さくらインターネットは2026年9月10日、レンタルサーバおよび販売管理システムへの不正アクセスについて、調査結果と再発防止策（第三報）を公表しました。
8月に発覚した事案の最終報告で、影響の可能性がある会員情報は約136万アカウントに及ぶ一方、データの外部持ち出しや二次被害を裏付ける明確な事実は確認されていない、と説明されています。
この記事では、何が起きたのか、影響範囲、企業が押さえておきたい教訓を整理します。
公式の説明はさくらの第三報（https://www.sakura.ad.jp/corporate/information/newsreleases/2026/09/10/1968225692/ ）で確認できます。
何が起きたのか
2026年8月9日、さくらのレンタルサーバのメンテナンス用サーバーで異常を検知し、調査が始まりました。
その後の調査で、次の事象が確認されています。
- さくらのレンタルサーバへの不正アクセス
- 一部サーバーへのマルウェア設置
- 契約情報などを管理する販売管理システムのデータベースへの不正アクセス
確認後は、不審通信の遮断、環境の隔離、マルウェア除去、認証情報の見直しなど封じ込め対応を実施したとされています。
影響範囲のポイント
第三報で示された主な影響は次のとおりです。
- レンタルサーバ：閲覧・取得の可能性がある対象が951アカウント（当初583から追加調査で拡大）
- 販売管理システム：会員情報等の閲覧・取得の可能性がある対象が1,360,563アカウント
- うち30アカウント：ハッシュ化された会員IDパスワードへのアクセス可能性
- 販売管理システムへの不正アクセス期間：2023年4月以降〜2026年3月頃まで
対象になりうる情報には、会員ID、会社名・部署、住所、氏名、電話、メール、生年月日、契約内容、請求金額などが含まれます。クレジットカード情報は保持しておらず、カード番号漏えいの恐れはないとの説明です。
また、レンタルサーバ環境では2025年7月以降と考えられる不審な活動痕跡も確認されましたが、継続的な侵害や二次被害は確認されていない、とされています。
初期パスワードがハッシュ化されていなかった点
今回の公表で特に注目されたのが、パスワード保管の扱いです。
販売管理システムには、レンタルサーバの一部の初期サーバーパスワード、およびVPSの一部の管理者初期パスワードが保存されていました。これらはハッシュ化されていなかったとされています。
影響の可能性がある契約については、サーバーパスワード変更や、初期パスワード利用中のVPS利用者への変更依頼など、個別対応が行われています。お客さまが初期パスワードから変更した後のパスワードは、販売管理システムには保存していない、との説明です。
「初期設定のまま使うパスワード」と「管理システム側の保管方式」が重なると、被害時の影響が大きくなりやすい、という実務上の教訓になります。
外部持ち出し・二次被害の状況
調査時点では、次の事実は確認されていないとされています。
- データの外部持ち出しを裏付ける明確な事実
- インターネットやダークウェブ上での公開
- 本件に起因するアカウント不正利用や金銭被害
- フィッシング・なりすましなどの二次被害
- 封じ込め後の新たな不正アクセス拡大
ただし、便乗した不審メール・電話・SMSには注意が必要です。公式以外からのパスワード要求やカード情報の聞き取りは警戒した方がよいです。
再発防止策の方向性
さくら側は、権限の厳格化、接続経路の見直し、認証管理の見直し、EDR拡大、管理サーバー強化などを実施済みとし、今後は多層的アクセス制御、監視拡充、ログ体制見直し、レンタルサーバ全台再構築、外部監査、教育・訓練、ガバナンス強化などを進める方針を示しています。
インフラ事業者のインシデント対応として、「封じ込め→影響範囲の確定→顧客通知→再発防止」の流れが明示されている点は、他社の参考にもなります。
企業・開発者が考えるべきこと
自社サイトや業務システムを外部インフラに置く企業にとっても、他人事ではありません。次の観点が実務で効きます。
- 初期パスワードを放置せず、必ず変更する
- 管理画面・販売管理・本番環境の権限と接続経路を分離する
- パスワードはハッシュ化して保存し、平文や可逆保管を避ける
- 監視・ログ・EDRなど、異常の早期検知を設計に含める
- インシデント時の顧客通知・パスワード強制変更の手順を事前に決める
- 便乗フィッシングを想定し、社内・顧客への注意喚起ルートを用意する
とくに「サービス提供環境」と「契約・会員を管理する裏側システム」は別物です。本番が無事でも、管理系が弱いと会員情報がまとめて影響を受けます。
セキュアなシステム設計の相談
今回の事案は、大手インフラでも管理系の権限・認証・保管設計が事故の大きさを左右することを示しています。
Makoto Tejimaでは、Web・業務システムの開発とあわせて、権限設計、認証、監視、既存システム連携を含めたセキュアな導入を重視しています。
社内システム刷新、会員サイト、レンタルサーバ／クラウド移行まわりの相談などがあれば、お気軽にご連絡ください。
まとめ
さくらインターネットは、レンタルサーバと販売管理システムへの不正アクセスについて第三報を公表しました。影響の可能性がある会員情報は約136万アカウントに及びますが、外部持ち出しや二次被害の明確な事実は確認されていないとされています。
初期パスワードの非ハッシュ保管や、管理系と本番の分離不足は、どの規模のシステムでも起きうる論点です。インフラ選定だけでなく、権限・認証・監視の設計が大切です。
セキュアなWeb・システム開発や、既存環境の見直し、見積や進め方のご相談などがありましたら、お気軽にお問い合わせください。
