さくらインターネット、不正アクセスで最大1,360,563アカウントに影響の可能性　レンタルサーバは951アカウントに拡大

さくらインターネット株式会社は2026年9月10日、「さくらのレンタルサーバ」および顧客の契約情報などを管理する販売管理システムへの不正アクセスについて、第三報となる調査結果と再発防止策を公表しました。

外部のサイバーセキュリティ専門機関と連携した調査の結果、「さくらのレンタルサーバ」では一部サーバーへの不正アクセスとマルウェア設置を確認しました。第三者による閲覧または取得の可能性がある対象は、8月17日時点の583アカウントから368アカウント増え、合計951アカウントとなりました。

また、販売管理システムについては、不正アクセスが2023年4月以降、2026年3月までの間に発生していたことを確認しました。保存されていた会員情報等について、第三者に閲覧または取得された可能性がある対象は最大1,360,563アカウントです。このうち30アカウントでは、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があります。

一方、さくらインターネットは、データが外部へ持ち出されたことを裏付ける明確な事実は確認されなかったとしています。インターネットやダークウェブ上での情報公開、アカウントの不正利用、金銭的被害、フィッシングなどの二次被害も9月10日時点では確認されていません。

なお、最大1,360,563アカウントは「情報漏えいが確認された件数」ではありません。販売管理システムに保存されていた会員情報等について、第三者による閲覧または取得の可能性がある対象総数です。

さくらインターネット不正アクセス第三報のサマリー

確認できている内容：

• さくらインターネットは2026年9月10日、一連の不正アクセスに関する調査を完了し、第三報を公表しました。
• 8月9日、「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知しました。
• 「さくらのレンタルサーバ」の一部サーバーへの不正アクセスを確認しています。
• 一部サーバーにはマルウェアが設置されていました。
• レンタルサーバ側で第三者による閲覧または取得の可能性がある対象は、583アカウントから951アカウントへ増えました。
• 追加された368アカウントは、8月17日に公表した583アカウントへの不正アクセスとの関連性を示す明確な根拠は確認されていません。
• 2025年7月以降のものと考えられる不審な活動の痕跡も確認しましたが、今回との同一性や具体的な侵入経路までは客観的に確認できませんでした。
• 販売管理システムへの不正アクセスを確認しています。
• 販売管理システムへの不正アクセスは、2023年4月以降、2026年3月までの間に発生していました。
• 販売管理システムの会員情報等について、最大1,360,563アカウントが第三者による閲覧または取得の可能性があります。
• 1,360,563アカウントには「さくらのレンタルサーバ」の対象顧客も含まれており、951アカウントと単純合算できません。
• 30アカウントではハッシュ化された会員IDのパスワード情報が閲覧された可能性があります。
• 販売管理システムには、一部の「さくらのレンタルサーバ」の初期サーバーパスワードと「さくらのVPS」の管理者初期パスワードも保存されていました。
• これらの初期パスワードはハッシュ化されていませんでした。
• データが外部へ持ち出されたことを裏付ける明確な事実は確認されていません。
• 本件に起因する情報の不正利用、金銭被害、フィッシングなどの二次被害も確認されていません。
• クレジットカード情報は同社が保持しておらず、入力画面の改ざんも確認されていないため、カード番号の漏えいのおそれはないとしています。
• 「さくらのレンタルサーバ」を除くサービス提供環境では、不正アクセスを示す兆候は確認されませんでした。
• 販売管理システム以外の関連社内システムでも、不正アクセスを示す兆候は確認されていません。
• 不正アクセスに利用された可能性のある認証情報の無効化、環境隔離、マルウェア除去、サーバー再構築、EDR導入範囲拡大などの封じ込めを実施済みです。

現時点で公表されていない、または確認できていない内容：

• 具体的な攻撃者
• 攻撃グループや国家との関係
• 「さくらのレンタルサーバ」管理環境への最初の侵入方法
• 販売管理システムへの具体的な侵入経路
• 悪用された脆弱性
• 攻撃に使われたマルウェア名
• 2025年7月以降の不審な活動と2026年8月に検知した事案が同一の攻撃か
• レンタルサーバへの不正アクセスと販売管理システムへの不正アクセスが同一の攻撃者によるものか
• 最大1,360,563アカウントのうち、実際に第三者が閲覧・取得したアカウント数

