さくらインターネットの「さくらのレンタルサーバ」への不正アクセス、会員情報136万563アカウントに影響の可能性、30アカウントでハッシュ化パスワードも対象|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

さくらインターネットへの不正アクセス、会員情報136万563アカウントに影響の可能性、30アカウントでハッシュ化パスワードも対象

さくらインターネット株式会社は2026年8月19日、8月17日に公表した「さくらのレンタルサーバ」への不正アクセスについて第二報を公表し、調査の過程で同社の販売管理システムにも不正アクセスの可能性を確認したと明らかにしました。

販売管理システムには、同社サービスを利用する顧客の契約情報などが保存されており、影響を受けた可能性のある会員情報は最大1,360,563アカウントに上ります。このうち30アカウントでは、ハッシュ化されたパスワード情報についても第三者がアクセスした可能性があります。

ただし、1,360,563アカウントは現時点で影響が確定した件数ではありません。さくらインターネットは、実際にどの情報が閲覧・取得されたのかを引き続き調査しており、8月19日時点でデータの外部持ち出しは確認されていないとしています。

また、今回新たに判明した販売管理システムへのアクセスは、8月9日に「さくらのレンタルサーバ」への不正アクセスを検知する以前に発生していた事象です。両者が同じ侵入経路や攻撃によるものかどうかについては、現在も調査が続いています。

さくらインターネット不正アクセス第二報のサマリー

さくらインターネットは2026年8月19日、不正アクセス事案の第二報を公表しました。
調査の過程で、顧客の契約情報などを管理する販売管理システムへの不正アクセスの可能性を新たに確認しました。
販売管理システムへのアクセスは、「さくらのレンタルサーバ」への不正アクセスを検知した8月9日より前に発生していました。
販売管理システムに保存されている会員情報について、影響を受けた可能性のある総数は1,360,563アカウントです。
1,360,563アカウントは影響確定件数や情報漏洩件数ではなく、現時点で対象となる可能性がある会員情報の総数です。
対象となる情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などが含まれます。
1,360,563アカウントのうち30アカウントでは、ハッシュ化されたパスワード情報についても第三者がアクセスした可能性があります。
8月17日に公表済みの「さくらのレンタルサーバ」583アカウントも1,360,563アカウントに含まれており、両数字を単純に合算することはできません。
8月19日時点で、データの外部持ち出しは確認されていません。
さくらインターネットはクレジットカード情報を保存していないと説明しています。
販売管理システムは「さくらのクラウド」など各サービスの提供環境とは別のシステムです。
侵入経路、原因、実際に閲覧・取得された情報、第一報との関連性は引き続き調査中です。

項目	内容
公表日	2026年8月19日
発生日・確認日	販売管理システムへのアクセスは2026年8月9日以前に発生。正確な発生日は調査中
対象組織	さくらインターネット株式会社
インシデント	販売管理システムへの不正アクセスの可能性。「さくらのレンタルサーバ」への不正アクセス調査中に判明
侵入経路	調査中
影響を受けた可能性のある情報	会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額など
対象件数	最大1,360,563アカウント。影響確定件数ではない
ハッシュ化パスワード	上記のうち30アカウントでアクセスされた可能性
データ外部持ち出し	8月19日時点で確認されていない
クレジットカード情報	さくらインターネットは保存していないと説明
第一報との関係	関連性を含めて調査中
対応状況	認証情報失効、マルウェア除去、監視強化、フォレンジック調査、影響範囲確認、対象顧客への個別通知など
個人情報保護委員会への報告	8月17日の第一報で、個人情報保護委員会を含む関係機関への報告・情報共有を実施と公表。第二報では「関係機関への報告および情報共有」と記載

第二報で販売管理システムへの不正アクセスの可能性が判明

今回の第二報で最も大きく変わったのは、調査対象が「さくらのレンタルサーバ」の一部顧客環境だけではなく、さくらインターネット自身が顧客の契約情報を管理する販売管理システムへ広がったことです。

8月17日の第一報では、第三者がさくらインターネットの管理環境を経由し、「さくらのレンタルサーバ」の一部顧客環境へ不正アクセスしていたことが確認されていました。不正ログインの対象は583アカウントで、一部サーバーへのマルウェア設置も確認されています。

その後、認証情報の無効化やアクセス遮断などの封じ込めを行いながら影響範囲を調査した結果、顧客の契約情報などを管理する販売管理システムにも不正アクセスがあった可能性が新たに浮上しました。

販売管理システムへのアクセスは、レンタルサーバー側の異常を検知した8月9日以前に発生していたとされています。ただし、正確な発生日や、どのような経路で販売管理システムまで到達したのかは明らかになっていません。

