さくらインターネットの不正アクセス(2026年8月公表)
結論から
- 2026年8月9日、「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知しました。一部サーバーへの不正アクセスとマルウェアの設置が見つかり、対象は最終的に951アカウントになりました。
- 調査の途中で、契約情報を管理する販売管理システムへの不正アクセスも判明しました。2023年4月から2026年3月までの間に起きており、最大1,360,563アカウントの会員情報が閲覧・取得された可能性があります。
- 2026年9月10日の第三報で調査は完了しました。外部への持ち出しを裏付ける事実と二次被害は確認されていません。侵入経路の技術的な詳細は公表を差し控えています。
概要
- 公表日
- 2026年8月17日
- 検知・発覚
- 2026年8月9日
- 最新の公表
- 2026年9月10日
- 組織・業種
- さくらインターネット(クラウド・ホスティング / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- 販売管理システムの会員情報 最大1,360,563アカウント(うち30アカウントはハッシュ化されたパスワード情報を含む)。「さくらのレンタルサーバ」951アカウント(当初583、追加368)。いずれも閲覧・取得の「可能性」
- 業務への影響
- レンタルサーバの一部機能(データベースのアップグレード、プラン変更、移行ツールなど)を制限。他のサービス提供環境に不正アクセスの兆候はなし
- 業績への影響
- 2026-08-19のIRで「2027年3月期の連結業績への影響は精査中」。2026-10-09時点で影響額の公表なし
- 犯行グループ(企業・当局の認定)
- なし(犯行グループは公表されていない)
- 行政の対応
- 会社は総務省・個人情報保護委員会などに報告したと公表。行政の処分などは2026-10-09時点で公表なし
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
侵入経路について、会社は「セキュリティ保護と模倣攻撃防止の観点から、技術的な詳細の公表は差し控える」としています。2026年10月9日時点で、どこから入られたかは公表されていません。
第三報で分かったのは、2つの別々の不正アクセスです。1つはレンタルサーバの一部サーバーへの不正アクセスとマルウェアの設置です。もう1つは、契約情報を管理する販売管理システムのデータベースへの不正アクセスで、2023年4月から2026年3月までの間に起きていました。両者の関連を示す明確な根拠は確認されなかったとしています。
販売管理システムには、レンタルサーバの一部の初期サーバーパスワードと、「さくらのVPS」の一部の管理者初期パスワードが、ハッシュ化(元に戻しにくい形に変換すること)されずに保存されていました。利用者が変更した後のパスワードは保存していません。
レンタルサーバの環境には、2025年7月以降とみられる不審な活動の痕跡もありました。会社は継続的な侵害ではないと確認した一方、時間の経過による記録の制約などから、今回の事案と同じものか、どこから入られたかを客観的に確定できなかったとしています。
影響
情報の面では、販売管理システムの会員情報最大1,360,563アカウントが、閲覧または取得された可能性があります。会員ID、会社名、氏名、住所、電話番号、メールアドレス、契約サービス、請求金額などの項目です。うち30アカウントは、ハッシュ化された会員IDのパスワード情報も対象です。
レンタルサーバでは、951アカウントの利用領域(メールデータ、ウェブサイトのデータ、ログなど)が閲覧・取得の対象になりえました。第1報の時点では、「通信の秘密」に当たる情報にもアクセスできる状態だったと説明しています。
会社はクレジットカード情報を持っていません。データが外部に持ち出されたことを裏付ける事実や、情報の公開、不正利用、金銭被害、フィッシングなどの二次被害は確認されていないとしています。
業務の面では、レンタルサーバの一部機能を制限しました。VPS、クラウド、専用サーバーなど他のサービス提供環境には、不正アクセスの兆候はなかったとしています。業績への影響は精査中と開示しています。
会社の対応と再発防止策
会社は確認後に不審な通信を遮断し、対象環境を隔離して、マルウェアの除去と認証情報の無効化を行いました。不正アクセスを受けたサーバーは再構築し、EDR(端末の不審な動きを検知する仕組み)の導入範囲も広げています。
初期パスワードが今も使われていたレンタルサーバの契約は、会社がパスワードを変更して個別に案内しました。VPSで初期パスワードを使い続けている利用者には、変更を依頼しています。
実施済みの再発防止策は、管理者権限とアクセス権限の総点検、重要システムへの接続経路の見直しと通信制限、認証情報の管理方法の見直し、管理用サーバーの設定強化です。
今後は、多層的なアクセス制御、監視と検知の拡充、ログの取得範囲・保管期間・分析体制の見直し、レンタルサーバ全台の再構築、定期的な外部監査と第三者評価、経営層を含むガバナンスの強化を進めるとしています。
この事案から学べること
- 販売管理システムへの不正アクセスは約3年続いていました。検知の仕組みがなければ、別の事象の調査で偶然見つかるまで分かりません。
- ログの保管期間が足りないと、侵入経路や影響を後から確定できません。会社自身が「記録の制約」を理由に挙げています。
- 初期パスワードをハッシュ化せずに保存していると、利用者が変更していない限り、漏えいがそのまま不正ログインにつながります。
- 基盤を提供する会社の事故は、利用者全員に連絡と対応を求めることになります。利用者側も、初期値のまま使っている認証情報がないかが問われます。
自社で確認すること
- 1 社内の管理システムへのアクセスを、異常として検知できる仕組みがありますか?
- 2 侵入経路を後から調べられるだけの期間、ログを保管していますか?
- 3 利用しているサーバーやクラウドで、初期パスワードのまま使っているアカウントは残っていませんか?
同じ手口の事案
利用しているSaaS・他社製ソフト
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
- バルテック (2026年10月22日) 業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
関連する事案
よくあるご質問
- さくらインターネットの不正アクセスで、136万件が漏えいしたのですか?
- 1,360,563アカウントは、閲覧または取得された「可能性がある」対象の総数です。会社は実際に閲覧・取得されたことを意味するものではないとし、外部への持ち出しを裏付ける事実も確認されていないとしています(2026年9月10日の第三報)。
- 利用者は何をすればよいですか?
- 会社は対象者に個別に案内しています。レンタルサーバやVPSを契約時の初期パスワードのまま使っている場合は、変更が求められています。便乗したフィッシングメールにも注意が呼びかけられています。
出典
- 当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて ↗ (さくらインターネット株式会社、2026-08-17)
- 「当社システムへの不正アクセスに関するお知らせ」について(IR。第二報を添付) ↗ (さくらインターネット株式会社、2026-08-19)
- 当社システムへの不正アクセスに関する調査結果および再発防止策について(第三報) ↗ (さくらインターネット株式会社、2026-09-10)
- さくらインターネットで583アカウントに不正ログイン 「顧客領域」まで到達 ↗ (@IT、2026-08-18)
- さくらインターネット(第二報) ↗ (@IT、2026-08-20)
- さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存 ↗ (@IT、2026-09-11)