さくらのレンタルサーバ侵害、会員136万件に影響か

さくらインターネットは2026年8月17日、「さくらのレンタルサーバ」の一部顧客環境が第三者に不正アクセスされたと公表しました。同社の管理環境を経由した侵入で、583アカウントへの不正ログインとマルウェア設置が確認されています。続く8月19日の第二報では、契約情報を管理する販売管理システムにも侵入されていた可能性が判明し、影響を受けた可能性のある会員情報は最大1,360,563アカウントに拡大しました。

ポイントは、これが利用者側のパスワード管理の甘さに起因する事案ではないという点です。契約している以上、利用者側の対策だけでは防ぎようがなかった侵害であり、情シスに求められるのは「自社が使っているか」の洗い出しと、この後に必ず来る便乗フィッシングへの備えです。

この記事でわかること

• 何が、いつ、どこまで起きたのか（第一報・第二報の整理）
• 「うちは契約していない」が高確率で間違いになる理由と、確認方法
• 影響を受けた可能性がある情報の具体的な項目
• 情シスが今日やるべきこと（公式FAQと公的指針への誘導）

「さくらのレンタルサーバ」とは何者か

さくらのレンタルサーバとは、独自ドメインのWebサイトとメールを低価格で運用できる共用ホスティングサービスです。1台のサーバを複数の契約者で分け合う「共用サーバ」型で、月額数百円のプランから提供されています。

誰が使うものかというと、専任のインフラ担当を置かない中小企業・部門単位のWebサイトや、制作会社が顧客のために契約するサイトが典型です。公式サイトの機能を見ると、WordPressのクイックインストール、独自ドメイン、無料SSL（Let’s Encrypt）、メールアカウント、FTP/SFTPといった構成で、法人向けのビジネスプランも用意されています。公式サイトでは利用件数56万件突破とされています。

ここが重要なところです。「うちは契約していない」と即断できないのは、情シスの管理台帳に載らない形で社内に入り込んでいることが多いからです。典型的には次のようなケースです。

• 制作会社・広告代理店が構築したキャンペーンサイトや採用サイト（契約名義が代理店側で、社内に記録が残っていない）
• 事業部門が独自に立てた製品紹介サイト・旧サイトの残骸（更新が止まったまま生きている）
• 独自ドメインのメールアカウント（Webサイトのついでに、問い合わせ用アドレスだけ同居している）

該当判定はドメイン側から辿るのが確実です。自社が保有する全ドメインについて、Aレコード（Webの向き先）とMXレコード（メールの向き先）を引き、さくら側のホスト名（*.sakura.ne.jp）に向いていないかを確認してください。あわせて経理に「さくらインターネット」名義の請求・カード決済がないかを照会すると、名義が代理店の場合を除いて拾えます。

何が起きたのか

公表されている時系列は次のとおりです。

第一報で目を引くのは「当社管理環境を経由して」という表現です。攻撃者は個々の契約者のパスワードを破って入ったのではなく、事業者側の管理基盤を足がかりに顧客環境へ降りてきた構図になります。発表文に利用者側の過失を示唆する記述はありません。

なお販売管理システムは、さくらのクラウドをはじめとする各サービスの提供環境とは別のシステムであると説明されています。両インシデントの関連性は調査中で、現時点では確定していません。

影響を受ける範囲はどこまでか

2系統の被害が公表されており、影響する対象が異なります。混同しないよう整理します。

クレジットカード情報については、同社は「保持していないため漏えいはない」としています。また8月19日時点でデータの外部持出しは確認されていないとされていますが、これは「持ち出されていないことが確認された」という意味ではなく、調査継続中の暫定的な状況です。安全側に倒して備えるべき段階です。

影響が確認されていないサービスとして、さくらのVPS、さくらのクラウド、さくらの専用サーバ PHY、高火力 PHY が挙げられています（現時点での確認結果であり、今後変わる可能性があります）。

なぜ「サイトを置いているだけ」でも問題になるのか

共用サーバの顧客領域には、Webのコンテンツだけでなく、問い合わせフォームの送信データ、メールの本文、DB接続情報を書いた設定ファイルが同居していることが珍しくありません。とりわけWordPressの wp-config.php にはDB認証情報が平文で入ります。「静的なサイトを置いているだけだから」と考えていても、実際にはメールと設定ファイルが同じ領域にあり、そこが読める状態だった、という構図になり得ます。

Webサイトの改ざんが直接の情報漏えいに繋がらないケースでも報告や対外説明が必要になる点は、うんこミュージアム改ざん DB非保存でも漏えいや、CRM開発会社が侵害、漏えいなしでも報告義務でも触れたとおりです。

