KDDI Ungkap Kebocoran Data, Lebih dari 12 Juta Alamat Email Pelanggan Terdampak
Raksasa telekomunikasi asal Jepang KDDI mengungkapkan bahwa insiden kebocoran data yang menimpa platform email miliknya berdampak pada lebih dari 12 juta pengguna. Dalam serangan tersebut, pelaku berhasil memperoleh akses ke jutaan alamat email dan password yang digunakan oleh pelanggan dari lima penyedia layanan internet (ISP) di Jepang.
KDDI merupakan operator telekomunikasi terbesar kedua di Jepang dengan sekitar 45.000 karyawan dan pendapatan tahunan mencapai US$32,4 miliar.
Serangan Menargetkan Platform Email Lima ISP
Insiden ini pertama kali diumumkan pada Juni 2026 setelah KDDI mendeteksi aktivitas tidak sah pada 17 Juni 2026. Perusahaan menyatakan telah berhasil memblokir akses pelaku serta menerapkan langkah-langkah mitigasi untuk mencegah serangan berlanjut.
Platform email yang terdampak digunakan oleh lima ISP di Jepang, yaitu:
- STNet
- JCOM
- Chubu Telecommunications C
- NIFTY Corporation
- BIGLOBE
Pada pengumuman awal, KDDI memperkirakan kebocoran dapat memengaruhi hingga 14,22 juta akun, termasuk pelanggan aktif, mantan pelanggan, maupun akun yang sudah tidak digunakan.
Lebih dari 12 Juta Email dan 7,6 Juta Password Bocor
Dalam pembaruan terbaru yang dirilis pada 6 Juli 2026, KDDI mengungkapkan hasil investigasi yang lebih rinci.
Perusahaan menyatakan bahwa penyerang berhasil mengakses:
- 12.233.087 alamat email
- 7.616.173 password akun email
KDDI menjelaskan bahwa sebagian password disimpan dalam bentuk hash maupun terenkripsi, sehingga lebih sulit dimanfaatkan untuk mengambil alih akun.
Namun, perusahaan tidak menjelaskan berapa banyak password yang masih tersimpan dalam bentuk plaintext maupun algoritma enkripsi yang digunakan.
Serangan Berasal dari Zero-Day pada Software Pihak Ketiga
Hasil investigasi menunjukkan bahwa pelaku berhasil menembus sistem pada 16 Mei 2026 dengan memanfaatkan kerentanan zero-day pada perangkat lunak milik pihak ketiga.
Menurut KDDI, saat serangan terjadi, vendor perangkat lunak tersebut belum mengetahui keberadaan kerentanan yang dieksploitasi.
Vendor kini telah melaporkan celah keamanan tersebut kepada otoritas terkait dan sedang mempersiapkan proses pengungkapan informasi secara publik.
Password Pelanggan Diubah Secara Bertahap
Untuk mengurangi risiko penyalahgunaan akun, KDDI bersama para ISP yang terdampak sedang melakukan proses penggantian password secara bertahap.
Perusahaan menyatakan bahwa sebagian besar pelanggan yang aktif menggunakan layanan email telah mengganti password mereka secara mandiri.
Sementara itu, bagi pengguna yang jarang menggunakan email, penyedia layanan internet akan menerapkan penggantian password secara wajib dalam waktu satu hingga dua hari guna memastikan keamanan akun.
KDDI Tingkatkan Sistem Keamanan
Sebagai bagian dari respons terhadap insiden tersebut, KDDI telah menerapkan solusi Endpoint Detection and Response (EDR) untuk meningkatkan kemampuan deteksi terhadap upaya kompromi di masa mendatang.
Selain itu, audit forensik yang selesai dilakukan pada 23 Juni 2026 menyimpulkan bahwa kerentanan yang dimanfaatkan dalam serangan telah berhasil diperbaiki dan tidak ditemukan kelemahan keamanan lain pada sistem yang diperiksa.
Perusahaan juga telah melaporkan insiden tersebut kepada Personal Information Protection Commission serta Kementerian Dalam Negeri dan Komunikasi Jepang, sekaligus bekerja sama dengan seluruh ISP yang terdampak untuk memperkuat sistem keamanan dan meminimalkan risiko penyalahgunaan data pelanggan.
Kasus ini kembali menunjukkan besarnya risiko yang ditimbulkan oleh eksploitasi zero-day pada perangkat lunak pihak ketiga. Meskipun organisasi telah menerapkan berbagai lapisan keamanan, satu kerentanan yang belum diketahui sebelumnya tetap dapat membuka jalan bagi pelaku untuk mengakses data dalam jumlah besar.
Sumber: KDDI News Release
