【インシデント速報】2026年8月18日｜さくらのレンタルサーバ不正アクセス・ショップサーブ885万件・中部電力7.4万人
secure【インシデント速報】2026年8月18日｜さくらのレンタルサーバ不正アクセス・ショップサーブ885万件・中部電力7.4万人
レンタルサーバやECプラットフォームなど、他社に業務基盤を預けている中小企業ほど今回の3件は他人事ではない。委託先が侵害されれば、自社が管理していない場所から顧客情報が漏れる。自社サービスに使っているホスティング・ECサービスの公式発表を今すぐ確認し、影響対象なら顧客への連絡とパスワード変更を進めること。
さくらインターネット「さくらのレンタルサーバ」— 583アカウントに不正ログイン、マルウェア設置も確認
さくらインターネットは8月17日、レンタルサーバサービス「さくらのレンタルサーバ」の一部顧客環境が第三者による不正アクセスを受けたと発表した。現時点で583アカウントへの不正ログインが判明している。
同社は8月9日にサーバ環境の異常を検知して調査を開始。攻撃者が同社の管理環境を経由して一部ユーザーの環境に侵入していたことを確認した。一部のサーバにはマルウェアが設置され、攻撃者がユーザー情報や通信の秘密に該当する情報へアクセスできる状態だったという。
漏えいの可能性がある情報は、顧客領域内に保存されていた情報と利用者識別子で、対象範囲は現在も調査中。
中小企業への影響
自社サイトやメールをレンタルサーバに載せている中小企業は多い。ホスティング事業者側が侵害されると、自社のパスワード管理が完璧でも被害に巻き込まれる。「サーバ会社に任せているから安全」という前提は成り立たない。契約先の公式発表を追い、対象なら自社側でも認証情報を切り替える必要がある。
推奨対応
- さくらのレンタルサーバ利用中なら、コントロールパネル・FTP・メールのパスワードを直ちに変更する
- 公式の対象アカウント通知が届いていないか、契約メールアドレスを確認する
- サーバ上に不審なファイル（設置された可能性のあるマルウェア）がないか、更新日時の異常なファイルを点検する
Eストアー「ショップサーブ」— 最大885万件、クレカ情報の一部も流出のおそれ
ECサイト構築サービス「ショップサーブ」を運営するEストアーは8月1日、同サービスのサーバが不正アクセスを受け、購入者情報が外部に流出したと公表した。8月2日には対象範囲を広げた第2報を出している。
不正アクセスは5月21日から8月1日にかけて発生。攻撃者がサーバ上で不正なプログラムを実行し、購入者情報を外部へ送信していた。漏えいの可能性がある件数は最大で延べ885万3,839件にのぼる。
対象には購入者情報のほか、会員ID・パスワード、クレジットカード情報の一部（カード名義、番号の先頭6桁と下4桁、有効期限）、店舗向けのログイン情報や振込先口座情報が含まれる。セキュリティコードは保持していないため対象外としている。
中小企業への影響
ショップサーブでネットショップを運営している事業者は、自社の顧客の個人情報とカード情報が流出対象になる。加えて店舗向けログイン情報や振込先口座も含まれるため、店舗アカウントの乗っ取りや不正な振込先変更のリスクがある。ECをプラットフォームに載せている企業は、プラットフォーム側の侵害が自社顧客への通知義務に直結することを認識しておく必要がある。
推奨対応
- 店舗管理画面のログインパスワードと、他サービスで使い回している同一パスワードを変更する
- 登録済みの振込先口座が改ざんされていないか管理画面で確認する
- 自社の購入者に対し、カード明細の確認とパスワード変更を促す案内を早急に出す
中部電力 — 資格情報の不正利用で約7万4千人分の連絡先情報が流出のおそれ
中部電力は8月4日、同社が利用する一部システムの資格情報が不正に利用され、役職員のメールやグループの連絡先情報が参照されたおそれがあると発表した。7月29日に第三者機関から不正アクセスに関する情報提供を受け、調査で判明した。
漏えいの可能性がある対象は、関係機関・自治体・取引先など約2,400人分と、同社グループの連絡先情報約71,700人分で、合わせて最大約7万4,100人分。含まれる情報は会社・団体名、役職、氏名、メールアドレス、電話番号。
システム障害や電力供給への影響は発生しておらず、電気・ガスの顧客情報を扱うシステムに不正アクセスの痕跡は確認されていないとしている。
中小企業への影響
大企業の資格情報（ID・パスワード等）が盗まれ、そのまま正規ログインとして悪用された事例。取引先や自治体の連絡先も対象に含まれており、中部電力と取引のある中小企業の担当者情報が流出範囲に入る可能性がある。自社の情報が大手の漏えいに巻き込まれるケースで、盗んだ連絡先を使った標的型メールへの警戒が要る。
推奨対応
- 取引先・委託先を装った不審メール（実在の担当者名を使った請求書偽装など）への警戒を社内に周知する
- 業務システムのアカウントに多要素認証（MFA）を導入し、ID・パスワードだけのログインをなくす
- 退職者・異動者の不要アカウントを棚卸しし、使われていない資格情報を削除する
編集部まとめ
今日の3件に共通するのは「自社の外」で起きた漏えいだ。レンタルサーバ、ECプラットフォーム、盗まれた資格情報――いずれも自社のパスワード管理だけでは防ぎきれない。委託先・利用サービスの侵害は自社の通知義務に直結する。契約先の公式発表を追う習慣と、多要素認証・パスワード使い回しの排除を、今日のうちに手を付けておきたい。