項目	内容
第三報公表日	2026年9月10日
異常検知日	2026年8月9日
対象組織	さくらインターネット株式会社
対象1	「さくらのレンタルサーバ」の一部環境
対象2	会員・契約情報を管理する販売管理システム
レンタルサーバ側の対象	951アカウント
販売管理システム側の対象	最大1,360,563アカウント
ハッシュ化パスワード	30アカウントで閲覧された可能性
販売管理システムへの不正アクセス時期	2023年4月以降～2026年3月までの間
マルウェア	レンタルサーバの一部サーバーへの設置を確認
データ外部持ち出し	裏付ける明確な事実は確認されず
情報の不正利用	9月10日時点で確認されず
金銭被害	9月10日時点で確認されず
フィッシング等の二次被害	9月10日時点で確認されず
クレジットカード番号	同社は保持せず、入力画面改ざんも未確認
侵入経路	技術的詳細は非公表。一部は記録制約により客観的確認に至らず
対応	認証情報無効化、通信遮断、環境隔離、マルウェア除去、サーバー再構築、EDR拡大など

レンタルサーバの対象は583から951アカウントへ拡大

8月17日の第一報では、「さくらのレンタルサーバ」の一部顧客環境について、第三者による閲覧または取得の可能性がある対象は583アカウントとされていました。

第三報では、追加調査により368アカウントについても同様の可能性があることが確認され、対象は合計951アカウントとなりました。

ただし、この追加368アカウントは、最初の583アカウントと同じ攻撃で影響を受けたことが確認されたわけではありません。

さくらインターネットは、発生時期や経路を含めて調査したものの、追加368アカウントと8月17日に公表した583アカウントへの不正アクセスとの関連性を示す明確な根拠は確認できなかったとしています。

それでも影響の可能性を完全には否定できないため、追加368アカウントも最終的な影響範囲に含めています。

このため、「951アカウントすべてが同じ攻撃者に侵害された」とするのは公表内容を超えます。

951アカウントでは顧客領域内のデータが閲覧・取得された可能性

「さくらのレンタルサーバ」の951アカウントで影響を受けた可能性があるのは、顧客の利用領域に保存されていた情報です。

さくらインターネットが第三報で示した主な情報は次のとおりです。

• 利用者識別子
• メールデータ
• ウェブサイトデータ
• ログ情報
• その他、顧客領域内に保存されたファイル等

ここでも、「951アカウント分のデータがすべて外部へ流出した」という意味ではありません。

同社が確認しているのは、第三者による閲覧または取得の可能性です。外部への持ち出しを裏付ける明確な事実は確認されていません。

2025年7月以降とみられる不審な活動の痕跡も確認

第三報では、新たに過去の不審な活動についても言及されました。

調査の過程で、「さくらのレンタルサーバ」の環境から2025年7月以降のものと考えられる不審な活動の痕跡が確認されています。

さくらインターネットと外部のサイバーセキュリティ専門機関が調査した結果、これらの痕跡について継続的な侵害を示すものではなく、情報の不正利用やその他の二次被害も確認されなかったとしています。

一方、時間が経過したことによる記録の制約などから、2026年8月に検知した事案と同じ攻撃なのか、具体的な侵入経路、顧客情報への影響について客観的な確認には至りませんでした。

つまり、「攻撃は2025年7月から継続していた」と確定したわけではありません。

販売管理システムへの不正アクセスは2023年4月～2026年3月の間に発生

第三報で最も大きく具体化した事実の1つが、販売管理システムへの不正アクセス時期です。

最終調査では、販売管理システムへの不正アクセスそのものが確認され、その発生時期について「2023年4月以降、2026年3月までの間」と明らかにされました。

ただし、これは2023年4月から2026年3月まで攻撃者が継続的にアクセスし続けていたという意味ではありません。

公表内容から確認できるのは、その期間内に不正アクセスが発生していたことです。具体的な回数、継続期間、アクセス日時の一覧は示されていません。

また、「さくらのレンタルサーバ」への2026年の不正アクセスと、販売管理システムへの不正アクセスとの関連性も確認できませんでした。

最大136万563アカウントは「漏えい件数」ではない

販売管理システムで第三者による閲覧または取得の可能性がある会員情報等の対象は、最大1,360,563アカウントです。

対象となる可能性がある情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額等が含まれます。

ただし、さくらインターネットは、すべての顧客について上記すべての情報を保有しているわけではなく、第三者がすべての情報を実際に閲覧または取得したことを意味しないと説明しています。

