さくらインターネット、一部顧客のサーバーパスワードを同社側で変更　販売管理システムへの不正アクセスで追加対応

さくらインターネットは2026年8月31日、販売管理システムへの不正アクセスに関連し、「さくらのレンタルサーバ」「さくらのマネージドサーバ」など一部サービスの対象顧客について、同社側でサーバーパスワードを変更したと公表しました。

対象となるのは、2026年8月17日までに申込時に発行された初期サーバーパスワード、または会員メニューから再発行されたサーバーパスワードを現在も利用している一部顧客です。対象者には個別にメールで通知しています。

同社は、これらのサーバーパスワードが販売管理システム内に保存されていたことを確認しており、不正アクセスによって対象パスワード情報へアクセス可能な状態だったとして、安全確保のためパスワードを変更しました。

一方、対象パスワードが実際に第三者へ閲覧・取得されたかどうかや、今回パスワードを変更した顧客数は公表していません。メールパスワードについては同社側で一律変更したのではなく、予防措置として顧客自身による変更を推奨しています。

さくらインターネットのパスワード変更対応のサマリー

• さくらインターネットは2026年8月31日、販売管理システムへの不正アクセスに関連する追加対応を公表しました。
• 一部顧客について、同社側でサーバーパスワードを変更しています。
• 対象者には個別にメールで通知しています。
• 対象は、2026年8月17日までに申込時に発行された初期サーバーパスワードを現在も利用している顧客などです。
• 会員メニューから8月17日までに再発行したサーバーパスワードを利用している顧客も対象です。
• 対象サービスは「さくらのレンタルサーバ」「さくらのマネージドサーバ」「さくらのメールボックス」「さくらのビジネスメール」です。
• 変更前のサーバーパスワードでは、サーバーコントロールパネル、FTP、SSHへログインできません。
• 対象者は、通知メールに記載された変更後パスワードでログインしたうえで、自身で新しいサーバーパスワードへ変更するよう求められています。
• メールパスワードは強制変更ではなく、予防措置として変更が推奨されています。
• 同社は、対象となるサーバーパスワード情報が販売管理システム内に保存され、不正アクセス時にアクセス可能な状態だったことを確認しています。
• パスワード情報が実際に閲覧・取得されたかどうかは調査中です。
• 今回サーバーパスワードを変更した顧客数は公表されていません。
• 8月19日の第二報では、販売管理システム上の会員情報最大1,360,563アカウントが影響対象となる可能性があると公表していますが、今回のパスワード変更対象数と同じではありません。
• 1,360,563アカウントには、8月17日に公表した「さくらのレンタルサーバ」583アカウントも含まれており、両件数を合算することはできません。
• 8月31日時点でもデータの外部持ち出しは確認されておらず、調査は継続しています。

項目	内容
公表日	2026年8月31日
対象組織	さくらインターネット株式会社
関連インシデント	販売管理システムおよび「さくらのレンタルサーバ」一部環境への不正アクセス
今回の対応	一部顧客のサーバーパスワードを同社側で変更
対象サービス	さくらのレンタルサーバ、さくらのマネージドサーバ、さくらのメールボックス、さくらのビジネスメール
対象条件	2026年8月17日までに発行・再発行された一部サーバーパスワードを現在も利用している顧客
対象件数	公表されていません
変更前パスワードの影響	コントロールパネル、FTP、SSHで利用不可
メールパスワード	顧客自身による変更を推奨
パスワード情報へのアクセス	アクセス可能な状態だったことを確認
実際の閲覧・取得	調査中
会員情報の影響候補	最大1,360,563アカウント
データ外部持ち出し	8月31日時点で確認されていません
次回続報	2026年9月中旬を目途に予定

一部顧客のサーバーパスワードをさくらインターネット側で変更

さくらインターネットは8月31日、「サーバーパスワードおよびメールパスワード変更のお願い」を公開しました。

同社は、販売管理システムへの不正アクセスに関連して、一部の顧客が利用するサーバーパスワードを同社側で変更しています。

対象者には個別にメールで通知しており、通知メールに記載された変更後のパスワードでログインできるとしています。

ただし、同社が設定した変更後パスワードをそのまま使い続けるのではなく、ログイン後に顧客自身で新たなサーバーパスワードへ変更するよう求めています。

今回の対応は、単なる「変更推奨」ではありません。

対象アカウントについては既存のサーバーパスワードが無効化され、さくらインターネット側で新しいパスワードへ変更されています。

対象は8月17日までに発行・再発行された一部パスワード

対象となるのは、対象サービスを利用し、次のいずれかに該当する顧客です。

• 2026年8月17日までに、申込時に発行された初期サーバーパスワードを利用している
• 2026年8月17日までに、会員メニューから再発行したサーバーパスワードを利用している

