2026年9月10日、さくらインターネット株式会社は、同社システムへの不正アクセスについて、調査結果と再発防止策をまとめた第三報を公表しました。
今回の第三報では、一連の調査が完了したとして、影響を受けた可能性のあるアカウント数や情報の範囲、不正アクセスが発生していた期間などが明らかにされています。
さくらインターネットを利用している方は、公式発表や登録メールアドレスに届いている案内を確認してください。
第三報で明らかになった主な内容
今回公表された主な内容は、次のとおりです。
- 「さくらのレンタルサーバ」で影響を受けた可能性のあるアカウントは、合計951アカウント
- 契約情報などを管理する販売管理システムでは、最大1,360,563アカウントの会員情報が閲覧または取得された可能性
- 30アカウントについて、ハッシュ化された会員IDのパスワード情報が閲覧された可能性
- 販売管理システムへの不正アクセスは、2023年4月以降、2026年3月までの間に発生
- 現時点で、データが外部へ持ち出されたことを裏付ける明確な事実は確認されていない
- 本件に起因する情報の不正利用や金銭的被害などの二次被害も確認されていない
第一報および第二報の段階では調査中だった影響範囲が、今回の第三報でより具体的になりました。
レンタルサーバーの対象は951アカウントに拡大
「さくらのレンタルサーバ」については、第一報の時点で、第三者による閲覧または取得の可能性がある対象として583アカウントが公表されていました。
その後の追加調査で、さらに368アカウントについても影響の可能性を完全には否定できないことが判明し、対象は合計951アカウントとなりました。
対象となる利用者の領域には、次のようなデータが含まれる可能性があります。
- メールデータ
- Webサイトのデータ
- ログ情報
- その他、利用領域内に保存されたファイル
WordPressのファイルやお問い合わせフォームを通じて保存された情報についても、利用領域内に保存されていた場合は、閲覧または取得された可能性があります。
ただし、951アカウントすべてで実際にデータが閲覧・取得されたことが確認されたわけではありません。また、個々のアカウントについて、どのデータが実際に閲覧されたのかを特定することはできないとされています。
対象となる利用者には、さくらインターネットから個別に案内が行われています。
約136万アカウントの会員情報に影響の可能性
今回の第三報で特に影響が大きいのが、販売管理システムへの不正アクセスです。
販売管理システムは、レンタルサーバーだけでなく、さくらインターネットが提供する各種サービスの契約情報などを管理するシステムです。
このシステムに保存されていた会員情報のうち、第三者による閲覧または取得の可能性がある対象は、1,360,563アカウントとされています。
対象となる可能性のある情報には、次の項目が含まれます。
- 会員ID
- 会社名・部署名
- 住所
- 氏名
- 電話番号
- メールアドレス
- 生年月日
- 性別
- FAX番号
- 契約しているサービス
- 契約期間
- 請求金額など
これらは販売管理システムに保存されていた情報項目であり、すべての利用者について、すべての項目が実際に閲覧または取得されたことを意味するものではありません。
また、さくらインターネットはクレジットカード情報を保持しておらず、入力画面の改ざんも確認されていないため、クレジットカード番号が漏えいした恐れはないと発表しています。
レンタルサーバー以外の利用者も対象になる可能性があります
販売管理システムには、さくらインターネットが提供する各種サービスの会員情報が保存されています。
そのため、今回の約136万アカウントには、「さくらのレンタルサーバ」以外のサービスを契約している利用者も含まれる可能性があります。
また、サービスをすでに解約していても、さくらインターネットの会員自体を退会していなければ、会員情報が残っている場合があります。
現在サービスを利用していない方にも案内メールが届く可能性があるため、過去にさくらインターネットのサービスを利用していた方も、登録していたメールアドレスを確認しておくとよいでしょう。
初期パスワードが保存されていたケースも判明
販売管理システムには、一部の「さくらのレンタルサーバ」の初期サーバーパスワードと、「さくらのVPS」の管理者初期パスワードが保存されていたことも判明しています。
「さくらのレンタルサーバ」については、影響を受けた可能性のある初期パスワードが現在も使われていた契約に対し、さくらインターネット側でサーバーパスワードを変更しています。
該当する利用者には個別に案内が行われているため、案内を受け取った場合は、会員メニューから任意のパスワードへ変更してください。
「さくらのVPS」についても、対象となる利用者に個別の案内が行われています。契約時に発行された管理者初期パスワードを現在も使用している場合は、速やかに変更する必要があります。
なお、初期パスワードからすでに変更している場合、現在使用しているパスワードは販売管理システムに保存されていないため、本件による不正ログインのリスクはないと説明されています。
不正アクセスは2023年4月以降に発生
