さくらインターネットのレンタルサーバ環境・販売管理システムへの不正アクセス（レンタルサーバ951アカウント、会員情報最大1,360,563アカウントに影響の可能性）
公表日
レンタルサーバーなどを提供するさくらインターネットで、一部のレンタルサーバーの顧客環境と、契約者の情報を管理する社内システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。会員情報 最大1,360,563アカウント分に影響が出た可能性があります（外部への持ち出しは確認されていません）。
対象者は？
さくらインターネットの会員です。会員ID・会社名・部署名・住所・氏名・電話番号・メールアドレス・生年月日・性別・契約サービス・請求金額などが、最大1,360,563アカウント分見られた可能性があります（実際に見られたと確認された件数ではありません）。「さくらのレンタルサーバ」の951アカウントは、サーバー内のメールやWebサイトのデータも対象です。クレジットカード情報は保有していないとされています。
対象の方には、登録しているメールアドレスあてに会社から個別に連絡が行われています。案内ページ（FAQ）と専用の電話窓口でも確認できます。
いますぐできること
- さくらのサービスで、申込み時に届いた初期のパスワードを使い続けていた場合は、案内に従ってサーバーやメールのパスワードを変更する。VPSの管理者パスワードも同様
- レンタルサーバーで自分のWebサイトを運営している場合は、見覚えのないファイルや書き換えがないか確認する
- さくらインターネットを名乗るメールや電話でパスワードや支払いを求められても応じず、会員メニューから自分で確認する
何が起きたのか
2026年8月9日、さくらインターネットは「さくらのレンタルサーバ」の保守用のサーバーで異常を見つけました。8月17日に、第三者がこの会社側の環境を経由して一部の顧客のサーバーに入り込み、不正なプログラムを置いていたと公表しました。8月19日には、契約者や請求先の情報を管理する社内システム（販売管理システム）にも不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性があると公表しました。8月31日には、一部の顧客のサーバーパスワードを会社側で変更したと案内しました。9月10日に調査が終わり、レンタルサーバーの対象は951アカウントに広がりました。
なぜ起きたのか・なぜ広がったのか
侵入の経路は公表されていません。会社は、攻撃の方法やシステムの構成などの詳しい情報は、まねをされる攻撃を防ぐために公表しないとしています。販売管理システムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は2023年4月から2026年3月の間に起きていました。このシステムには一部のサーバーの初期パスワードなどが元に戻せる形のまま保存されており、それも対象に含まれていました。レンタルサーバーと販売管理システムの2つの被害が関係しているかどうかは、はっきりした根拠は見つかっていないとしています。
いまの状況2026-09-10 時点
9月10日に調査を終え、データの外部への持ち出しや、情報が悪用された被害は確認されていないとしています。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたサーバーは作り直し、今後「さくらのレンタルサーバ」のすべてのサーバーを作り直すとしています。そのほか、アクセス権限の総点検、外部による監査などを再発防止策に挙げています。業績への影響は精査中とされ、まだ発表されていません。
企業として考えたいこと
自社の顧客管理のシステムに、お客様のサービスにログインできるパスワードなどが残っていないでしょうか。長い期間の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。にも気づけるよう、記録の残し方も見直してみましょう。
技術的な要約
さくらインターネットは2026年8月9日、同社が管理する「さくらのレンタルサーバ」のメンテナンス用サーバで異常を検知し、8月17日の第一報で、第三者が同社管理環境を経由して一部顧客環境に不正アクセスし、583アカウントへの不正ログインと一部サーバへのマルウェア設置を確認したと公表した。8月19日の第二報（同日適時開示）では、調査の過程で契約者・請求先情報を管理する販売管理システムへの不正アクセスの可能性が判明し、最大1,360,563アカウントの会員情報（うち30アカウントはハッシュ化された会員IDパスワード）が影響を受けた可能性があるとし、業績への影響は精査中とした。8月31日には、販売管理システムに初期・再発行サーバーパスワードが保存されていたことから、該当顧客のサーバーパスワードを同社側で変更したと告知した。9月10日の第三報で調査完了を表明し、レンタルサーバの対象は951アカウントに拡大、販売管理システムへの不正アクセスは2023年4月〜2026年3月に発生しており、初期パスワードはハッシュ化されていなかったと明らかにした。両事象の関連を示す明確な根拠は確認されず、データの外部持ち出しや二次被害も確認されていないとしている一方、攻撃コード・IPアドレス・構成・認証方式などの技術詳細は模倣攻撃防止の観点から非公表である。
