KDDI 事件中的 762 万：可查看不等于已经查看

摘要

KDDI 在 6 月已经公布系统遭到未授权访问。7 月 29 日发生的事情不是又发现了一批受影响用户，而是总务省对既有事实作出正式法律判断，并把企业自行处置的问题转变为监管问责。

两种文件承担不同功能。运营商的最初公告说明何时确认事件、哪个系统受到影响，以及当日采取了什么阻断动作；行政指导则要求 KDDI 回答更深一层的问题：谁对通信秘密保护负责，哪些控制已经落地，如何验证整改有效，以及如何向监管者证明同类风险已经降低。

公开材料没有宣布罚款，也没有吊销牌照。不能把严厉警告扩大解释成未发生的处罚。它的实际分量在于，KDDI 今后不能只说“正在加强”，而要提交可以核查的实施情况。

遭到入侵的系统为多家互联网服务提供商所运营的邮件业务提供支撑。总务省称，外部未授权访问从 5 月 16 日持续到 6 月 17 日，泄露内容包括电子邮件地址、登录密码以及其他与邮件有关的信息。

地址与密码的风险并不相同。地址可以用于钓鱼和身份关联；仍然有效的密码则可能让第三方进入邮箱，接触私人通信、附件，甚至借助邮件重置其他账户。正因为泄露凭证可以触及通信内容，事件才不只是普通客户资料外泄，而被认定涉及法律保护的通信秘密。

共享平台会集中风险。一处身份验证弱点可能同时影响多家服务商的用户。因此，整改范围不能只限于改掉一个系统配置，还应覆盖密码和密钥保护、异常登录识别、会话撤销、不同服务商之间的隔离，以及向合作方及时提供受影响账户证据。

约 762 万是暴露范围，不是已证实访问量。总务省的表述是，泄露凭证使这些用户的邮箱内容能够被第三方查看。现有文件没有说攻击者逐一打开了 762 万个邮箱，没有给出实际读取的邮件数量，也没有披露具体内容。

坚持这一界线不是降低事件严重性。让第三方获得进入私人通信的能力，本身就是重大保密失效。问题在于，如果把“具备访问条件”写成“已经读取”，就会把最坏可能性伪装成取证结论，也会让以后出现的新证据失去比较基准。

下一步最有价值的数据，应把不同阶段拆开：哪些凭证泄露，哪些凭证被成功用于登录，哪些邮箱被列举，哪些邮件被调取，是否又发生账户接管或诈骗。只有分层统计，用户才能判断自己究竟需要更换密码、检查登录记录，还是采取更广泛的补救措施。

KDDI 称其在 6 月 17 日确认未授权访问，并于当天修改系统以防影响继续扩大。可是监管材料把起点追溯到 5 月 16 日，这留下了一个治理问题：这一个月中有哪些异常信号，又为什么没有更早触发响应？

使用真实密码的攻击往往不会产生大量登录失败，所以只监控错误次数并不足够。有效防御还需要比较登录地点、设备、访问频率、并发会话、邮件下载量和用户平时行为，并在怀疑凭证外泄时迅速吊销会话和强制更新密码。

监管要求的报告应区分已经完成、仍在测试和尚待执行的措施。它还应说明谁负责验证、采用什么指标，以及类似行为下次出现时需要多长时间才能被发现。没有这些信息，整改清单容易停留在制度口号。

受影响平台服务于多家互联网提供商。这意味着，掌握日志和技术证据的可能是 KDDI，而直接面对订户的可能是另一家公司。分工可以提高运营效率，却不能让通信秘密保护在两个组织之间失去明确责任人。

合作服务商需要可靠的受影响账户范围、统一的密码重置安排，以及不会夸大或淡化事实的用户通知。KDDI 则需要提供足够的技术证据，使合作方能够评估钓鱼、凭证复用和其他账户被接管的风险。

对购买托管通信服务的企业而言，这一事件也暴露了合同问题：是否拥有审计权，事故通知是否有明确时限，共享基础设施的集中风险是否被识别。把邮件平台交给外部运营，并不会把用户受到的损害一并转走。

总务省要求彻底保护通信秘密、实施防止再次发生的措施，并报告执行情况。未来判断 KDDI 回应是否有效，应观察强制更新凭证、强化身份验证、缩短发现时间、明确管理责任以及独立验证等可测行动。

攻击者身份和位置、实际进入的邮箱数量、读取的邮件内容，以及截稿后各项措施的效果，目前都没有得到证实。这些未知项应继续保持为未知，不能用推测补齐。

监管行动的意义，是把一次暴露建立成可追踪的责任循环：法律保护对象已经明确，运营商必须修复控制体系，后续报告还要说明风险是否真正下降。如果只有政策措辞而没有验证结果，这次行政指导的公共价值就会受到限制。