調査の結果、販売管理システムへの不正アクセスは、2023年4月以降、2026年3月までの間に発生していたことが確認されました。
また、「さくらのレンタルサーバ」の環境では、2025年7月以降のものとみられる不審な活動の痕跡も確認されています。
ただし、この不審な活動については、今回の不正アクセスとの関連性や具体的な侵入経路、利用者情報への影響を客観的に確認するには至らなかったとされています。
「さくらのレンタルサーバ」への不正アクセスと、販売管理システムへの不正アクセスについても、両者の関連性を示す明確な根拠は確認されていません。
データの持ち出しや二次被害は確認されていない
さくらインターネットによると、現時点では、データが外部へ持ち出されたことを裏付ける明確な事実は確認されていません。
また、次のような事実も確認されていないとしています。
- 対象情報がインターネットやダークウェブ上で公開された事実
- 本件に起因するアカウントの不正利用
- 本件に起因する金銭的被害
- 対象情報を利用したフィッシングやなりすまし
- 封じ込め対応後の新たな不正アクセスや被害拡大
ただし、「持ち出された事実が確認されていない」ことと、「情報が閲覧または取得されていない」ことは同じではありません。
第三者に閲覧または取得された可能性は否定されていないため、利用者側でも引き続き注意が必要です。
さくらインターネット利用者が確認すべきこと
さくらインターネットのサービスを利用している方は、次の点を確認してください。
1．さくらインターネットからの案内を確認する
影響を受けた可能性のある利用者には、電子メールなどで個別に案内が行われています。
登録しているメールアドレスに、さくらインターネットからの案内が届いていないか確認しましょう。
登録情報が古い場合などは案内を受け取れない可能性もあるため、会員メニューに登録しているメールアドレスや電話番号が現在も利用できるものか確認しておくことをおすすめします。
2．案内されたパスワードを変更する
サーバーパスワードやメールパスワード、VPSの管理者初期パスワードについて変更の案内を受け取った場合は、案内に従って対応してください。
また、さくらインターネットで使用しているパスワードと同じものを、ほかのサービスでも使い回している場合は、ほかのサービス側のパスワードも変更しましょう。
3．2要素認証の設定を確認する
さくらインターネットの会員メニューでは2要素認証が必須となっています。
認証コードの受信先や、SMS・認証アプリなどの設定が適切になっているか確認しておきましょう。
4．フィッシングメールや不審な連絡に注意する
今回の不正アクセスに便乗し、パスワード変更や本人確認を装ったフィッシングメール、SMS、不審な電話が送られる可能性があります。
メールに記載されたリンクから直接アクセスするのではなく、ブックマークや検索結果などから、さくらインターネットの公式サイトや会員メニューを開くと安全です。
さくらインターネットが、メールや電話でパスワード、認証コード、クレジットカード情報を尋ねることはないと案内しています。
さくらインターネットが公表した再発防止策
さくらインターネットは、すでに次のような対策を実施しています。
- 管理者権限やアクセス権限の総点検と厳格化
- 重要システムへの接続経路の見直し
- 認証方式や認証情報の管理方法の見直し
- EDRの導入範囲拡大などによる監視強化
- 管理用サーバーのセキュリティ設定強化
今後は、「さくらのレンタルサーバ」の全サーバーを再構築してクリーンアップするほか、ログの取得・保管・分析体制の見直し、外部監査や第三者評価、セキュリティ教育などを進めるとしています。
なお、「さくらのレンタルサーバ」を除くサービス提供環境については、不正アクセスを示す兆候は確認されていません。
まとめ
第三報により、「さくらのレンタルサーバ」で影響を受けた可能性のある対象が951アカウントに拡大したことに加え、販売管理システムに保存されていた最大1,360,563アカウントの会員情報が、第三者に閲覧または取得された可能性があることが明らかになりました。
現時点では、データが外部へ持ち出されたことを裏付ける明確な事実や、情報の不正利用、金銭的被害などの二次被害は確認されていません。
一方で、対象となる可能性のある情報には、氏名、住所、電話番号、メールアドレス、契約サービスなどが含まれます。今回の件に便乗したフィッシングメールや不審な連絡には、今後も十分な注意が必要です。
さくらインターネットから個別の案内を受け取った方は、その内容を確認し、必要なパスワード変更などを実施してください。
【参考情報】
さくらインターネット株式会社
「当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）」
https://www.sakura.ad.jp/corporate/information/newsreleases/2026/09/10/1968225692/
さくらのサポート情報
「当社システムへの不正アクセスに関するご案内」
https://help.sakura.ad.jp/unauth-access-faq/
投稿者プロフィール