攻撃の分類
- 侵入口
- 不明公式には侵入経路は非公表。第一報（8/17）は、8/9に同社が管理するサーバー環境で異常を検知し、第三者が同社の管理する環境を経由して『さくらのレンタルサーバ』の一部顧客環境へ不正にアクセスし、一部サーバにマルウェアを設置したと説明し、対応として不正利用に関係した可能性のある認証情報の失効を挙げている（＝何らかの正規認証情報が悪用されたことは示唆されるが、その種類・入手経路は不明）。第三報（9/10）は異常検知箇所を『メンテナンス用サーバー』と明記したうえで、『具体的な攻撃コード、IPアドレス、システムおよびネットワークの詳細な構成、認証方式その他の技術的な詳細』は模倣攻撃防止の観点から公表を差し控えるとした。販売管理システムについても侵入経路・悪用された脆弱性・攻撃者は公表されておらず、レンタルサーバ側との関連性は『明確な根拠は確認されていない』とされた。
- 脆弱性
- CVE 非公表不明脆弱性悪用の有無、製品名、CVEはいずれも非公表（2026-10-10時点で確認できず）。公表で確認できるのは、同社管理環境（メンテナンス用サーバ）経由での顧客環境到達、認証情報の悪用・失効、マルウェア設置、販売管理システムのデータベースへの不正アクセスのみ。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サービス全体の停止は公表されていない。第一報（8/17）時点でレンタルサーバのデータベースアップグレード機能、プラン変更、移行ツールなど一部機能を制限（公式）。8/31の告知（n-2692）で、2026年8月17日までに申込時に発行された初期サーバーパスワード、または会員メニューから再発行したサーバーパスワードを現在も使っている一部顧客（さくらのレンタルサーバ／マネージドサーバ／メールボックス／ビジネスメール）のサーバーパスワードを同社が変更したと案内し、変更前のパスワードではサーバーコントロールパネル・FTP・SSHにログインできなくなった（実施日時の記載なし）。第三報で、不正アクセスを受けたサーバの再構築は実施済み、『さくらのレンタルサーバ』全サーバの再構築を今後の施策とした。期間：機能制限の解除時期・全サーバ再構築の日程は公式ページ（第一報〜第三報、FAQ）に記載がなく不明
- データ
- おそれ上限 1,360,563確定 —アカウント会員ID氏名住所電話メール生年月日性別ハッシュ化PW平文PW購入履歴取引先情報その他（会社名・部署名・FAX番号・契約期間・請求金額、レンタルサーバ顧客領域内のメールデータ・ウェブサイトデータ・ログ・利用者識別子）販売管理システム：最大1,360,563アカウント（FAQ記載の項目は会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額等。全顧客が全項目を保有しているわけではない）。同社は対象となる可能性のある会員情報の総数であり、個別の顧客情報が実際に閲覧されたことを確認した件数ではないと説明。うち30アカウントはハッシュ化された会員IDパスワードが閲覧された可能性。さらに販売管理システムには一部のレンタルサーバの初期サーバーパスワード・会員メニューから再発行したサーバーパスワード、一部の『さくらのVPS』の管理者初期パスワードが保存されており、第三報はこれらが『ハッシュ化されていないもの』と明記（件数非公表のため④の判定には使えない）。レンタルサーバ：第一報583アカウント→第三報951アカウント（368追加、追加分と8/17公表事案との関連は明確な根拠なしだが影響の可能性を否定できないため対象化）。顧客領域内のメールデータ・Webサイトデータ・ログ情報・その他ファイル、利用者識別子の閲覧・取得の可能性。第二報・適時開示は1,360,563に583を含むと明記し、FAQは951アカウントも1,360,563と重複するとしているため合算不可。クレジットカード情報は保持していない。ドメイン・DNSの不正変更は未確認（FAQ）。データの外部持ち出し、インターネット・ダークウェブでの公開、不正利用・金銭被害は9/10時点で未確認。
