今日のポイント：
さくらインターネットが不正アクセスの調査結果（第三報）を公表し、侵入が2023年4月から2026年3月までの約3年間続き、最大約136万件の会員情報が対象となる可能性を明らかにしました。初期パスワードの平文保存やログ管理の不備も認めています。あわせて、熊本県の就職情報サイトが改ざんされ偽のウイルス警告を表示した事案、商船三井クルーズによる営業情報を保存した外部記憶媒体の紛失が公表されました。「預けているクラウド事業者」「自社サイトの改ざん」「持ち出す記憶媒体」——中小企業がそのまま点検すべき3つの弱点です。

さくらインターネット｜不正アクセス第三報、侵入は約3年間・最大約136万件の会員情報が対象の可能性

公表：2026年9月10日（第三報）／不正アクセス期間：2023年4月〜2026年3月／業種：クラウド・レンタルサーバ事業

さくらインターネットは9月10日、販売管理システムなどへの不正アクセスに関する調査結果と再発防止策（第三報）を公表しました。調査の結果、販売管理システムへの不正アクセスは2023年4月から2026年3月までの約3年間にわたって続いていたことが判明しました。対象となる可能性のある会員情報は最大で1,360,563アカウントにのぼります。

対象となる情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などが含まれます。このうち30アカウントについては、ハッシュ化された会員IDのパスワード情報が閲覧された可能性が確認されました。「さくらのレンタルサーバ」側で影響を受ける可能性のあるアカウントも951件に拡大しています。

報道では、同社が会員の初期パスワードを平文（暗号化しない状態）で保存していたことや、ログ管理体制が不十分で侵入の全容把握に時間を要したことも指摘されています。現時点で、本件に起因する情報の不正利用や二次被害、インターネットやダークウェブ上での公開は確認されていないとしています。

熊本県｜就職情報サイトが改ざん被害、偽の「ウイルス検出」警告を表示

公表：2026年9月9日／改ざん期間：9月1日3:34〜9月3日9:49／運営：熊本県（就職情報サイト）

熊本県は9月9日、県が運営する就職情報サイト「ワンストップジョブサイトくまもと」が外部から不正アクセスを受け、一部の内容が改ざんされていたと公表しました。改ざんされていた期間は9月1日午前3時34分から9月3日午前9時49分までで、サイトを閲覧した利用者に「ウイルスを検出した」とする偽の警告を表示する状態になっていたと報じられています。

この種の偽警告は、驚いた利用者に電話をかけさせて遠隔操作ソフトを入れさせたり、金銭をだまし取ったりする「サポート詐欺」への誘導に使われる典型的な手口です。熊本県は現在、復旧作業とセキュリティ対策を完了し、通常どおり利用できる状態に戻したとしています。

商船三井クルーズ｜営業情報を保存した外部記憶媒体を紛失

公表：2026年9月10日／種別：外部記憶媒体の紛失（営業情報）／業種：クルーズ運航

商船三井クルーズは9月10日、クルーズ船に関する営業情報を保存した外部記憶媒体を紛失したと公表しました。紛失した媒体に含まれる情報の詳しい件数や内容、経緯は限定的な公表にとどまっており、同社は対象者への連絡や再発防止に取り組むとしています（本項は同社の公表とニュース報道に基づくもので、詳細は今後の続報で確認が必要です）。

これは外部からのサイバー攻撃ではなく、物理的な記憶媒体の管理に起因する漏えいリスクの事例です。攻撃を受けていなくても、USBメモリや外付けハードディスクの持ち出し・紛失は、いまも情報漏えいの主要な原因の一つです。

編集部まとめ

今回の3件は、クラウド事業者への長期侵入・自社サイトの改ざん・記憶媒体の紛失と、まったく異なる形で情報が危険にさらされました。共通するのは、いずれも「自分の目が届きにくい場所」で起きているという点です。預けたクラウド事業者の管理体制、更新を忘れがちな自社サイト、社外へ持ち出す媒体——このどれかを放置していないか、今日確認してください。委託先のパスワード運用、CMSの更新、媒体の暗号化。中小企業でもすぐ着手できる基本の3点です。

参考情報

• 当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）（さくらインターネット）
• さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存（＠IT）
• 熊本県の就職情報サイトが改ざん被害 「ウイルス検出」偽警告を表示（おたくま経済新聞）
• 商船三井クルーズ株式会社（企業情報・お知らせ）