一方、8月18日以降に申込時に発行された初期サーバーパスワード、8月18日以降に会員メニューから再発行されたパスワード、サーバーコントロールパネル上で顧客自身が変更したパスワード、ビジネスプラン以上の追加ユーザーパスワードは対象外です。

対象サービスは次の4つです。

• さくらのレンタルサーバ
• さくらのマネージドサーバ
• さくらのメールボックス
• さくらのビジネスメール

「さくらのレンタルサーバ」だけに限定した措置ではない点に注意が必要です。

初期サーバーパスワードが販売管理システム内に保存

さくらインターネットは今回のFAQで、対象顧客に通知した理由を具体的に説明しています。

同社によると、契約時に発行された初期サーバーパスワード、または会員メニューから再発行されたサーバーパスワードが同社システム内に保存されていました。

その情報を保存していた販売管理システムに対する不正アクセスを確認しており、対象パスワード情報へ第三者がアクセス可能な状態だったとしています。

そのため、現在も対象の初期パスワードを使用している顧客について、安全確保のため同社側でパスワードを変更しました。

ここで重要なのは、「アクセス可能な状態だった」ことと「実際に閲覧・取得された」ことを区別する必要がある点です。

さくらインターネットは、対象パスワード情報への影響の可能性があるとして対応していますが、実際の閲覧・取得については調査を継続しています。

8月19日に公表した「ハッシュ化パスワード30件」とは別の論点

今回の発表は、8月19日の第二報で明らかになった「30アカウントのハッシュ化されたパスワード情報」と混同しないよう注意が必要です。

第二報では、販売管理システムに保存された会員情報のうち、30アカウントについてハッシュ化されたパスワード情報へのアクセス可能性が確認されたと公表していました。

一方、8月31日の追加対応では、契約時に発行された初期サーバーパスワードや、会員メニューから再発行されたサーバーパスワードが販売管理システム内に保存されていたことを明らかにしています。

さくらインターネットは今回サーバーパスワードを変更した顧客数を公表していません。

したがって、「30アカウントのパスワードを強制変更した」「最大136万563アカウントのサーバーパスワードを変更した」といった表現はいずれも確認できる事実ではありません。

変更前パスワードではコントロールパネル・FTP・SSHへ接続不可

サーバーパスワードが変更された対象者は、変更前のパスワードでは次の機能へログインできません。

• サーバーコントロールパネル
• FTP接続
• SSH接続

対象者は、さくらインターネットから送信されたメールに記載された新しいサーバーパスワードでログインし、その後、自分で別のパスワードへ変更する必要があります。

FTPクライアントやSSHクライアントに旧パスワードを保存している場合は、設定側のパスワードも更新する必要があります。

メールが見当たらない場合や、新しいパスワードでログインできない場合は、会員メニューからサーバーパスワードを再発行できます。

メールパスワードは強制変更ではなく予防措置

メールパスワードについては、今回さくらインターネット側で一律に変更したわけではありません。

同社は、メールを利用している顧客に対し、予防措置としてメールパスワードを変更することを推奨しています。

メールパスワードを変更した場合、Outlookやスマートフォンなどに保存されている旧パスワードでは認証できなくなるため、メールソフト側の設定も更新する必要があります。

サーバーパスワードとメールパスワードは別の認証情報であり、今回の公表では対応内容も異なります。

最大136万563アカウントは「漏えい件数」ではない

8月19日の第二報では、販売管理システムに保存されていた会員情報について、影響を受けた可能性のある対象が最大1,360,563アカウントに上ることが明らかになりました。