- 波及先
- 951 アカウント（レンタルサーバ顧客の環境）
- 『さくらのレンタルサーバ』顧客951アカウント：顧客環境（Webサイト・メールデータ・ログ）への不正アクセスとマルウェア設置
- サーバーパスワード強制変更の対象：さくらのレンタルサーバ、さくらのマネージドサーバ、さくらのメールボックス、さくらのビジネスメールの一部顧客
- さくらのVPSで管理者初期パスワードを使い続けていた顧客（第三報・FAQで初期管理者パスワードの変更を個別案内。8/31告知 n-2692 の対象サービスにはVPSは含まれない）
- 金銭影響
- 8/19の適時開示で2027年3月期連結業績への影響は『現在精査中』とし数値は示さず、開示すべき事項が生じれば速やかに公表するとした。9/10の第三報には業績影響の記載なし。2026-10-10時点で特別損失等の公表は本調査では確認できず。
- サプライチェーン
- ホスティング事業者の管理環境（第三報でいう『メンテナンス用サーバー』）を経由して顧客のレンタルサーバ環境に到達された、基盤側起点の事案。顧客には法人も多く、顧客のWebサイトデータ・メールデータ・ログが閲覧・取得された可能性がある。さらに販売管理システムに顧客サーバの初期パスワード・VPSの管理者初期パスワードがハッシュ化されずに保存されていたため、販売管理システムの侵害が顧客インフラへのアクセス手段の漏えいに直結しうる構造だった。顧客側組織が個別に被害公表した例は本調査では確認できなかった。さくらのVPS・さくらのクラウド・専用サーバPHY・高火力PHYは第一報時点で影響なしとされ、販売管理システムは各サービスの提供環境とは別のシステムと説明され（第二報）、第三報ではレンタルサーバ以外のサービス提供環境の緊急点検でも不正アクセスの兆候は確認されなかったとしている。
時系列
- 2023-04
- 2025-07
- 2026-03
- 2026-08-09
- 2026-08-17
- 2026-08-19
- 2026-08-19 18:40
- 2026-08-26 10:00第二報を更新し、本件専用の電話窓口（0120-378-719、平日10:00〜18:00）を追記2
- 2026-08-31
- 2026-09-10
技術解説
攻撃の構造：管理環境経由の顧客環境到達と、別系統の販売管理システム侵害 事実
公表された事実は二系統ある。一つはレンタルサーバ側で、第三者が同社の管理する環境（第三報でいう『メンテナンス用サーバー』）を経由して顧客環境に到達し、583→951アカウントに不正ログインし、一部サーバにマルウェアを設置した。第一報の対応に不正利用に関係した可能性のある認証情報の失効があることから、正規の認証情報が悪用されたことがうかがえるが、その種類・入手経路は公表されていない。もう一つは販売管理システムへの不正アクセスで、第三報によれば2023年4月から2026年3月までの間に発生していた。8/9の検知はレンタルサーバ側であり、販売管理システム側は調査の過程で後から見つかった。両者の関連性は『明確な根拠は確認されていない』とされ、攻撃コード・IPアドレス・構成・認証方式は模倣攻撃防止を理由に非公表である。なお公式との突き合わせで、前回（報道ベース）の記述から次を修正した：『メンテナンス用サーバー』は第一報ではなく第三報の表現、FAQは報道上の8/20公開ではなく8/19 18:40に第二報へ案内が追記されていた、8/31の告知はパスワード変更の実施日時を示していない、VPSの初期パスワードは8/31告知の対象外で第三報・FAQで案内された。
販売管理システムに顧客インフラの平文初期パスワードがあった 事実
8/31の告知と第三報により、販売管理システムには『さくらのレンタルサーバ』等の初期サーバーパスワードと会員メニューから再発行したサーバーパスワード、『さくらのVPS』の一部の管理者初期パスワードが保存されており、第三報はそれらが『ハッシュ化されていないもの』だと明記した。同社は、8/17までに発行・再発行されたパスワードを現在も使っている顧客について同社側で変更し、VPSの対象者には変更を案内した。つまり契約・請求を扱う業務システムに、顧客が初期値のまま使い続ける限り有効な『顧客サーバへの鍵』が非ハッシュ化で残っていた。漏えいの可能性がある会員情報（最大約136万）に比べ、ハッシュ化会員パスワードの対象は30アカウントと小さいが、運用上のリスクは非ハッシュ化の初期パスワードの方が大きい。初期パスワードの保存件数と、それを使った不正ログインの有無は公表されていない。
検知までの滞留期間と『記録の制約』 解釈