また、第一報の不正アクセスと販売管理システムへのアクセスが同一の攻撃によるものなのか、それぞれ別の経路で発生したものなのかも現時点では分かっていません。さくらインターネットは両者の関連性を含めて調査を継続しています。

第一報で判明していた583アカウントへの不正ログインやマルウェア設置については、セキュリティ対策Labの「さくらインターネット、『さくらのレンタルサーバ』で不正アクセス　583アカウントに不正ログイン、個人情報漏洩の恐れ」で詳しく整理しています。

影響を受けた可能性のある会員情報は136万563アカウント

販売管理システムへのアクセスの可能性が確認されたことで、影響範囲は第一報から大きく広がりました。

さくらインターネットによると、販売管理システムに保存されている会員情報のうち、影響を受けた可能性のある総数は1,360,563アカウントです。

対象となる可能性がある情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、利用している契約サービス、契約期間、請求金額などが含まれます。

ここで注意が必要なのは、1,360,563アカウントが「漏洩件数」ではないことです。

さくらインターネットは、この数字を「対象となる可能性のある会員情報総数」としており、現時点で影響が確定した数ではないと明記しています。第三者が実際にどのアカウントのどの情報を閲覧・取得したのかについては、現在も調査中です。

また、1,360,563アカウントには、8月17日に公表済みの「さくらのレンタルサーバ」の顧客も含まれています。そのため、第一報の583アカウントと第二報の1,360,563アカウントを足して被害規模を算出することはできません。

30アカウントではハッシュ化されたパスワード情報へのアクセス可能性

第二報では、1,360,563アカウントのうち30アカウントについて、ハッシュ化されたパスワード情報にも第三者がアクセスした可能性があることが明らかになりました。

さくらインターネットは、ハッシュ化されたパスワードについて「元のパスワードには復元が困難な状態にしたデータ」と説明しています。

一方、公開情報では、使用しているハッシュアルゴリズム、ソルトの有無、ストレッチングやワークファクターなどの詳細は示されていません。そのため、ハッシュ値から元のパスワードを推測される現実的なリスクがどの程度あるかは、現時点では評価できません。

また、「ハッシュ化パスワードへのアクセスの可能性」が確認されたのであって、30アカウントの元パスワードが復元されたことや、その認証情報を利用した不正ログインが確認されたとする発表ではありません。

ただし、今後さくらインターネットからパスワード変更や追加対応の案内が出た場合は、対象者はその指示に従う必要があります。同一または類似のパスワードを他サービスでも使用している場合には、対象範囲が確定した際に二次的な認証情報悪用の観点でも確認が必要になります。

8月19日時点でデータの外部持ち出しは確認されず

今回の第二報では、第三者による情報への「アクセス可能性」と「外部流出の確認」を明確に分ける必要があります。

さくらインターネットは、販売管理システムに保存された会員情報について第三者による閲覧または取得の可能性があるとしていますが、8月19日時点でデータの外部持ち出しは確認されていません。

そのため、現時点で「136万563アカウントの個人情報が流出した」「30件のパスワードが漏洩した」と断定するのは適切ではありません。

現在確認されているのは、販売管理システムへの不正アクセスの可能性と、そこに保存されていた情報が影響を受けた可能性です。実際に閲覧された情報、取得された情報、外部へ持ち出された情報の有無については、フォレンジック調査を含めて確認が続いています。

さくらインターネットは、自社ではクレジットカード情報を保存していないことも明記しています。

販売管理システムと「さくらのクラウド」などの提供環境は別

第二報では、今回影響が疑われている販売管理システムと、各クラウド・ホスティングサービスの提供環境が別であることも明記されています。

販売管理システムは、顧客の契約情報などを管理するためのシステムです。「さくらのクラウド」をはじめとする各サービスそのものを提供する基盤とは別のシステムとされています。

このため、販売管理システムへの不正アクセスの可能性が判明したことだけをもって、「さくらのクラウド」などすべてのサービス提供環境が侵害されたと判断することはできません。

一方、第一報では「さくらのレンタルサーバ」の一部顧客環境について実際の不正ログインが確認されており、攻撃者が顧客アカウントでアクセス可能な領域まで到達し、一部サーバーへマルウェアを設置していました。

今回の事案では、「顧客向けサービス提供環境への侵害」と「事業者自身の販売管理システムへのアクセス可能性」を分けながら、両者がどのようにつながっているのかを見る必要があります。

