さくらインターネットは、レンタルサーバーと販売管理システムへの不正アクセスに関する調査結果を公表した。
販売管理システムでは、会員情報などが第三者に閲覧または取得された可能性のある対象が1,360,563アカウントに上った一方、データの外部持ち出しや二次被害を裏付ける事実は確認されていない。
約136万アカウントに閲覧・取得の可能性
2026年9月10日、さくらインターネットは、「さくらのレンタルサーバ」と販売管理システムへの不正アクセスに関する調査結果を公表した。
同社は8月9日、レンタルサーバーのメンテナンス用サーバーで異常を検知し、外部のサイバーセキュリティ専門機関と調査を進めてきた。
その結果、一部サーバーへの不正アクセスとマルウェア設置に加え、契約情報などを管理する販売管理システムへの不正アクセスが確認されたとのことだ。
レンタルサーバーでは、第三者による閲覧または取得の可能性がある対象が当初から増大し、8月17日時点の583アカウントから951アカウントに拡大した。
販売管理システムでは、会員ID、氏名、住所、電話番号、メールアドレス、契約サービスや請求金額などを含む情報について、1,360,563アカウントが影響を受けた可能性があるという。
うち30アカウントでは、ハッシュ化された会員IDのパスワード情報（※）が閲覧された可能性も確認された。
さらに、販売管理システムへの不正アクセスは、2023年4月以降、2026年3月までの間に発生していたことも判明した。
一方、データが外部へ持ち出されたことを裏付ける明確な事実や、情報の不正利用、金銭被害などの二次被害は現時点で確認されていない。
再発防止策として、同社は管理者権限やアクセス権限の厳格化、重要システムへの接続経路の見直し、監視強化などを実施済みとした。
今後は多層的なアクセス制御、ログの取得範囲や保管期間の見直し、「さくらのレンタルサーバ」全サーバーの再構築、定期的な外部監査も進める方針である。
※ハッシュ化されたパスワード情報：元のパスワードをそのまま保存したものではなく、元のパスワードの推測や復元が困難となるように加工されたデータ。
不正アクセス受け監視強化、信頼回復が課題
今回の公表では、影響範囲について「閲覧・取得された可能性」と「実際の外部流出」に分けて説明されている。
対象件数の大きさは利用者に不安を与える可能性がある一方、現時点ではデータの外部持ち出しや二次被害を裏付ける事実は確認されていないため、被害状況を過度に断定しない見方も必要だと考えられる。
一方、販売管理システムへの不正アクセスが2023年4月以降、2026年3月までの間に発生していた点は、監視やアクセス管理の実効性を考えるうえで課題になり得る。
再発防止策によってアクセス制御や監視体制を強化するだけでなく、異常を早期に検知できる仕組みが実際に機能するかを継続的に検証することが重要になるだろう。
今後は、全サーバーの再構築や外部監査などの対策を着実に進め、その効果を利用者や取引先に分かりやすく示せるかが焦点になりそうだ。
技術面だけでなく、運用面や組織面を含めた改善を継続できなければ、信頼回復につなげることは難しいだろう。
関連記事：
アフラック、438万人の個人情報漏えい 口座情報も一部流出
OpenAI、AIエージェントのHugging Face不正アクセスを報告 隔離回避・情報共有を確認
評価中のClaudeが実在3組織へ不正アクセス Anthropicが評価環境改善を提言
