さくらインターネット、レンタルサーバと販売管理システムに不正アクセス — 会員情報1,360,563アカウントが対象の可能性

項目	内容
発生日	2026年8月9日にサーバー環境の異常を検知。販売管理システムへの不正アクセスは「8月9日以前に発生」とされ、開始時期は公表されていない
公表日	2026年8月17日（第一報）／2026年8月19日（第二報）
対象組織・業界	さくらインターネット株式会社（データセンター・ホスティングサービス／情報通信・IT）
影響件数	販売管理システム: 会員情報 1,360,563アカウント（うちハッシュ化されたパスワード情報 30アカウント）。レンタルサーバ: 顧客環境 583アカウント（前者に含まれる）。クレジットカード情報は保持しておらず対象外
攻撃手法	第三者による不正アクセス。レンタルサーバ環境にマルウェアの設置を確認。侵入経路および2系統の関連性は調査中
情報源	さくらインターネット 第一報（2026年8月17日）、第二報（2026年8月19日）、FAQ、ScanNetSecurity（2026年8月20日）

概要

さくらインターネット株式会社は2026年8月17日、同社が提供する「さくらのレンタルサーバ」の一部環境に対して第三者による不正アクセスがあったと公表しました。2026年8月9日にサーバー環境の異常を検知して調査を開始し、マルウェアが設置されていたことを確認しています。不正ログインの対象となったのは583アカウントで、対象になった情報は利用者識別子と、顧客領域内に保存された情報です。

2日後の8月19日、同社は第二報を公表します。新たに判明したのは、契約情報を扱う販売管理システムへの不正アクセスです。対象となる可能性のある会員情報は1,360,563アカウントにのぼり、レンタルサーバの583アカウントもこれに含まれます。

対象となった項目は、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額等です。加えて30アカウントについては、ハッシュ化されたパスワード情報も対象に含まれます。クレジットカード情報は保持していないため対象外としています。

同社は「現時点において、データの外部持出しは確認されておりません」としたうえで、レンタルサーバへの不正アクセスとの関連性を含めて調査中と述べています。実施した対応は、不正アクセスに悪用された認証情報の失効、マルウェアの除去、関連システムの監視強化、外部専門機関によるフォレンジック調査、関係機関への報告です。VPS・クラウド・専用サーバへの影響は確認されていません。

経緯

• 侵入の開始時期: 公表されていない。販売管理システムへのアクセスは「8月9日以前に発生」とされる
• 2026年8月9日: 管理するサーバー環境において異常を検知し、調査を開始
• 2026年8月17日: 第一報を公表。「さくらのレンタルサーバ」の583アカウントが不正ログインの対象、マルウェアの設置を確認。影響範囲は継続調査中とする
• 2026年8月19日: 第二報を公表。販売管理システムへの不正アクセスが新たに判明し、対象となる可能性のある会員情報を1,360,563アカウントと発表
• 以降: 2系統の関連性、原因、影響範囲について調査を継続。再発防止策の策定を進めるとしている

原因

判明している事実: レンタルサーバ環境にマルウェアが設置されていたこと、および対応として「不正アクセスに悪用された認証情報の失効」を実施したことです。侵入経路、侵入の開始時期、レンタルサーバと販売管理システムの2系統にまたがった経緯は、いずれも公表されていません。両者の関連性についても同社は調査中としています。

考えられる原因（推測）

対応の一覧に認証情報の失効が入っていることから、正規の認証情報が攻撃者の手に渡り、それを使ったアクセスが行われたことは読み取れます。ただし、その認証情報がどこで取得されたものかは示されていません。

日付の書き方にも差があります。レンタルサーバ側は8月9日の「異常を検知」と特定されている一方、販売管理システム側は「8月9日以前に発生」という幅のある表現です。販売管理システムへのアクセスがいつ始まったかは、まだ絞り込めていないと読めます。第一報から第二報までの2日間で対象が583アカウントから136万アカウントへ動いたのも、調査が同社の設備の外側から内側へ進んだ結果と推察されます。

なお、レンタルサーバの顧客環境と、契約情報を扱う販売管理システムは、用途も利用者もまったく違う系統です。同じ攻撃者が両方に到達したのか、別の事象が同時期に見つかったのかは、公表内容からは判断できません。

対策

組織が学ぶべきこと

1. 影響範囲は件数ではなく、そこに何が置かれていたかで測る

販売管理システムの1,360,563アカウントは契約情報です。一方、レンタルサーバの583アカウントで対象になったのは、顧客領域内に保存された情報——契約企業のメール、ウェブサイト、ログデータです。件数は2,300分の1ですが、中身は他社の業務データそのものです。数字の大小だけで深刻さを並べると、後者の重さを取りこぼします。

2. 利用者が今すぐ取れる行動を、個別通知より先に出す

同社はFAQで、サーバーパスワード（FTP）とメールアカウントのパスワード変更を推奨し、不審なメールのURLにアクセスしないよう呼びかけています。対象者の確定と個別通知は調査結果を待つため、どうしても時間がかかります。その間、利用者を待たせないための案内を先に出せる形にしておく必要があります。

3. 「外部持ち出しは確認されていない」を裏づける記録を持つ

同社は現時点でデータの外部持ち出しを確認していないと述べています。アクセスされた可能性と、持ち出された事実は別の話であり、後者を否定するには通信の記録が必要です。侵害の直後にこの一文を書けるかどうかは、平常時にどこまで記録を残していたかによって変わってきます。

ヤグラの視点 — 攻撃面の拡張：自社のデータが、自社の外で漏れる

レンタルサーバの583アカウントで対象になったのは、顧客領域内に保存された情報です。中身はメール、ウェブサイト、ログデータ。これはさくらインターネットの情報ではなく、契約した企業の業務データです。侵害されたのは事業者ですが、顧客や取引先に説明するのはその企業自身になります。

守るべき範囲は、自社で管理している機器だけではありません。レンタルサーバ、SaaS、決済代行、外部の申し込みフォーム。どこに何を預けているかの一覧がなければ、事業者の公表を読んでも自社が当事者かどうか判断できません。しかも公表は「583アカウントが対象」という形で来ます。その583に自社が入るかどうかは、個別通知が届くまで分かりません。

通知を待つあいだにできることはあります。ひとつは、預け先が侵害されたと知った日に確認する項目を、あらかじめ手順にしておくこと。対象になりうるアカウント、そのログイン履歴、転送設定とAPIキー、入れ替える認証情報の範囲——この4つです。もうひとつは、預け先ごとに分かれているログを、平常時から1か所に集めておくこと。公表された期間まで遡って一度に調べられるので、自社に何が起きたのかを個別通知より早くつかめます（→ ヤグラ AI SOC）。

今後の対応

• 侵入経路と、侵入の開始時期
• レンタルサーバへの不正アクセスと販売管理システムへの不正アクセスの関連性
• データの外部持ち出しの有無
• 対象アカウントの確定と、対象者への個別通知
• 再発防止策の公表内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-21	2026年8月17日の第一報、8月19日の第二報、同社FAQおよび報道をもとに記事を公開