CyberSecurityAction

日本関連インシデント / 大量情報流出

さくらインターネット不正アクセス、136万件超の会員情報が閲覧された可能性

さくらインターネットが2026年9月10日に最終調査結果を公表。販売管理システムへの不正アクセスは2023年4月〜2026年3月の約3年にわたり継続、136万件超の会員情報と平文初期パスワードが流出した可能性がある。

喜村 圭佑（編集責任者）更新 約7分

SHARE

XB!in
さくらインターネット不正アクセス、136万件超の会員情報が閲覧された可能性

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）7.5
EXPLOIT（悪用の容易さ）6.5

“136万件超・約3年間の長期侵害、平文初期PWも対象”

01 · Overview

ニュースの概要

さくらインターネットは2026年9月10日、同社のレンタルサーバーサービスおよび販売管理システムへの不正アクセスに関する最終調査結果を公表しました。販売管理システムへの侵入は2023年4月から2026年3月の約3年間にわたって発生していたことが新たに判明し、最大136万563アカウント分の会員情報が第三者に閲覧・取得された可能性があります。

今回の調査で新たに明らかになった重大な点は、販売管理システムに「さくらのレンタルサーバ」の一部の初期サーバーパスワードと「さくらのVPS」の一部の管理者初期パスワードが、ハッシュ化（暗号化に近い変換処理）されていない平文のまま保存されていたことです。これらが第三者に取得された可能性があり、現在も初期パスワードのまま利用しているユーザーは不正ログインのリスクがあります。

「さくらのレンタルサーバ」に対する不正アクセスについては、8月17日公表時点の583アカウントから368アカウントが追加され、合計951アカウントに拡大しました。また、レンタルサーバー環境において2025年7月以降のものと見られる不審な活動の痕跡も新たに確認されましたが、継続的な侵害を示すものではないとされています。

データが外部に持ち出された確証は得られておらず、現時点でダークウェブへの掲載や二次被害は確認されていません。ただし、同社は今後も監視を継続するとしており、利用者に対してはフィッシングメールや不審な電話への注意を呼びかけています。

流出可能性アカウント数
136万563件
侵害期間（販管システム）
2023年4月〜2026年3月
レンタルサーバー影響数
951アカウント
平文PW漏えい対象
レンタルサーバ・VPS一部
ハッシュ化PW閲覧の疑い
30アカウント
クレカ情報漏えい
なし（非保持）

さくらインターネット公式プレスリリース（第三報）およびITmedia NEWSの報道をもとに編集部が作成

02 · Analysis

詳細な原因解説

最終調査では、「さくらのレンタルサーバ」のメンテナンス用サーバーへの不正アクセスと、販売管理システムへの不正アクセスという2つの事象が確認されましたが、両者の関連性を示す明確な証拠は見つかっていません。それぞれ異なる経路・手法によって侵害が行われた可能性があります。

販売管理システムへの侵入が約3年間にわたって検知されなかった背景には、ログの取得範囲や保管期間の不足、監視体制の不備があったと推測されます。同社自身も再発防止策として「セキュリティに関するログの取得範囲・保管期間・分析体制の見直し」を挙げており、長期間の侵害を許した一因として認識しています。

初期パスワードをハッシュ化せず平文のまま販売管理システムに保存していた点も、今回の被害を深刻にした要因のひとつです。仮にシステムへのアクセスログが不十分であっても、パスワードが適切に保護されていれば、取得されたとしても悪用されるリスクを低減できました。

また、2025年7月以降の不審な活動痕跡について、時間の経過によるログの欠落から侵入経路や影響範囲を客観的に特定できなかったことも明らかになりました。これは、長期にわたるログ保管と定期的な異常検知の重要性を示しています。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

初期パスワードの平文保存という設計の失敗

「代替」視点：なぜ初期パスワードをハッシュ化する設計に替えられなかったのか？

初期パスワードをハッシュ化せず平文で販売管理システムに保存していたことは、今回の被害を大きくした設計上の根本的な問題です。ハッシュ化（元データを一方向変換する処理）を行っていれば、システムに侵入されても実際のパスワードを直接悪用することは困難になります。初期パスワードはサービス提供時に一時的に扱うデータですが、その保管方法についての設計レビューが不十分だったと考えられます。「初期パスワードは後で変えてもらうもの」という運用前提が、セキュリティ設計上の盲点となった可能性があります。

