト攻撃の最大のリスク要因です。
ステップ4：二要素認証（2FA）の導入
可能な限り、二要素認証（2FA / MFA）を有効化してください。パスワードが漏れても、SMSや認証アプリによる追加認証が壁となり、不正ログインを効果的に防ぐことができます。Google Authenticator、Microsoft Authenticatorなどの認証アプリの導入が推奨されます。
ステップ5：不審なメール・SMSに要注意
今後、STNetやKDDIを装ったフィッシングメールやSMSが急増する可能性があります。以下の点に十分ご注意ください。
- メール本文内のリンクを不用意にクリックしない
- 公式サイトのURLは必ずブラウザに直接入力する
- 添付ファイルは開かない
- 個人情報やパスワードをメール返信で送信しない
- 不審に感じたら特設コールセンター（0800-777-2100）に確認
ステップ6：クレジットカード・銀行口座の利用状況確認
メールアドレスとパスワードから連鎖的にネットバンキングやカード情報が悪用される可能性を考え、クレジットカードや銀行口座の取引履歴を定期的にチェックしてください。不審な取引を発見したら、直ちにカード会社・銀行に連絡し、カードの停止や口座凍結を依頼します。
ステップ7：漏えいチェックツールで確認
自分のメールアドレスが過去に漏えいしたかを確認できる無料ツール（例：「Have I Been Pwned」など）を活用し、他の漏えい事案に巻き込まれていないかも合わせて確認することをおすすめします。
まとめ：STNet情報漏えい事件から学ぶ個人情報保護の重要性
今回のSTNet約40万人分の情報漏えい事件は、KDDIの企業向けメールシステム基盤という上流の脆弱性が、四国の地域ISPユーザーにまで波及した、日本のインターネットインフラの構造的リスクを浮き彫りにしました。1422万件という前代未聞の規模のプロバイダー6社連鎖漏えい事案の一部として、私たち一人ひとりが「自分の情報も既に漏れているかもしれない」という前提で、日常的なセキュリティ対策を見直すべき時期に来ています。
ピカラ光サービス、ピカラモバイルサービス、お仕事ピカラサービスの利用者は、STNetからの通知メールや書面を受け取り次第、可能な限り早くMyピカラでメールパスワードを変更してください。期限を過ぎるとSTNetによる強制変更が実施されるため、自主的な対応が推奨されます。不明点があれば、特設コールセンター「0800-777-2100（午前9時～午後8時）」を活用しましょう。
また、この機会にパスワードの使い回しを徹底的に排除し、二要素認証を導入し、パスワードマネージャーの活用を検討することを強くおすすめします。個人情報漏えいは、もはや「他人事」ではなく、誰もが被害者になり得る現実の脅威です。今回の事件を教訓とし、日常のセキュリティ意識を一段階引き上げることが、二次被害を防ぐ最も確実な方法です。
コメント