Een van de grootste telecommunicatiebedrijven in Japan, KDDI, heeft bekendgemaakt dat een cyberaanval op een e-mailplatform dat het beheert voor internetproviders meer dan 12,2 miljoen klant-e-mailadressen en 7,6 miljoen wachtwoorden heeft blootgelegd. Het getroffen systeem wordt gebruikt voor het beheer van klant-e-mailaccounts, webmaildiensten en e-mailopslag voor vijf Japanse internetproviders.

KDDI maakte de ongeautoriseerde toegang in juni al bekend, maar bevestigde de omvang van het datalek pas nadat het forensisch onderzoek was afgerond en het rapport eerder deze week was ingediend bij het Japanse ministerie van communicatie, zoals blijkt uit het ingediende rapport. Volgens het bedrijf maakten de aanvallers gebruik van een kwetsbaarheid in software van een derde partij die door het e-mailplatform werd gebruikt. KDDI heeft de kwetsbaarheid direct na ontdekking van de inbraak gepatcht en het systeem aangepast. Onderzoekers vonden geen aanwijzingen dat de aanvallers andere systemen hebben weten te compromitteren dan via deze kwetsbaarheid.

De eigen e-maildiensten van KDDI voor mobiele en vaste internetklanten draaien op een aparte infrastructuur en zijn niet getroffen. Het bedrijf meldt dat veel klanten die de e-maildienst regelmatig gebruiken inmiddels hun wachtwoord hebben gewijzigd. De getroffen internetproviders werken aan het voltooien van verplichte wachtwoordresets in de komende dagen. KDDI analyseert nog steeds de impact en oorzaak, werkt samen met de ISP-operators aan klantcommunicatie en neemt maatregelen om herhaling te voorkomen, zoals beschreven in de officiële verklaring.

KDDI is een van de drie grootste telecombedrijven in Japan en exploiteert het op een na grootste mobiele netwerk van het land. Daarnaast biedt het bedrijf breedband, cloud computing, cybersecurity en datacenterdiensten aan. Deze melding volgt op een reeks cyberincidenten bij grote Japanse bedrijven, waaronder de Japanse tak van Aflac, fabrikant Nidec en brouwer Sapporo Holdings, die allen recentelijk inbraken of cybergerelateerde verstoringen hebben gemeld. Er is geen aanwijzing dat deze incidenten met elkaar verbonden zijn.