想定されるリスク

• 便乗フィッシング：会社名・住所・電話番号・契約サービス・請求金額まで揃った情報は、「さくらインターネットからのお知らせ」を装ったメールの精度を跳ね上げます。契約内容を正確に書いてくるフィッシングは、警戒していても踏みます。過去の事例は国内ISPメール乗っ取り、便乗フィッシングに警戒をを参照してください。
• Webサイトの改ざん・マルウェア配布：設置されたマルウェアが残っていた場合、自社サイトが加害側に回ります。
• メールの窃取と、そこからの二次被害：問い合わせ窓口のメールには顧客の個人情報が溜まっています。JSTに不正アクセス、メール1.6万件漏えいかのように、メールボックスそのものが被害の本体になる例が続いています。
• 認証情報の使い回し：FTP/メールのパスワードを他サービスと使い回していれば、そちらへ波及します。

現場目線の課題

この種のニュースで情シスが最初に詰まるのは、「そもそも自社が契約しているのか分からない」ところです。サーバの脆弱性なら資産管理台帳を引けば済みますが、部門が勝手に契約したホスティングは、請求書が総務や事業部の経費で処理されていて、情シスの視界に一度も入っていないことがあります。しかも困ったことに、そういうサイトほど更新が止まっており、担当者が退職していて、パスワードを知っている人が社内にいません。

今回のように事業者側の基盤が侵害された場合、利用者にできることは実質的に「該当有無の確認」「パスワードの変更」「その後の監視」しかありません。防げなかったことを悔やんでも仕方がなく、どれだけ早く自社の該当範囲を確定できるかだけが勝負になります。その速度は、平時にドメインとホスティングの一覧を持っているかどうかでほぼ決まってしまいます。年に一度ドメインの棚卸しをしておくだけで、こういう日の初動がまるで違ってきます。

情シスはどうすべきか

まず、同社公式のFAQで案内されている対応が最優先です。予防的措置として次が推奨されています。

• サーバパスワード（FTP）の変更
• メールアカウントパスワードの変更
• 会員パスワードの変更の検討
• 登録メールアドレス宛に不審なメールが届いた場合、本文中のURLへのアクセスや添付ファイルの開封をしない

あわせて押さえておきたいのが、同社からの連絡は「登録メールアドレス宛」と「公式サイトのお知らせ」に限られると明言されている点です。これは社内周知にそのまま使えます。電話やSMS、別ドメインからのメールで「不正アクセスの件で確認が必要です」と接触してきたものは、その時点で疑ってよいということになります。個別対象者への連絡は今後あらためて案内されるとされており、現時点では自社が対象かどうかを確定的に知る手段はありません。

詳細は一次情報を直接確認してください。

• 不正アクセスに関するFAQ（さくらインターネット）

社内の体制づくりについては、自前でチェックリストを作り込むより公的機関の指針を土台にするほうが早く、説明もしやすくなります。

• 中小企業の情報セキュリティ対策ガイドライン（IPA） … 委託先・外部サービスを含めた資産の把握と、その管理責任の考え方が整理されています。今回のようなドメイン／ホスティングの棚卸しの根拠として使えます。
• セキュリティインシデント対応 机上演習教材（IPA） … 「委託先・利用サービス側が侵害された」というシナリオは演習に組み込みやすく、連絡経路の抜けが露見します。
• 対策のしおり（IPA） … 便乗フィッシングへの注意喚起を全社に配るための素材として手軽です。

そして地味ですが効くのが、エンドユーザへの一言です。「さくらインターネットを名乗るメールが来ても、リンクを踏まず情シスに転送してください」と先に伝えておくだけで、被害の入口はかなり塞げます。攻撃者はニュースが出た直後に動きます。

中長期の視点

今回の事案は、外部サービス事業者の管理基盤が侵害されると、利用者側がいくら堅牢にしていても影響を受けるという、当たり前ですが直視しにくい事実を突きつけています。クラウド・ホスティングの利用が前提となった以上、これは「起こり得ること」として設計に織り込むほかありません。

実務的には、次の3点を平時の宿題にしておくと、次に同種のニュースが出たときの初動が短縮できます。

• ドメインと外部ホスティングの一覧を持つ（契約名義が代理店のものも含めて）
• 外部サービスに預けている情報の種類を把握する（メール本文まで含めて棚卸しする）
• 事業者からの通知の受け取り先を、退職しない窓口にしておく（個人のアドレスで契約しない）

まとめ

• さくらインターネットの管理環境を経由した不正アクセスで、「さくらのレンタルサーバ」583アカウントへの不正ログインとマルウェア設置が確認され、販売管理システム側では最大1,360,563アカウントの会員情報が影響を受けた可能性がある（8月19日時点、調査継続中）。
• 利用者側の過失によるものではないため、情シスがやるべきは「自社の該当有無の確認（ドメインのA/MXレコードと請求から辿る）」「FTP・メール・会員パスワードの変更」「便乗フィッシングへの社内周知」の3つ。
• データの外部持出しは現時点で未確認だが確定情報ではない。同社からの連絡は登録メールアドレスと公式サイトのお知らせに限られるため、それ以外の接触は疑ってよい。

出典

• 当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて（さくらインターネット、2026年8月17日）
• 当社システムへの不正アクセスに関するお知らせ（第二報）（さくらインターネット、2026年8月19日 18:40更新）
• 不正アクセスに関するFAQ（さくらインターネット）
• さくらのレンタルサーバ 公式サイト