約3年間の侵害を見逃した監視体制

「排除」視点：検知できなかった監視の空白をどう埋めるか？

販売管理システムへの不正アクセスが2023年4月から2026年3月まで約3年間継続していたにもかかわらず、検知が遅れた理由として、ログの取得範囲や保管期間の不足、異常検知ルールの未整備が考えられます。同社も再発防止策としてEDR（端末検知・対応ツール）の導入拡大やログ体制の見直しを挙げており、これらの「空白」を埋める取り組みが急務です。長期間の侵害を見逃さないためには、定常的なベースライン（正常状態）との比較検知が有効です。

異なる2つの侵害が同時並行した複雑性

レンタルサーバーと販売管理システム、2つの侵害は組織としてどんな構造的問題を示しているか？

今回は「さくらのレンタルサーバ」へのマルウェア設置と、販売管理システムへの長期不正アクセスという、独立した2つの侵害が同一組織内で発生しました。調査でも両者の関連性は確認されていません。これは、サービス提供環境と内部管理システムがそれぞれ別の脆弱性や管理上の弱点を抱えていたことを示しており、システム全体を俯瞰したセキュリティ統制（どこに何がつながっているか、どの情報がどこに保存されているか）の欠如という組織的な課題を浮かび上がらせています。

初期パスワード運用が生む連鎖リスク

「初期パスワードをユーザーが変えてくれる」という前提に依存した設計は、どんな連鎖リスクを生んでいたか？

初期パスワードが平文で管理システムに保存され、かつユーザーが変更しなければそのまま有効であるという設計は、管理側の漏えいリスクとユーザー側の行動リスクが連鎖する構造を生んでいます。ユーザーが初期パスワードを変更しないまま長期利用していた場合、管理システムの侵害が即座にサーバーへの不正アクセスに直結します。サービス設計において「ユーザーが適切に行動する」という前提は脆弱であり、強制的なパスワード変更フローや初期パスワードの使い捨て設計（ワンタイム化）が必要です。

クラウド・ホスティングサービス利用者が今すぐできる防御

レンタルサーバーやVPSなどのホスティングサービスでは、契約時に発行される初期パスワードをそのまま使い続けているケースが少なくありません。今回の事件はその危険性を改めて示しました。サービスを申し込んだ際に必ずパスワードを変更する「ファーストステップ」を徹底してください。

また、同じパスワードを複数のサービスで使い回すと、ひとつのサービスで情報が漏えいした際に他のサービスも芋づる式に不正アクセスされる「パスワードスタッフィング攻撃」のリスクが高まります。パスワードマネージャーを導入してサービスごとに異なる長いパスワードを使う習慣を作りましょう。

企業・組織としては、自社が利用しているSaaS・ホスティングサービスの棚卸しを行い、管理者アカウントに多要素認証が設定されているかを定期的に確認することが重要です。クラウドやホスティングサービスの管理画面は、侵害された場合の影響が大きいため、特に優先して保護してください。

06 · AI Prompt

AI対策プロンプト

あなたは企業のセキュリティ担当者です。以下の情報をもとに、経営層向けのインシデント報告書（要約版）を日本語で作成してください。 ■ インシデント概要 - 被害組織: [組織名] - サービス種別: [サービス種別]（例: レンタルサーバー、クラウドなど） - 影響を受けた可能性のある件数: [影響件数] - 侵害が疑われる期間: [侵害期間] ■ 報告書に含める内容 1. インシデントの概要（2〜3文） 2. 自社への影響リスク（当該サービスを利用しているか、初期パスワードを変更しているかなど） 3. 直ちに確認すべき事項（箇条書き） 4. 経営層へのメッセージ（サプライヤーリスク管理の観点から） ■ トーン - 煽らず、冷静かつ簡潔に - 技術用語は平易な言葉で補足する - A4用紙1枚（400〜600文字）に収まる分量

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

報告書を作成する担当者が所属する組織・会社名

自社が利用しているさくらインターネットのサービス名または種別

今回のインシデントで閲覧・取得された可能性があるアカウント数（公式発表値）

販売管理システムへの不正アクセスが発生していた期間

キーワード

  • さくらインターネット
  • 不正アクセス
  • 個人情報漏えい
  • 初期パスワード
  • 販売管理システム

SOURCES · 参考情報源