1,360,563アカウントという数字は、第三者のアクセス対象になった可能性がある販売管理システム内の会員情報総数です。

そのため、「136万563件が流出」「136万人の個人情報漏えいを確認」といった表現には置き換えられません。

30アカウントでハッシュ化された会員IDパスワードが閲覧された可能性

最大1,360,563アカウントのうち、30アカウントでは、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があります。

一方、販売管理システムにはこれとは別に、「さくらのレンタルサーバ」の一部初期サーバーパスワードと「さくらのVPS」の一部管理者初期パスワードも保存されていました。

これらの初期パスワードはハッシュ化されていません。

「さくらのレンタルサーバ」では、影響を受けた可能性のある初期サーバーパスワードが現在も使用されていた契約について、さくらインターネット側で変更を行っています。「さくらのVPS」についても対象顧客へ個別に案内しています。

初期パスワードから利用者自身が変更した後のパスワードは販売管理システムには保存されていません。

パスワード変更に関する対応は、以下の記事でも整理しています。

• さくらインターネット、一部顧客のサーバーパスワードを同社側で変更　販売管理システムへの不正アクセスで追加対応

クレジットカード番号の漏えいのおそれはないと説明

さくらインターネットは、クレジットカード情報を自社で保持していないと説明しています。

さらに、今回の調査でクレジットカード入力画面の改ざんなども確認されなかったことから、カード番号の漏えいのおそれはないとしています。

最大136万563アカウントの影響候補に「請求金額等」が含まれますが、これはクレジットカード番号そのものとは別の情報です。

レンタルサーバと販売管理システムの侵害は関連性を確認できず

今回の調査では、少なくとも2つの不正アクセス事象が確認されています。

1つは「さくらのレンタルサーバ」の一部サーバーに対する不正アクセスです。

もう1つは、顧客の契約情報などを管理する販売管理システムのデータベースへの不正アクセスです。

さくらインターネットは両者の関連性を調査しましたが、関連性を示す明確な根拠は確認できなかったとしています。

したがって、現時点では、同一攻撃者が両環境へ侵入した、レンタルサーバから販売管理システムへ横展開した、販売管理システムからレンタルサーバへ侵入した、といった攻撃経路を確定することはできません。

侵入経路の詳細は非公表

さくらインターネットは、セキュリティ保護と模倣攻撃防止の観点から、具体的な攻撃コード、IPアドレス、システム・ネットワーク構成、認証方式などの技術詳細について公表を控えています。

また、2025年7月以降の不審な活動については、時間経過による記録の制約から具体的な侵入経路を客観的に確認するには至りませんでした。

そのため、VPN脆弱性、認証情報窃取、Webアプリケーション脆弱性、ゼロデイなど特定の初期侵入方法へ結び付けることはできません。

データの外部持ち出しを裏付ける明確な事実は確認されず

第三報では、情報が「閲覧または取得された可能性」と、データの「外部持ち出し」を分けて説明しています。

さくらインターネットは、データが外部へ持ち出されたことを裏付ける明確な事実は確認されなかったとしています。

9月10日時点で、対象情報のインターネット・ダークウェブ上での公開、本件に起因するアカウント不正利用、金銭被害、フィッシングやなりすまし、封じ込め後の新たな不正アクセスも確認されていません。

ただし、「外部持ち出しを裏付ける明確な事実がない」ことと、「第三者が情報を一切閲覧・取得していないことが証明された」ことは同じではありません。

「さくらのレンタルサーバ」以外のサービス提供環境では兆候を確認せず

緊急点検の結果、「さくらのレンタルサーバ」を除くサービス提供環境について、不正アクセスを示す兆候は確認されませんでした。

販売管理システム以外の関連社内システムについても、9月10日時点で不正アクセスを示す兆候は確認されていません。

ただし、「さくらのVPS」については販売管理システム内に一部の管理者初期パスワードが保存されていたため、該当顧客へのパスワード変更案内が行われています。

これは「VPSのサービス提供環境そのものへの不正アクセスが確認された」こととは別です。

8月9日に異常検知、第三報までの経緯

日付	主な動き
2026年8月9日	「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知し調査開始
8月9日～19日	認証情報無効化、不審通信遮断、環境隔離、マルウェア除去などを実施
8月17日	第一報を公表。583アカウントへの不正アクセスを公表
8月19日	販売管理システムへの不正アクセス可能性と会員情報への影響可能性を第二報で公表
8月26日	専用問い合わせ窓口を設置し第二報を更新
8月26日以降	顧客への個別対応、関連システム調査、再発防止策の検討を継続
9月10日	一連の調査結果、最終的な影響範囲、再発防止策を第三報として公表