販売管理システムへの不正アクセスは2023年4月に始まり、検知されたのは別系統のレンタルサーバ側の異常（2026年8月9日）がきっかけだった。少なくとも約3年間、販売管理システム側の異常アクセスは検知されていなかったことになる。また第三報は、レンタルサーバ環境で2025年7月以降に見つかった不審な活動の痕跡について、今回の事案との同一性や侵入経路を『記録の制約』により確認できなかったと述べている。ログの取得範囲・保管期間が調査に必要な期間をカバーしていなかったと読め、同社自身も再発防止策に『ログの取得範囲・保管期間・分析体制の見直し』を挙げている。長期潜伏型の侵害では、ログ保持期間がそのまま『説明できる範囲』の上限になることを示す事例である。
件数の読み方：最大値と実被害の乖離 解釈
最大1,360,563アカウントは販売管理システムに『保存されていた項目の件数』であり、同社は実際の閲覧・取得を示すものではないと明記している。データの外部持ち出しを裏付ける事実、ダークウェブ公開、不正利用、金銭被害も9/10時点で確認されていない。一方で『持ち出しがない』ことも証明されておらず、約3年分の不正アクセス期間に対してログで追える範囲が限られていた可能性を踏まえると、『おそれ』として最大値で扱い続けるのが妥当である。さらにレンタルサーバ側の951アカウントは顧客のWebサイト・メール・ログを含む顧客環境そのものへの到達であり、件数は小さくても顧客の顧客（サイト訪問者・メール相手）に影響し得る点で質的に重い。講義では『最大件数の大きさ』と『到達した資産の重さ』を分けて評価させたい。
公表の評価 解釈
8/9検知から8/17第一報まで8日、8/19に販売管理システムの可能性を追加し適時開示（業績影響は精査中）、同日夕にFAQ、8/26に専用電話窓口、8/31にパスワード変更の告知、9/10に調査完了の第三報と、約1か月で第三報まで段階的に公表した点は比較的早い。第一報では総務省・個人情報保護委員会への報告を明記している（第三報は『関係機関』とのみ記載）。他方で、侵入経路・悪用された認証情報の種類・マルウェアの種類・非ハッシュ化初期パスワードの件数は一貫して非公表で、第一報が顧客に点検を求めた項目（身に覚えのないファイル・管理者アカウント、不審な変更、心当たりのないログイン・メール送信）以上の具体的なIoCは示されていない。ホスティング事業者の場合、顧客は自分のサーバで何を確認すべきかを判断する材料を必要とするため、模倣攻撃防止と顧客の点検可能性のバランスが問われる。
対応
- 封じ込め
- 8/9の検知後、直ちに不審な通信の遮断、対象環境の隔離、マルウェアの除去、認証情報の見直し（不正利用に関係した可能性のある認証情報の失効）、接続元制限の強化、関連サーバ・システム・ネットワークの緊急点検を実施。レンタルサーバの一部機能（DBアップグレード・プラン変更・移行ツール等）を制限。外部専門機関と連携したフォレンジック調査。8/31告知で、初期・再発行サーバーパスワードを使い続けている顧客のサーバーパスワードを同社側で変更済みと案内（実施日時記載なし）、VPS対象者へ管理者初期パスワード変更を個別案内。会員メニューはログイン時の2要素認証が必須（FAQ）。実施済みの再発防止策：管理者・アクセス権限の総点検、重要システムへの接続経路の見直し、認証方式の見直し、EDR導入範囲の拡大、管理用サーバの設定強化、不正アクセスを受けたサーバの再構築。今後：多層的アクセス制御、監視・検知機能の拡充、ログの取得範囲・保管期間等の見直し、『さくらのレンタルサーバ』全サーバの再構築、外部監査、教育、経営層を含むガバナンス強化。
- 公表の仕方
- 8/17第一報（583アカウント、マルウェア設置）、8/19第二報と東証適時開示『「当社システムへの不正アクセスに関するお知らせ」について』（販売管理システム、最大1,360,563アカウント、業績影響は精査中）、8/19 18:40 第二報にFAQ案内を追記、8/26 10:00 専用電話窓口を追記、8/31パスワード変更のお願い、9/10第三報（調査結果・再発防止策、調査完了）と同日FAQ更新。対象者へは登録メールアドレス宛に個別通知し、登録情報の不備等で連絡できない人には第三報の公表で代替。便乗フィッシング・不審電話への注意喚起を実施。技術詳細は模倣攻撃防止を理由に非公表。
- 当局対応
- 総務省：第一報（公式）で報告・情報共有を明記。通信の秘密に該当し得る情報への到達が理由との説明は報道による
- 個人情報保護委員会：第一報（公式）で報告・情報共有を明記。行政指導等の公表は本調査では確認できず