対象となる可能性がある情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などが含まれます。

ただし、1,360,563アカウントは情報漏えいが確認された件数ではありません。

同社は8月31日時点でも、全対象情報が第三者に閲覧・取得された事実は確認しておらず、データの外部持ち出しも確認されていないとしています。

また、1,360,563アカウントには、8月17日の第一報で不正ログインが確認された「さくらのレンタルサーバ」583アカウントも含まれます。

セキュリティ対策Labでは、第二報について「さくらインターネットの「さくらのレンタルサーバ」への不正アクセス、会員情報136万563アカウントに影響の可能性、30アカウントでハッシュ化パスワードも対象」で詳しく整理しています。

サーバー内の不審ファイルや設定変更も確認を推奨

さくらインターネットは、対象顧客に対してパスワード変更だけでなく、必要に応じてサーバー内の状態も確認するよう案内しています。

具体的には、心当たりのないファイルが作成されていないか、Webサイトやアプリケーションに意図しない変更がないか、FTPアカウントやメールアカウントなどサーバーパスワードとは別に設定しているパスワードも変更すべきかを確認するよう求めています。

8月17日の第一報では、一部顧客環境への不正ログインが583アカウントで確認され、一部サーバーにマルウェアが設置されていたことも公表されています。

今回のパスワード変更対象と、583アカウントの不正ログイン対象がどの程度重複しているかは公表されていません。

次回続報は9月中旬を予定

さくらインターネットは、影響範囲や実際に閲覧・取得された情報について引き続き調査しています。

8月31日時点のFAQでは、次回のお知らせを2026年9月中旬を目途に予定しているとしています。

ただし、新たに公表すべき事実が判明した場合は、それ以前でも速やかに公表するとしています。

今後は、今回変更されたサーバーパスワードの対象件数、販売管理システムへの侵入経路、実際に閲覧・取得された情報、初期サーバーパスワードの保存方法や保管期間、583アカウントへの不正ログインとの関連などが確認ポイントになります。

情報システム部門への示唆

今回の追加対応では、会員情報だけでなく、サービス利用に直結するサーバーパスワードが販売管理システム内に保存されていたことが明らかになりました。

第一に、管理系システムへ保存する認証情報の棚卸しが必要です。

契約管理、CRM、販売管理、サポートシステムなどに、初期パスワードや再発行パスワードが残り続けていないか確認します。サービス提供に不要になった認証情報は保持しない設計が重要です。

第二に、パスワード変更時の影響範囲を事前に把握する必要があります。

今回のサーバーパスワードは、コントロールパネルだけでなくFTPやSSHにも利用されます。認証情報を緊急変更すると、自動デプロイ、バックアップ、運用ツールなどが停止する可能性があるため、どのシステムが同じ資格情報を利用しているかを把握しておく必要があります。

第三に、パスワード変更後も侵害痕跡を確認します。

認証情報を変更しても、既にマルウェアや不審ファイル、追加アカウント、改ざんされたWebアプリケーションが残っていれば、影響を除去できません。パスワードリセットとフォレンジック確認を別々の対応として実施する必要があります。

第四に、認証情報の使い回しを確認します。

同じパスワードを他サービスでも利用していた場合、別システムへのパスワードリスト攻撃などにつながる可能性があります。対象顧客や社内利用者は、他サービスで同一または類似パスワードを使っていないか確認する必要があります。

第五に、パスワード変更通知を悪用したフィッシングに注意します。

さくらインターネットは、同社から電話でパスワードやクレジットカード情報を尋ねることはないと案内しています。インシデント公表後は「パスワード変更が必要」などと装ったフィッシングが発生しやすいため、通知メールのリンクだけに依存せず、公式サイトや会員メニューから手続きを行う運用が安全です。

出典

• 【重要】サーバーパスワードおよびメールパスワード変更のお願い – さくらインターネット
• 当社システムへの不正アクセスに関するご案内 – さくらインターネット
• 当社システムへの不正アクセスに関するお知らせ（第二報） – さくらインターネット
• 当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて – さくらインターネット
• サーバーパスワードの変更・再発行をしたい – さくらのサポート情報
• メールパスワードを変更したい – さくらのサポート情報
• さくらインターネットの「さくらのレンタルサーバ」への不正アクセス、会員情報136万563アカウントに影響の可能性、30アカウントでハッシュ化パスワードも対象 – セキュリティ対策Lab