第一報より前からアクセス、侵入経路と原因は依然として不明

販売管理システムへのアクセスが8月9日以前に発生していたという事実は、今後の調査で重要なポイントになります。

第一報では、8月9日にさくらインターネットが管理するサーバー環境の異常を検知し、その後「さくらのレンタルサーバ」583アカウントへの不正ログインが確認されました。

第二報によって、異常検知以前から別の社内システムにアクセスされていた可能性が出てきたため、攻撃者が最初にどのシステムへ侵入し、どの順序で権限やアクセス範囲を広げたのかを確認する必要があります。

ただし、現時点で侵入経路、悪用された脆弱性、認証情報の入手方法、攻撃開始時期、脅威アクターなどは公表されていません。

ランサムウェアが使用されたとの発表もありません。第一報でマルウェア設置は確認されていますが、これを根拠にランサムウェア攻撃と断定することはできません。

個人情報保護委員会などへの報告、対象顧客へ個別通知

さくらインターネットは、不正なアクセスに利用された認証情報の失効、マルウェアの除去、関連システムの監視強化を進めています。

販売管理システムを含む影響範囲の確認と、外部専門機関によるフォレンジック調査も継続しています。

8月17日の第一報では、総務省、個人情報保護委員会などの関係機関へ報告・情報共有していることを明らかにしていました。8月19日の第二報でも、関係機関への報告と情報共有を対応事項として挙げています。

また、影響を受けた可能性のある顧客には個別通知を進めています。

現時点では、すべての1,360,563アカウントについて影響が確定したわけではないため、今後の調査によって対象者や対象情報が絞り込まれる可能性があります。

二次被害ではフィッシングや認証情報悪用に注意

第二報で会員ID、氏名、住所、メールアドレス、契約サービスなど幅広い情報が影響対象になり得ることが明らかになったため、今後は本件に便乗したフィッシングにも注意が必要です。

現時点で、これらの情報が外部へ持ち出されたことや、本件に関連するフィッシング被害が発生したとの公表はありません。

一方、攻撃者がサービス名、契約内容、氏名、メールアドレスなどの情報を入手した場合、それらを組み合わせて正規通知に見せかけたメールや電話を作ることは一般的な二次被害のシナリオとして想定できます。

第一報でも、さくらインターネットは、本件に便乗したフィッシングメールや不審な連絡に注意するよう利用者へ呼びかけています。同社は、パスワード、認証情報、クレジットカード情報をメールや電話で尋ねることはないと説明しています。

利用者は「緊急のパスワード変更」「アカウント停止」「被害確認」などを名目とする連絡を受けた場合、メール内のリンクから直接操作するのではなく、公式サイトや普段利用している管理画面から情報を確認することが重要です。

情報システム部門への示唆

今回の第二報で重要なのは、サービス提供事業者の一部顧客環境への不正アクセスから、事業者自身が契約情報を管理するシステムまで影響調査が広がった点です。

「さくらのレンタルサーバ」を業務利用している組織は、第一報で案内された顧客環境の確認に加え、自社がさくらインターネットからの個別通知対象になっていないかを継続して確認する必要があります。

特に、登録している管理者メールアドレス、会員ID、契約サービス情報などが今後影響対象として確定した場合には、それらの情報が他サービスの認証や本人確認に使われていないかも確認すべきです。

ハッシュ化されたパスワード情報については30アカウントが対象となる可能性がありますが、現時点でハッシュ方式などの詳細は公開されていません。対象者への案内があった場合には、さくらインターネットの指示に従ってパスワードを変更するとともに、同一または類似のパスワードを他サービスで使用していないかを確認する必要があります。

また、今回の1,360,563アカウントは「漏洩件数」ではなく調査対象となり得る母数です。自社のインシデント管理や顧客への説明では、「不正アクセスが確認された範囲」「アクセスされた可能性がある範囲」「実際に情報が取得・流出したことが確認された範囲」を分けて記録することが重要です。

クラウドやホスティング事業者のインシデントでは、サービス提供環境、顧客管理システム、課金・契約システムなど複数のレイヤーが存在します。どのシステムが直接侵害され、どのデータが単に露出した可能性があり、どの情報の取得まで確認されたのかを分けて把握することで、必要以上に影響を広く見積もることも、逆に過小評価することも避けやすくなります。

さくらインターネット、「さくらのレンタルサーバ」で不正アクセス　583アカウントに不正ログイン、個人情報漏洩の恐れ

2026年8月17日の第一報を基に、583アカウントへの不正ログイン、一部サーバーへのマルウェア設置、個人データが閲覧または取得された可能性、当時判明していた影響範囲を整理しています。