さくらインターネットの不正アクセス｜136万件の公表と調査結果のまとめ

何が起きたか

2026年8月17日、さくらインターネットは「さくらのレンタルサーバ」の一部の顧客環境に第三者の不正アクセスがあったと公表しました（さくらインターネットの発表）。 8月9日に同社が管理するサーバー環境で異常を検知し、調査で、同社の管理環境を経由した不正ログイン（583アカウント）と、一部のサーバーへのマルウェアの設置が分かったとしています。

8月19日の第二報では、調査の中で、顧客の契約情報などを管理する「販売管理システム」への不正アクセスの可能性も分かったと公表しました。対象となる可能性のある会員情報は 1,360,563アカウントです（レンタルサーバの顧客を含む）。

9月10日の第三報で、調査が終わったと公表しました（2026年9月10日の発表）。

• レンタルサーバ：閲覧・取得の可能性がある対象は、追加の368アカウントを含め合計951アカウント。2025年7月以降とみられる不審な活動の跡も見つかったが、継続的な侵害ではないとしています
• 販売管理システム：会員情報 1,360,563アカウントが閲覧・取得された可能性。不正アクセスは2023年4月から2026年3月までの間に起きていた。うち30アカウントはハッシュ化された会員IDのパスワード情報が閲覧された可能性
• 販売管理システムには、レンタルサーバの一部の初期サーバーパスワードと、「さくらのVPS」の一部の管理者の初期パスワードが、ハッシュ化されずに保存されていた
• 2つの不正アクセスの関連を示す明確な根拠は見つからなかった
• データが外に持ち出された明確な事実、情報の不正利用・二次被害は確認されていない。クレジットカード情報は持っていないとしています
• 侵入の経路とシステムの構成の詳細は、模倣を防ぐため公表を控えるとしています

会社の対応

• 認証情報の無効化、通信の遮断、環境の隔離、マルウェアの除去
• レンタルサーバのデータベースのアップグレード機能・プラン変更・移行ツールなど一部の機能を制限
• 総務省・個人情報保護委員会などへの報告、対象の顧客への個別の連絡、専用の電話窓口と FAQ のページの設置
• 初期のサーバーパスワードがまだ使われていたレンタルサーバの契約は、同社がパスワードを変更。VPS の利用者には初期パスワードの変更を依頼
• 実施済みの再発防止策：管理者権限・アクセス権限の総点検、重要なシステムへの接続経路と通信の制限、認証の方法と認証情報の管理の見直し、EDR の範囲の拡大、管理用サーバーの設定の強化
• これからの施策：多層的なアクセス制御、検知の強化、ログの取得範囲と保管期間の見直し、レンタルサーバの全サーバーの再構築、定期的な外部監査、教育と訓練、経営層を含む報告体制の強化

この事例から中小企業が学べること

• レンタルサーバや VPS の初期パスワードを使い続けていないか確かめ、自分で決めたパスワードに変える
• 自社のサイトのサーバーに、覚えのないファイルや管理者アカウントが増えていないか、定期的に見る
• ログの保管期間が短いと、後から侵入の経路を確かめられない。サーバーのログをどれだけ残すかを決めておく
• 使っているサービスの事業者から事故の連絡が来たときに受け取れるよう、登録のメールアドレスを共有のものにしておく
• 事故に便乗したフィッシングに注意し、パスワードの変更は公式のサイトから行う