さくらインターネットは2026年8月19日、レンタルサーバーサービスへの不正アクセスに関する第二報を公表した。8月17日の第一報では「さくらのレンタルサーバ」の583アカウントへの不正ログインが報告されていたが、その後の調査で、顧客の契約情報などを管理する別のシステムにも不正アクセスの可能性が判明。影響を受けた可能性のある会員情報は1,360,563アカウントに上る。調査対象として示される数字が、2日で3桁変わった格好だ。
「レンタルサーバの583アカウント」だった第一報
経緯を整理しておく。同社が異常を検知したのは2026年8月9日。自社が管理するサーバー環境での異常をきっかけに調査を始めたところ、第三者が同社の管理環境を経由して「さくらのレンタルサーバ」の一部顧客環境へ不正アクセスを行っていたことが分かった。
8月17日に公表された第一報では、不正ログインの対象が583アカウントであること、攻撃者が顧客のアカウントにアクセス可能な領域へ到達していたこと、一部サーバーにマルウェアが設置されていたこと、そして顧客情報および通信の秘密に該当する情報へアクセス可能な状態だったことが明らかにされた。漏えいの可能性がある情報としては、顧客領域内に保存された情報と利用者識別子が挙げられていた。同社は認証情報の無効化やアクセス遮断といった封じ込め対応を実施済みとしていた。
この時点では、影響は「レンタルサーバの一部利用者」にとどまるように見えていた。
契約情報を管理する別システムにも侵入の可能性
第二報で新たに示されたのは、封じ込め後の調査の過程で、同社サービスの契約情報などを管理するシステム（販売管理システム）への不正アクセスの可能性を確認した、という事実である。
注目すべきは時系列だ。同社によれば、この販売管理システムへのアクセスは、レンタルサーバへの不正アクセスを検知した8月9日よりも前に発生した事象だという。両者の関連性については現在も調査中とされており、どちらが起点だったのか、そもそも同一の攻撃なのかは、現時点では明らかにされていない。
影響を受けた可能性のある会員情報は1,360,563アカウント。この数には、第一報で公表済みの583アカウント分も含まれる。同社は「現時点で影響が確定した数ではない」と明示しており、あくまで調査対象の上限として示された数字である点には注意が必要だ。
対象となる情報は、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などの契約情報。加えて、30アカウントについては、ハッシュ化されたパスワード情報へのアクセスの可能性も確認されている。ハッシュ化とは、元のパスワードへの復元が困難な形に変換した状態を指す。
なお同社は、現時点においてデータの外部持出しは確認されていないとしている。また、クレジットカード情報は保存していないという。販売管理システムは契約情報を管理するシステムであり、「さくらのクラウド」をはじめとする各サービスの提供環境とは別のシステムだと説明されている。第一報の時点では、さくらのVPS、さくらのクラウド、さくらの専用サーバ PHY、高火力 PHYへの影響は確認されていないとされていた。
現在の対応と、利用者側で確認すべきこと
同社が実施している対応として挙げられているのは、不正アクセスに利用された認証情報の失効、マルウェアの除去、関連システムの監視強化、販売管理システムを含む影響範囲の確認、外部専門機関によるフォレンジック調査（原因究明や証拠保全のためのデジタル解析調査）、関係機関への報告および情報共有、対象顧客への個別通知である。第一報の段階で、総務省や個人情報保護委員会などへの報告も進めているとしていた。
利用者側については、第一報で次の3点の確認が呼びかけられている。身に覚えのないファイルや管理者アカウントが追加されていないか。ウェブサイトやアプリケーションに不審な変更が行われていないか。心当たりのないログインやメール送信などが発生していないか。
あわせて同社は、本件に便乗したフィッシングメールや不審な連絡への注意も促しており、同社からパスワードや認証情報、クレジットカード情報をメールや電話で尋ねることはないとしている。攻撃者が「さくらインターネットからのお知らせ」を装う可能性は十分にあり、この点は影響対象かどうかにかかわらず全利用者が意識しておきたいところだ。
第一報の数字を「最終値」と読まない
このインシデントが示しているのは、公表初期の数字がいかに動きやすいか、ということである。8月17日の583アカウントと8月19日の136万アカウントは、どちらも同社が誠実に「その時点で判明していること」を出した結果だ。調査が進めば範囲は広がりうるし、逆に確定値は下振れすることもある。
事業者側にとって難しいのは、この不確実性をどう伝えるかだ。数字を出さなければ不信を招き、出せば独り歩きする。同社が「現時点で影響が確定した数ではない」と繰り返し断っているのは、そのバランスを取ろうとした結果だろう。受け取る側も、続報のたびに前提が更新されるものとして読む必要がある。
利用者側にとっての教訓は、もう少し実務的だ。ホスティング事業者を使っている以上、自社の管理下にない場所で自社の顧客データが動いている。今回のように、契約管理という「サービス提供環境の外側」が不正アクセスの対象になることもある。委託先で事故が起きたとき、自社の顧客に説明する責任は自社に返ってくる。利用しているクラウド・ホスティング事業者について、どの情報をどこまで預けているのかを棚卸ししておくこと。そして、事故発生時に誰がどのルートで通知を受け、誰が判断するのかを事前に決めておくこと。この二つがあるかどうかで、次に同じような続報が出たときの動き出しの速さがまったく変わってくる。
さくらインターネットは、新たに公表すべき事実が判明した場合は速やかに知らせるとしている。第三報の有無も含め、続報を追う必要がある。
同じ手口に、自社は備えられていますか？