KDDI-Angriff: 12,2 Millionen E-Mail-Adressen und Passwörter gestohlen
Veröffentlicht: 07.07.2026 um 09:53 Uhr, Redaktion boerse-global.de
Ein massiver Cyberangriff auf Japans zweitgrößten Telekommunikationsanbieter KDDI hat die sensiblen Daten von über zwölf Millionen Nutzern offengelegt. Die gestohlenen Informationen umfassen E-Mail-Adressen und Passwörter von Kunden mehrerer Internetdienstanbieter.
Monatelanger Angriff blieb unentdeckt
Der Vorfall, der am 6. Juli dem japanischen Ministerium für Innere Angelegenheiten und Kommunikation gemeldet wurde, offenbart ein erschreckendes Ausmaß: Insgesamt wurden 12,2 Millionen E-Mail-Adressen und 7,6 Millionen Passwörter kompromittiert. Die Angreifer nutzten eine sogenannte Zero-Day-Sicherheitslücke in einer Drittanbieter-Software – eine Schwachstelle, die selbst dem Entwickler zum Zeitpunkt des Angriffs unbekannt war.
Die unbefugten Zugriffe begannen bereits am 16. Mai, blieben jedoch bis zum 17. Juni unentdeckt. KDDI reagierte umgehend: Noch am Tag der Entdeckung wurde das betroffene System gepatcht, bis zum 21. Juni folgte die Installation von Endpunkt-Erkennungs- und Reaktionssystemen (EDR). Eine forensische Untersuchung wurde bis zum 23. Juni abgeschlossen.
Der Diebstahl von Millionen Passwörtern bei KDDI zeigt, wie riskant die herkömmliche Anmeldung im Internet geworden ist. Ein kostenloser Report erklärt, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. endlich hacker-sicher machen. Passkey-Ratgeber jetzt kostenlos anfordern
Betroffene Dienste im Überblick
Besonders hart traf es die E-Mail-Plattformen, die KDDI für Partner-Internetdienstanbieter betreibt. Die Verteilung der gestohlenen Daten zeigt ein klares Bild:
- BIGLOBE: 5.016.432 E-Mail-Adressen und 4.631.775 Passwörter
- J:COM: Rund 2,47 Millionen E-Mail-Adressen
- @nifty: 2.248.708 E-Mail-Adressen und 1.862.462 Passwörter
- KDDI Web Communications: 1.250.543 E-Mail-Adressen
- ctc: 727.176 E-Mail-Adressen und 724.344 Passwörter
- STNet: 397.152 E-Mail-Adressen und 456.159 Passwörter
Entwarnung gibt es für die Kernkunden: Die primären Mobil- und Festnetzdienste von KDDI – darunter die Marken au, UQ mobile und au one net mail – blieben von dem Angriff verschont.
Reaktionen und Schutzmaßnahmen
KDDI leitete umgehend einen erzwungenen Passwort-Reset für alle betroffenen Nutzer ein, der voraussichtlich innerhalb dieser Woche abgeschlossen sein soll. Bislang liegen keine Hinweise auf sekundäre Schäden oder missbräuchliche Nutzung der gestohlenen Daten vor.
Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt – oft mit fatalen Folgen für die Betroffenen. Erfahren Sie in diesem Gratis-Leitfaden, warum Experten jetzt zum kompletten Abschaffen herkömmlicher Passwörter raten und welche sichere Alternative Hackern keine Chance mehr lässt. Kostenlosen Sicherheits-Report gratis lesen
Der japanische Minister Yoshifumi Hayashi bezeichnete das Ausmaß des Vorfalls als „äußerst bedauerlich". In seinem Bericht an das Ministerium skizzierte KDDI weitreichende Präventionsmaßnahmen: Dazu gehören der Einsatz von künstlicher Intelligenz zur Analyse von Software-Designs auf potenzielle Schwachstellen sowie die geplante Migration auf robustere Sicherheitsprotokolle und Multi-Faktor-Authentifizierung.
Das Unternehmen appelliert an alle betroffenen Kunden, ihre Zugangsdaten umgehend zu aktualisieren. Die Koordination mit den Aufsichtsbehörden läuft, um die Lage weiter zu überwachen.
