NTTスマートコネクト「スマイルサーバ」への不正アクセス（jm9・jm10の2台で全サービス停止が長期化）
公表日
NTTスマートコネクトのレンタルサーバー「スマイルサーバ」で、2台のサーバーが第三者に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。され、7月24日からその2台のサービスが止まっています。8月19日時点でも停止は続き、利用者は停止前のデータを取り出せません。
対象者は？
スマイルサーバのうち、サーバーjm9.etius.jpとjm10.etius.jpを使っている利用者です。それ以外のサーバーには影響はないとされています。対象の契約数や顧客数、保存されていた情報の種類は発表されていません。顧客情報が外部に漏れた事実は、現時点で確認されていないとされています。
自分の契約がjm9またはjm10のサーバーにあるかを、スマイルサーバのサポートサイトやご契約の案内で確認してください。
いますぐできること
- jm9・jm10のFTPやメールで使っていたパスワードを、他のサービスでも使っている場合は、変更を検討する。
- スマイルサーバを名乗る不審なメールや電話に注意する。
- 手元にバックアップがあれば確認する。代替サーバを使う場合は、それをもとにコンテンツやデータベースを作り直す。
何が起きたのか
7月24日、NTTスマートコネクトは、スマイルサーバの2台のサーバーで第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認しました。被害を広げないため、同日13時にそのサーバー上のすべてのサービスを止めました。サポートサイトの最初のお知らせ（18時）は「メンテナンス」という案内で、不正アクセスには触れていませんでした。7月25日には作業が長引くと案内されました。7月26日になって、外部から不正にアクセスされた痕跡を確認したと発表されました。7月27日からは代替サーバーが提供されましたが、元のデータは引き継がれません。8月19日には、調査の状況と復旧の見通しが公表されました。
なぜ起きたのか・なぜ広がったのか
侵入された方法、弱点が悪用されたかどうか、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が始まった時期、攻撃した相手は、まだ発表されていません。データが影響を受けた可能性が否定できないため、二次的な被害を防ぐ目的で、利用者にデータを渡せない状況が続いているとされています。停止が長引いている詳しい理由は、調査の結果を待つ必要があります。
いまの状況2026-08-25 時点続報待ち
8月19日時点で、2台のサービス停止は続いています。外部の専門機関による調査（フォレンジック調査）は、8月末に終わる見込みです。データに影響がないと確認できれば、7月24日の停止時点の環境を「復旧環境」として提供する予定で、開始は9月中旬頃が目標です。調査結果によって前後する可能性があります。この見通しは8月19日の発表にもとづきます。その後の結果は、ここにはまだ反映されていません。対象の契約数やアクセスされたデータの内容は、まだ発表されていません。
企業として考えたいこと
自社のホームページやメールを預けているサーバーが、数週間止まって元のデータも取り出せなくなったら、何を使ってどこまで再開できるでしょうか。
技術的な要約
NTTスマートコネクト株式会社は、レンタルサーバーサービス「スマイルサーバ」の一部設備（jm9.etius.jp、jm10.etius.jp）で、2026年7月24日に第三者による不正アクセスを確認しました。被害拡大防止のため同日13時に当該設備上の全サービスを停止しました。当初は「メンテナンス」と案内し、7月26日の更新で初めて外部からの不正アクセスの痕跡を確認したと公表しています。8月19日時点でも停止は続き、利用者は停止前のデータを取得できません。顧客情報の漏えいは確認されていない一方、データへの影響有無は外部専門機関のフォレンジック調査中で、完了は2026年8月末、復旧環境の提供は9月中旬頃を目標としています。侵入経路、攻撃者、対象契約数、アクセスされたデータなどは公表されていません。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路や悪用された脆弱性の有無、不正アクセスが始まった時期は公表されていない。公表されているのは、7月24日に第三者による不正アクセスを確認したこと、および7月26日に「外部からの不正なアクセスを示す痕跡」を確認したことのみ。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり jm9.etius.jp・jm10.etius.jp上の全サービスを7月24日13時に停止。8月19日時点でも停止が続き、利用者は停止前のデータを取得できない。代替サーバは7月27日から提供されたが、jm9・jm10のデータは引き継がれず、利用者はコンテンツやデータベースを自身で再構築する必要がある。それ以外のサーバへの影響はないとしている。期間：2026-07-24から継続中（2026-08-19時点で26日）。復旧環境の提供開始は2026年9月中旬頃を目標