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務システム（販売管理）に顧客サーバの初期パスワードを平文で保持していた | 初期パスワードは発行時に一度だけ顧客へ表示・送付し、業務DBには保存しない（必要ならArgon2id等でハッシュ化）。初回ログイン時の変更を強制し、一定期間初期値のままのアカウントは自動ロック。既存データは棚卸しして平文カラムを削除し、DLP/DBスキャナで平文認証情報の残存を定期検出する |
| 管理環境（メンテナンス用サーバ）から顧客環境に到達できた | 顧客環境への運用アクセスはPAM（特権アクセス管理）経由のJust-In-Time発行に限定し、共有・常設の運用認証情報を廃止。踏み台サーバはMFA必須・接続元固定・セッション録画とし、顧客サーバ側では運用アカウントのログイン元を踏み台IPのみに制限する |
| 販売管理システムへの不正アクセスが約3年間検知されなかった | 顧客マスタを持つDBにDBアクティビティ監視を導入し、通常業務と異なるクエリ（全件SELECT、深夜帯、未知の接続元・アプリケーションユーザ）をアラート化。四半期ごとにDBアカウントと接続元の棚卸しを行う |
| ログ保持期間が不足し、過去の不審な活動の同一性を確認できなかった | 認証ログ・管理系サーバのコマンド履歴・DB監査ログを改ざん不能なストレージ（WORM/オブジェクトロック）に最低1〜2年保持し、SIEMで横断検索できるようにする。保持期間はインシデント調査で遡る想定期間から逆算して決める |
| 顧客側が自環境を点検するための情報が限られる | ホスティング利用者は事業者の公表を待たず、公開ディレクトリの不審ファイル・.htaccess・cron・SSH authorized_keys・FTP/メールアカウントを点検し、サーバ・DB・外部APIキーをローテーションする手順をあらかじめ runbook 化しておく |
自組織などでの確認項目
- 自社の販売管理・CRM・請求システムに、顧客環境へのログインに使える情報（初期パスワード、APIキー、接続情報）が残っていないか。残っている場合、そのシステムの侵害は顧客インフラの侵害と同義になっていないか。
- 自社の運用担当者が顧客環境や本番環境に入る経路は何本あり、それぞれの認証情報が漏れた場合にどこまで到達できるか。
- 3年前に始まった不正アクセスを今日発見したとしたら、自社のログでどこまで遡って説明できるか。説明できない期間を公表文でどう表現するか。
- 利用しているホスティング・クラウド事業者が侵害を公表したとき、自社は何時間以内に何を点検・ローテーションするか決まっているか。
未解明点
- レンタルサーバ側・販売管理システム側それぞれの初期侵入経路（脆弱性か認証情報流出か）と、悪用された認証情報の種類・入手経路
- 設置されたマルウェアの種類・機能（Webシェル、バックドア、情報窃取等）と顧客が点検に使えるIoC
- 販売管理システムに非ハッシュ化で保存されていた初期パスワードの件数と、それを使った顧客環境への不正ログインの有無
- 2023年4月〜2026年3月の不正アクセスの具体的な手段と、その期間に検知できなかった理由
- 攻撃者の正体・目的（犯行声明は本調査では確認できず）
- 業績・財務への影響の確定値（8/19適時開示で『精査中』とされたまま、特別損失等の公表は未確認）
出典
- 1さくらインターネット2026-08-17公式本文確認済
- 2さくらインターネット2026-08-19公式本文確認済
- 3さくらインターネット2026-08-19公式本文確認済
- 4さくらインターネット2026-08-31公式本文確認済
- 5さくらインターネット2026-09-10公式本文確認済
- 6さくらインターネット2026-09-10公式本文確認済
- 7@IT2026-08-18報道本文確認済
- 8@IT2026-08-20報道本文確認済
- 9INTERNET Watch2026-08-19報道本文確認済
- 10ASCII2026-08-19報道本文確認済
- 11ScanNetSecurity2026-08-20報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）2026-08-31報道本文確認済
- 13ScanNetSecurity2026-09-08報道本文確認済
- 14セキュリティ対策Lab（Rocket Boys）2026-09-10報道本文確認済
- 15INTERNET Watch2026-09報道本文確認済
- 16ASCII2026-09報道本文確認済
- 17ScanNetSecurity2026-09-17報道本文確認済
- 18一創2026-10-02研究者本文確認済
- 19innovaTopia2026-08報道本文確認済