Security Incident Brief / 2026年8月公表

さくらインターネット不正アクセス事案まとめ

「さくらのレンタルサーバ」の一部環境への不正ログインと、契約情報等を管理する販売管理システムへの不正アクセス可能性が確認された事案。ここでは、公表事実と攻撃者のテクニックを分けて整理する。

調査時点: 2026年8月28日 公式発表ベース 原因・侵入経路は調査中

結論

この事案は、単なる利用者サイトの改ざんではなく、事業者側の管理環境または管理系システムを経由して、複数の顧客環境・会員情報へ到達された可能性がある点が重い。

公式に確認されているのは、583アカウントへの不正ログイン、顧客領域への到達、マルウェア設置、販売管理システムへの不正アクセス可能性、最大1,360,563アカウントの会員情報への影響可能性である。一方、具体的な初期侵入経路、悪用された脆弱性名、攻撃者グループ名、外部持ち出しの有無は、調査中または未確認とされている。

583 「さくらのレンタルサーバ」で不正ログイン対象と公表されたアカウント数
1,360,563 販売管理システム上で影響を受けた可能性がある会員情報の総数
30 ハッシュ化されたパスワード情報への影響可能性が確認されたアカウント数

重要: 1,360,563アカウントは「漏えい確定数」ではなく、影響を受けた可能性がある最大範囲として公表されている数字。

何が起きたか

2026年8月9日
さくらインターネットが管理するサーバー環境で異常を検知し、調査を開始。
2026年8月17日
第一報を公表。「さくらのレンタルサーバ」の一部顧客環境へ、第三者が不正アクセスしていたことを発表。583アカウントへの不正ログイン、顧客領域への到達、マルウェア設置、個人データ閲覧または取得の可能性を公表。
2026年8月19日
第二報を公表。契約情報等を管理する販売管理システムへの不正アクセス可能性が新たに判明。影響可能性のある会員情報総数を1,360,563アカウントと発表。
2026年8月26日
第二報およびFAQを更新。本件専用の電話窓口を追記。

影響を受けた可能性のある情報

レンタルサーバ側 利用者識別子、顧客環境に保存された情報。公表例として、メールデータ、Webサイトデータ、ログ情報、その他顧客領域内に保存されたファイル等が挙げられている。
販売管理システム側 会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額等。
パスワード 一部の顧客について、ハッシュ化されたパスワード情報30アカウントへの影響可能性が確認されている。
クレジットカード さくらインターネットはクレジットカード情報を保存していないため、クレジットカード情報の漏えいはないと説明している。
外部持ち出し 2026年8月28日時点の公表情報では、データの外部持ち出しは確認されていない。ただし、実際に閲覧または取得された範囲は調査中。

攻撃者のテクニック

以下は、公表済みの事実から整理できる攻撃行動である。具体的なCVE、侵入口、攻撃者グループは公式に断定されていないため、推定部分は明示している。

管理環境を経由した横展開 公表事実ベース

第一報では、第三者が「当社管理環境を経由して」レンタルサーバの一部顧客環境へ不正アクセスしたと説明されている。これは、個々の顧客サイトを1件ずつ攻撃しただけではなく、管理側の導線を使って複数顧客環境へ到達した可能性を示す。

攻撃者の狙いとしては、管理者権限、運用用認証情報、内部管理ツール、顧客環境へ接続できる中継経路などが考えられる。ただし、どれが実際に使われたかは未公表。

認証情報の悪用 公表事実ベース

さくらインターネットは、不正アクセスに利用された可能性のある認証情報を失効したと説明している。このため、攻撃には何らかの認証情報が関係した可能性が高い。

一般的には、漏えい済みパスワードの再利用、フィッシング、端末感染による認証情報窃取、管理ツールのトークン窃取などが候補になる。ただし、本件での取得経路は公式未公表。

マルウェア設置による永続化 公表事実

一部サーバーへのマルウェア設置が確認されている。侵入後にマルウェアを置く目的は、再侵入用のバックドア、情報収集、コマンド実行、認証情報探索、迷惑メール送信や他サイト攻撃の踏み台化などが典型である。

公式発表では、マルウェアの種類や機能は明らかにされていない。

顧客領域内データへのアクセス 公表事実

攻撃者は、顧客アカウントにアクセス可能な領域へ到達していた。レンタルサーバではWebファイル、メールデータ、ログ、設定ファイル、アプリケーションの接続情報などが同じ顧客領域に残っていることがある。

このため、単にWebページが見られたという話ではなく、環境内に置かれた設定ファイルやメール本文まで影響対象になり得る。

販売管理システムへのアクセス 公表事実ベース

第二報では、契約情報等を管理する販売管理システムへの不正アクセス可能性が新たに確認された。これはレンタルサーバの提供環境とは別システムと説明されている。

重要なのは、レンタルサーバ側の不正アクセス検知より前に発生した事象とされている点である。攻撃の流れとしては、販売管理システムとレンタルサーバ環境の関連性を含めて調査中で、どちらが起点だったかは公表されていない。

検知回避と遅延発覚の可能性 推定

販売管理システムへのアクセス可能性は、レンタルサーバ事案の調査過程で後から判明している。これは、攻撃者が短時間で表面化する破壊行為よりも、認証済みアクセスや管理経路を使って目立ちにくく動いた可能性を示唆する。

ただし、ログの欠落、監視範囲、検知ルールの詳細は未公表であり、断定はできない。

この事案のポイント

利用者が取るべき対応

  1. さくらインターネットからの公式通知とFAQを確認する。
  2. 「さくらのレンタルサーバ」利用者は、予防的にサーバーパスワード、FTP、メールアカウントのパスワードを変更する。
  3. 同じパスワードを他サービスで使い回している場合は、他サービス側も変更する。
  4. サーバー内に身に覚えのないファイル、管理者アカウント、不審なメール送信、Webサイト改ざんがないか確認する。
  5. WordPress、CMS、プラグイン、独自PHP/CGIを最新版へ更新し、不要な管理画面や古いファイルを削除する。
  6. 登録メールアドレスと電話番号を最新化し、2要素認証の方式を確認する。
  7. 不審なメールや電話で、URLクリック、添付ファイル開封、パスワード入力、認証コード共有をしない。

特に注意: 「漏えい確認のためログインしてください」「返金のためカード番号を入力してください」のような誘導は、便乗詐欺の典型パターン。公式サイトをブックマークまたは手入力で開いて確認する。

未公表・未確定の点

したがって、現時点で「どの脆弱性が原因だった」「何件が完全に漏えいした」「外部流出した」と断定するのは早い。

情報源