- データ
- 調査中上限 —確定 —顧客情報が外部へ漏えいした事実は確認されていないが、調査完了までは漏えいの有無を断定できず、利用者データが影響を受けた可能性は否定できないとしている。対象契約数・顧客数、保存されていた情報の種類は公表されていない。利用者向けには、jm9・jm10のFTP・メールアカウントと同じパスワードを他サービスで使っている場合の変更検討が案内されている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 波及先・起点としての公表はない。NTTグループの他サービスの事案との直接的な関係は確認されていない。
時系列
技術解説
公表されている事実の整理 事実
NTTスマートコネクトは、共用レンタルサーバー「スマイルサーバ」の設備jm9.etius.jpとjm10.etius.jpの2台で、2026年7月24日に第三者による不正アクセスを確認しました。被害拡大を防ぐため、同日13時に当該設備上の全サービスを停止しています。同社は7月26日17時20分の更新で、対象環境に外部からの不正アクセスを示す痕跡を確認したと公表しました。8月19日には調査状況と復旧の見通しを公表しています。それ以外のサーバには本事案による影響はないとされています。8月19日時点でも停止は続き、利用者は停止前のデータを取得できない状態です。報道では、現時点で情報漏えいは確認されていないとされています。同社は、顧客データが影響を受けた可能性を否定できないとも説明しています。外部の専門調査機関によるフォレンジック調査が進められており、完了は2026年8月末の見込みです。
公表の経過と情報の空白 事実
サポートサイトの初報は7月24日18時で、「メンテナンスを実施しています」とだけ案内され、不正アクセスには触れていませんでした。7月25日15時の更新では、作業の長期化が案内されました。この時点でも不正アクセスへの言及はありません。不正アクセスの痕跡が公表されたのは7月26日17時20分の更新です。初期にメンテナンスという表現が使われた理由は、報道では説明されていないとされています。侵入経路、悪用された脆弱性の有無、不正アクセスの開始時期、攻撃者、アクセスされたデータは明らかにされていません。対象契約数や顧客数、保存されていた情報の種類も未公表です。関係省庁への報告は行ったとされますが、どの省庁かは明示されていません。個人情報保護委員会への報告も、公表資料では確認できないとされています。
復旧と利用者対応の現状 事実
同社は7月27日から対象利用者向けに代替サーバの提供を開始しました。8月18日のサポート情報で、代替環境としてdc118とdc121.etius.jpが提供されていることが明らかになっています。ただし代替環境にはjm9・jm10のデータが引き継がれません。利用者はコンテンツやデータベースなどを自分で再構築する必要があり、手元のバックアップを基にした再構築が案内されています。データへの影響がないと確認できた場合は、7月24日の停止時点の環境を復旧環境として提供する計画です。提供開始の目標は2026年9月中旬頃で、調査結果によって前後する可能性があるとされています。二次被害を防ぐため、調査完了前の利用者へのデータ提供は見合わせられています。利用者には、同じパスワードを他サービスで使っている場合の変更検討と、便乗する不審なメールや電話への注意が呼びかけられています。
停止が長期化した構造についての解釈 解釈
以下は公表内容からの推測であり、事実として確定したものではありません。停止が長期化した背景として、侵入経路や影響範囲の確定に時間を要していることが考えられます。データが改ざんや持ち出しの影響を受けたかを確認できない間は、利用者に渡すことも停止時点の環境を戻すことも難しくなります。この点は、データを渡せない理由が二次被害の防止とされていることと整合します。共用レンタルサーバーでは、1台に多数の利用者のデータが同居します。そのため、2台の停止でも利用者側の業務やサイトへの影響が大きくなりやすいと考えられます。また、代替環境にデータが引き継がれないため、利用者のバックアップの有無が復旧の速さを左右した可能性があります。ただし、実際の原因や設計上の要因は公表されておらず、フォレンジック調査の結果を待つ必要があります。
初期案内のあり方についての解釈 解釈
