KDDI顧客情報流出事件

KDDI顧客情報流出事件（ケイディーディーアイこきゃくじょうほうりゅうしゅつじけん）は、2006年、KDDIのISPであるDIONの顧客情報が流出した事件。この事件でKDDIを恐喝したとして2名が逮捕された。また流出規模は約400万件におよび、2004年のYahoo! BB顧客情報漏洩事件に次ぐ規模である。
経緯.
原因.
会見で小野寺社長は流出した情報は何者かが何らかの理由で社内PCから情報にアクセスし、ダウンロードして持ち出したすなわち「当社または関係者から流出したと推定せざるを得ない」とした。理由としてシステムルーム入室には、ICカードが必要だったこと、PCはMACアドレスとIPアドレスを登録・管理しており、外部ネットワークにはつながっていなかったこと、PC内のデータにアクセスするには、ユーザーID・パスワードが必要だったことをあげている。なお、情報が抜き取られた時期は「2003年12月18日以降の比較的短い期間内だろう」としているが、特定できていない。それはKDDIは当時、アクセス履歴などの保存期限を1年としており、当時のアクセス履歴や入退室履歴が「残っていない」ためである。
二次流出・三次流出.
6月21日小野寺社長は流出した顧客情報の中に、KDDIが他のISP経由で提供していたIP電話サービスの利用者1,892人と、KDDIのネット決済代行サービスを提供していた法人997社の情報が含まれていることを公表。ニフティは2003年12月18日以前にIP電話サービス「KDDIフォン for @nifty」または「@niftyフォン-k」を申し込んだ895人分の顧客情報が流出し、氏名、住所、電話番号、メールアドレスの4項目が含まれていたという。また翌22日にはJENS SpinNetとSANNETの顧客情報が含まれていた事も発覚し公表した。
裁判.
8月3日東京地方裁判所で開催された、KDDIに対する恐喝未遂容疑で逮捕・起訴された被告人2人の第1回公判の中でKDDIがDIONのシステム開発業務を委託していた会社の取引会社社員が顧客情報を外部に持ち出し、2人を経由して被告人の手に渡っていたことが明らかにされた。 その事実を元にKDDIはKDDIの業務委託会社の取引先社員が顧客情報を外部に持ち出していたことを公表した。