さくらインターネット株式会社は2026年9月10日、8月から公表を続けてきた自社システムへの不正アクセスについて、外部のサイバーセキュリティ専門機関と連携した一連の調査が完了したとして第三報を公表した。契約情報などを管理する販売管理システムへの不正アクセスは2023年4月から2026年3月までの間に発生していたことが判明し、保存されていた会員情報1,360,563アカウントについて第三者による閲覧または取得の可能性があるとしている。データが外部へ持ち出されたことを裏付ける明確な事実は確認されていないという。
発端はメンテナンス用サーバーの異常検知
事案の発覚は2026年8月9日である。レンタルサーバーサービス「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知し、同社が事実確認と影響範囲の調査を開始した。
同社は8月17日の第一報で、第三者が自社の管理環境を経由して一部の顧客環境へ不正アクセスしていたこと、一部のサーバーにマルウェアが設置されていたこと、そして攻撃者が顧客情報および通信の秘密に該当する情報へアクセス可能な状態であったことを公表していた。この時点で閲覧または取得の可能性がある対象は583アカウントとされていた。
第三報では、その後の追加調査で368アカウントについても同様の可能性が確認され、対象が合計951アカウントになったことが明らかにされた。ただし追加の368アカウントについては、発生時期や経路を含め、当初の583アカウントへの不正アクセスと関連することを示す明確な根拠は確認されなかったとしている。関連性は確認できなかったものの影響の可能性を完全に否定できないため、対象に含めたという説明である。
契約情報を管理する別システムで136万アカウント
規模の面で際立つのは、レンタルサーバー本体ではなく、その調査の過程で見つかった販売管理システムへの不正アクセスである。
販売管理システムは各サービスの契約情報などを管理するシステムで、サービスを実際に提供する環境とは別に置かれている。調査の結果、ここに保存されていた会員情報などが第三者に閲覧または取得された可能性があることが確認され、対象となる可能性のある会員情報は1,360,563アカウントに及んだ。このうち30アカウントについては、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があるとしている。ハッシュ化されたパスワード情報とは、同社の説明によれば、元のパスワードをそのまま保存したものではなく、推測や復元が困難となるように加工されたデータである。
この販売管理システムへの不正アクセスが発生していた期間は、2023年4月から2026年3月までとされた。8月にレンタルサーバー側で異常が検知されるまで、約3年にわたって表面化しなかったことになる。なお同社は、レンタルサーバーへの不正アクセスと販売管理システムへの不正アクセスの関連性についても調査したが、両者の関連性を示す明確な根拠は確認されなかったとしている。
クレジットカード情報については、同社が保持しておらず入力画面の改ざんも確認されていないため、カード番号が漏えいする恐れはないとしている。
ハッシュ化されていない初期パスワードが保存されていた
今回の公表で技術的に見過ごせないのは、パスワードの保存状態に関する記述である。
販売管理システムには、「さくらのレンタルサーバ」の一部における初期サーバーパスワードと、仮想専用サーバーサービス「さくらのVPS」の一部における管理者初期パスワードが保存されていた。同社はこれらについて、前述の30アカウントのハッシュ化されたパスワード情報とは異なり、ハッシュ化されていないものだと明記している。
このため同社は、影響を受けた可能性のあるサーバーパスワードが現在も使われていることが確認できた契約について、自社側でサーバーパスワードを変更する措置を取った。さくらのVPSの契約者に対しても、契約時に発行された初期パスワードをそのまま使っている場合は変更するよう個別に案内している。初期パスワードから変更済みの場合、現在のパスワードは同社が保存していた情報とは異なるため、本件による不正ログインのリスクはないという。
初期パスワードを発行して顧客に渡し、変更を促す運用はホスティング事業では一般的だが、その初期値が契約管理側のシステムに残り続けていた点が、今回は影響の想定範囲を押し広げる要因になった。
全サーバー再構築とEDR拡大を含む再発防止策
調査の過程では、「さくらのレンタルサーバ」の環境に2025年7月以降のものと考えられる不審な活動の痕跡も確認された。同社と外部専門機関はこれについても調査し、継続的な侵害を示すものではなく、情報の不正利用や二次被害もないことを確認したとしている。一方で、時間の経過に伴う記録の制約などにより、本件との同一性や具体的な侵入経路、顧客情報への影響を客観的に確認するには至らなかったと説明している。
同社は封じ込め対応として、不正アクセスに利用された可能性のある認証情報の無効化、不審な通信の遮断、対象環境の隔離、マルウェアの調査・除去、不正アクセスを受けたサーバーの再構築、そしてEDR（エンドポイントでの不審な挙動を検知し調査に使う仕組み）の導入範囲拡大による監視強化などを実施済みとしている。
再発防止策については、実施済みのものとして管理者権限とアクセス権限の総点検・厳格化、重要システムへの接続経路の見直しと通信制限の強化、認証方式および認証情報の管理方法の見直しを挙げた。今後の施策としては、管理環境・社内システム・サービス提供環境に対する多層的なアクセス制御の強化、監視対象と検知機能の拡充、セキュリティログの取得範囲・保管期間・分析体制の見直し、「さくらのレンタルサーバ」の全サーバー再構築によるクリーンナップ、定期的な外部監査と第三者評価、継続的なセキュリティ教育とインシデント対応訓練、経営層を含む情報セキュリティガバナンスおよび報告体制の強化を掲げている。
同社は、現時点で二次被害は確認されていないとしつつ、本件に便乗したフィッシングメールや不審な電話、SMS、なりすましに注意するよう呼びかけている。
3年間の空白が示すもの
この事案から読み取るべきなのは、漏えいの件数よりも「気づけなかった期間」の長さだろう。
販売管理システムへの不正アクセスは、2023年4月から2026年3月までの間に発生していたとされる。それが表に出たのは、別のシステムであるレンタルサーバー側で異常が検知され、その調査を広げた結果である。裏を返せば、販売管理システムそのものの監視では検知に至らなかったということになる。同社が今後の施策としてログの取得範囲・保管期間・分析体制の見直しを挙げ、第三報の中で「時間の経過に伴う記録の制約」に触れているのも、この点と直結している。
ここには2つの示唆がある。1つは、顧客データを実際に処理するサービス基盤ではなく、その手前にある契約管理や顧客管理といった事務系のシステムが、件数の面ではむしろ大きな影響範囲を抱えうるということ。サービス提供環境と分離しておくことは設計としては妥当だが、分離されているからこそ監視の優先度が下がりやすい。
もう1つは、ログの保管期間が調査の解像度をあらかじめ決めてしまうということである。侵入が数年前に始まっていた場合、その時点の記録が残っていなければ、侵入経路も影響範囲も客観的には確認できなかったとしか書けなくなる。今回の公表で、対象件数に、本件との関連性が確認された事項だけでなく、関連性を客観的に確認するには至らなかったが顧客への影響の可能性を否定できない事項まで含められているのは、そのためだ。事故が起きたあとに説明責任を果たせるかどうかは、平時にどれだけログを取り、どれだけ長く残しているかで先に決まっている。
侵入を完全に防ぐ前提に立つのではなく、侵入されたあとにどれだけ早く気づき、後からどれだけ正確に振り返れるか。同社がEDRの導入範囲拡大と監視・検知機能の拡充を再発防止策の柱に据えたのは、その順序を示している。
同じ手口に、自社は備えられていますか？