以下は解釈です。初報が「メンテナンス」とされ、不正アクセスの痕跡の公表が約2日後になった点は、利用者が状況を判断する材料に影響した可能性があります。ただし、停止の時点では原因究明の途中だった可能性もあり、当時の同社の判断材料は公表されていません。表現が使われた理由も説明されていないため、特定の対応の是非を断定することはできません。一方で、事実が確定する前でも、確認中であることや想定される影響範囲を伝える方法はあり得ます。その時点で分かっていることと分かっていないことを分けて示すことが、利用者の備えにつながると考えられます。同社は判明した事項を速やかに公表するとしており、フォレンジック調査の結果と対象契約数などの開示が、今後の評価材料になります。
対応
- 封じ込め
- 2026-07-24 13:00に対象設備（jm9・jm10）上の全サービスを停止。外部の専門調査機関によるフォレンジック調査を実施中（原因・影響範囲・利用者データへの影響有無を確認、8月末完了見込み）。7月27日から代替サーバを提供し、データへの影響がないと確認できた場合は停止時点の環境を復旧環境として提供する準備を進める（9月中旬頃を目標）。二次被害防止のため調査完了前は利用者へデータを渡していない。同一パスワードの他サービス利用時の変更検討と、便乗する不審なメール・電話への注意も呼びかけている。
- 公表の仕方
- 7月24日18時にサポートサイトで「メンテナンス」として初報。7月25日に長期化を案内し、7月26日の更新で初めて不正アクセスの痕跡の確認を公表。8月19日に調査状況と復旧見通しを公表し、サポートサイトで随時更新している。判明した事項は速やかに公表するとしている。
- 当局対応
- 関係省庁に所定の報告を行ったとしているが、どの省庁かは公表資料で明示されていない
- 個人情報保護委員会への報告は、公表資料では確認できない
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 原因が確定する前でも、停止の理由が分からないと利用者は備えを判断できない | 障害・停止の初報テンプレートに「セキュリティ事象の可能性を含め調査中」を選べる項目を設ける。確認済みの事実と未確認の事項を分けて掲載し、更新時刻を明記する。 |
| 共用基盤では、少数の設備の停止でも多くの利用者の業務が長期間止まる | 収容サーバ単位で影響を受ける契約数を即時に引ける台帳を整備する。代替環境を事前に確保し、起動までの手順と所要時間を訓練で検証する。 |
| 代替環境にデータが引き継がれない場合、利用者側のバックアップが復旧の速さを左右する | サービス提供者は利用者がダウンロードできるバックアップ機能を提供し、取得手順を周知する。利用者側は、コンテンツとDBの世代バックアップを別環境に定期取得し、復元手順を実際に試す。 |
| 調査完了前はデータを渡せず、停止が長期化しうる | フォレンジック対象のデータを隔離保全する。並行して、影響確認済みの範囲から段階的に提供する判定基準と手順をインシデント対応計画に定める。 |
| パスワードの使い回しは、別サービスへの二次被害につながる | サービスごとに固有のパスワードを使い、パスワードマネージャーで管理する。FTPやメールの認証情報は、インシデント時に全利用者へ一括で再設定を促せる仕組みを用意する。 |
自組織などでの確認項目
- 自社が利用している共用レンタルサーバーなどの外部サービスが数週間止まった場合、公開サイトやメールをどの手順で代替しますか。代替先と所要時間は文書化されていますか。
- サイトのコンテンツ、データベース、メールのバックアップは、提供事業者とは別の場所に世代管理で保存されていますか。直近で復元を試した日はいつですか。
- FTPやメールのアカウントのパスワードが他のサービスと重複していないか、確認できますか。事業者から変更の案内があったとき、誰が全アカウントを棚卸ししますか。
- 取引先やお客様に障害を知らせる際、原因が未確定の段階で何を、どの表現で伝えるかを決めていますか。
未解明点
- 侵入経路、悪用された脆弱性の有無、不正アクセスの開始時期、攻撃者はどうだったのか。
- アクセスされたデータや保存されていた情報の種類はなにか。対象となる契約数・顧客数はどれだけか。
- フォレンジック調査の結果、利用者データへの影響の有無はどうなったのか。復旧環境は9月中旬頃に提供されたのか。
- 個人情報保護委員会への報告は行われたのか。関係省庁とはどこか。
出典
- 1INTERNET Watch2026-08-20報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-20報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-28報道本文確認済
- 4ScanNetSecurity2026-08-12報道本文確認済
- 5ScanNetSecurity2026-08-25報道本文確認済