第一報については、以下の記事で当時判明していた内容を整理しています。

• さくらインターネット、「さくらのレンタルサーバ」で不正アクセス　583アカウントに不正ログイン、個人情報漏洩の恐れ

封じ込めでは認証情報無効化、隔離、サーバー再構築、EDR拡大

さくらインターネットは、不正アクセスに利用された可能性のある認証情報の無効化、不審通信の遮断、接続元制限、環境隔離、不正設定・マルウェアの除去、関連システムの緊急点検、不正アクセスを受けたサーバーの再構築、EDR導入範囲の拡大などを実施しました。

単にマルウェアを削除するだけではなく、不正アクセスを受けたサーバーそのものを再構築しています。

再発防止で全レンタルサーバを再構築へ

実施済みの再発防止策として、管理者権限・アクセス権限の総点検と厳格化、重要システムへの接続経路見直し、通信制限強化、認証方式・認証情報管理方法の見直し、EDR導入範囲拡大、管理用サーバーのセキュリティ設定強化を挙げています。

今後は、管理環境・社内システム・サービス提供環境への多層的アクセス制御、監視・検知機能の拡充、ログ取得範囲・保管期間・分析体制の見直し、「さくらのレンタルサーバ」全サーバーの再構築、定期的な外部監査・第三者評価、セキュリティ教育・インシデント対応訓練、経営層を含むガバナンス強化を進めます。

今回の調査では、過去の不審な活動について時間経過に伴う記録の制約が具体的な確認を難しくしたことも明らかになりました。

ログの取得範囲や保管期間の見直しが再発防止策に含まれている点は、長期間潜伏する攻撃を調査する際の証拠保全という観点でも参考になります。

利用企業が確認したいポイント

さくらインターネットのサービスを業務で利用している企業では、次の項目を確認できます。

• さくらインターネットから個別通知が届いているか
• 「さくらのレンタルサーバ」が951アカウントの対象に含まれているか
• サーバーパスワードやメールパスワードの変更を求められているか
• 「さくらのVPS」で契約時の管理者初期パスワードをまだ利用していないか
• 会員情報が最大1,360,563アカウントの対象範囲に含まれているか
• 対象レンタルサーバ内に個人情報や機密情報を保存していたか
• 不審な管理者アカウントやファイルが作成されていないか
• Webサイトやアプリケーションに意図しない変更がないか
• 心当たりのないログイン、FTP／SSH接続、メール送信がないか
• サーバーログを自社側でも保全できているか
• 同じ認証情報を他サービスで使い回していないか
• さくらインターネットを装うフィッシングメールや電話が届いていないか

ホスティング事業者の管理環境侵害をサプライチェーンリスクとして扱う

第一報では、第三者がさくらインターネットの管理環境を経由して一部顧客環境へアクセスしたことが確認されました。

利用企業から見ると、自社のWebアプリケーションに直接脆弱性がなくても、サービス事業者側の管理環境が侵害されることで顧客環境まで影響が及ぶ可能性を示す事例です。

SaaSやクラウド、ホスティングを利用する企業では、事業者の管理環境と顧客環境の分離、管理者認証、特権アクセス監視、EDR導入、ログ保管期間、侵害時の通知期限、自社側での資格情報ローテーション手順なども委託先評価の対象になります。

第三報で「調査完了」、ただし新事実が判明すれば追加公表

さくらインターネットは9月10日の第三報で、一連の調査が完了したとしています。

最終的な影響範囲として、レンタルサーバ951アカウント、販売管理システム最大1,360,563アカウント、うち30アカウントでハッシュ化された会員IDパスワードの閲覧可能性を示しました。

一方、技術的な侵入経路の詳細は公表しておらず、過去の不審な活動については記録の制約により確認できなかった部分も残っています。

既存の第二報記事と検索意図が重なるため、新規URLを増やすより、以下の記事へ第三報を統合して更新する方がカニバリを避けやすい構成です。

• さくらインターネットの「さくらのレンタルサーバ」への不正アクセス、会員情報136万563アカウントに影響の可能性、30アカウントでハッシュ化パスワードも対象

出典

• 当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報） – さくらインターネット株式会社
• 当社システムへの不正アクセスに関するお知らせ（第二報） – さくらインターネット株式会社
• 当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて – さくらインターネット株式会社