セキュリティ

さくらインターネット、不正アクセスが136万件に拡大。別システムにも侵入

さくらインターネットで発覚した不正アクセスが、当初の583アカウントから136万アカウント規模の問題へと拡大した。レンタルサーバに加え販売管理システムへの侵入の可能性も判明している。

岬徹

2026年8月20日 18:5500

583件から136万件へ

さくらインターネットは8月19日、同社への不正アクセスに関する第二報を発表した。

8月17日の第一報では、レンタルサーバサービス「さくらのレンタルサーバ」の一部で583アカウントへの不正ログインが報告されていた。攻撃者は同社の管理環境を経由して顧客環境に到達し、マルウェア（悪意あるプログラム）を設置。メールデータやウェブサイトデータ、ログなど顧客領域に保存された情報が第三者に閲覧・取得された可能性があるという内容だった。

2日後の第二報で、事態は一変する。

レンタルサーバへの不正アクセスを調査する過程で、顧客の契約情報を管理する「販売管理システム」にも不正アクセスの可能性があることが判明した。影響を受けた可能性のある会員情報は1,360,563アカウント。第一報の583アカウントを含む数字だが、桁が4つ違う。

2つの侵入、時系列が逆転する

この事案で見逃せないのは、時系列の構造だ。

さくらインターネットが異常を検知したのは8月9日。レンタルサーバへの不正アクセスが発覚し、認証情報の無効化やアクセス遮断といった封じ込め対応を実施した。

販売管理システムへの不正アクセスは、この8月9日以前に発生していたとされる。つまり、先に見つかったレンタルサーバへの侵入より前から、別のシステムが侵害されていた可能性がある。

2つの侵入の関連性について、同社は「調査を継続している」としている。

閲覧された可能性がある情報

販売管理システムに保存されていた情報のうち、第三者に閲覧・取得された可能性があるとされるのは、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額等の契約情報だ。

さらに、30アカウントについてはハッシュ化されたパスワード情報へのアクセスの可能性も確認された。ハッシュ化とは元のパスワードを復元困難な状態に変換する処理で、仮に取得されたとしても直ちに悪用される可能性は低い。

クレジットカード情報については、同社はシステム内に保存していないと説明している。

現時点でデータの外部持出しは確認されていない。ただし136万件という数字は影響が確定した件数ではなく、調査はなお継続中だ。

ランサムウェアではないとの公式見解

BleepingComputerが報じたところによると、さくらインターネットの広報は8月20日、今回の事案について「ランサムウェア（データを暗号化して身代金を要求する手口）によるものではなく、身代金の要求もなかった」と回答した。マルウェアの詳細については「セキュリティ上の配慮から開示できない」としている。

攻撃者を名乗る犯行声明も、現時点では確認されていない。

さくらインターネット不正アクセス事案の経緯

8月9日以前

販売管理システムへの不正アクセス発生

第二報で判明。検知より前に発生

8月9日

異常検知、調査開始

レンタルサーバの一部で異常を確認

8月17日

第一報。583アカウント不正ログイン

顧客領域のデータ閲覧の可能性

8月19日

第二報。影響が136万アカウントに拡大

会員情報への影響の可能性を確認

8月20日

ランサムウェアではないと公式回答

悪意あるプログラムの詳細は非公開

※販売管理システムへの不正アクセスの正確な発生日は調査中。さくらインターネット公式発表に基づく

さくらのクラウドへの影響は

同社は、さくらのVPS、さくらのクラウド、さくらの専用サーバPHY、高火力PHYについては影響が確認されていないとしている。販売管理システムは契約情報を管理する業務システムであり、各サービスの提供環境とは別のシステムだという。

この区別は重要だ。さくらインターネットの「さくらのクラウド」は2026年3月、デジタル庁のガバメントクラウドに正式採択された。AWS、Google Cloud、Microsoft Azure、Oracle Cloud Infrastructureに続く5社目であり、国産クラウド事業者としては唯一の採択だ。

自治体や政府機関の基幹業務システムを担う基盤として選ばれた事業者が、正式採択からわずか5カ月で不正アクセスの公表に至った。

サービス提供環境と販売管理システムが分離されているという説明は、ガバメントクラウドの安全性を直接否定するものではない。だが、ひとつの組織の管理下にある別のシステムが侵害されたという事実は、インフラ事業者としての信頼全体に影を落とす。