さくらインターネットへの侵入は「3年前」にさかのぼるか 不正アクセス調査が完了：セキュリティニュースアラート

さくらインターネットは、2026年8月に公表した一連の不正アクセスに関する調査を完了し、最終的な影響範囲と再発防止策を発表した。影響を受けた可能性のあるアカウントは当初の公表から増えた。不正アクセスはいつ発生していたのか。

[ITmedia]

　さくらインターネットは2026年9月10日、同年8月に公表した一連の不正アクセスについて、外部のサイバーセキュリティ専門機関と連携した調査を完了したと発表した。同社は、データの外部持ち出しを裏付ける明確な事実と、情報の不正利用などの二次被害を確認していないとしている。

　同社は2026年8月9日、レンタルサーバサービス「さくらのレンタルサーバ」への不正アクセスを検知した。同年8月17日に一部顧客の583アカウントで不正ログインを確認したと公表し、同年8月19日には契約情報などを管理する販売管理システムへの不正アクセスの可能性と、会員情報136万563アカウントへの影響の恐れを明らかにしていた。

関連記事

さくらインターネットで不正アクセス　583件不正ログインから「136万件影響の恐れ」に拡大

さくらインターネット不正アクセスの既報（第二報）についてはこちら

　今回の第三報では、影響を受けた可能性のあるアカウントの範囲に加え、不正アクセスがいつ発生していたのかについても調査結果が示された。

販売管理システムへの侵入はいつ起きたのか

　調査の結果、販売管理システムへの不正アクセスは2023年4月以降、2026年3月までの間に発生していたことが判明した。2026年8月9日に検知したさくらのレンタルサーバへの不正アクセスとの関連性も調査したが、両事象の関連性を示す明確な根拠は確認されなかったという。同社は模倣攻撃の防止を理由に、侵入経路やシステム構成などの技術的詳細の公表を控えている。

　販売管理システムに保存されていた会員情報のうち、第三者に閲覧または取得された可能性がある対象は136万563アカウントで、2026年8月19日の公表から変わっていない。このうち30アカウントは、ハッシュ化された会員IDのパスワード情報を閲覧された可能性がある。なお、同社はクレジットカード情報を保持していない。

　一方、さくらのレンタルサーバでは影響対象が拡大した。追加調査によって新たに368アカウントでも閲覧または取得の可能性を確認し、対象は当初の583アカウントから合計951アカウントに増えた。追加の368アカウントについて、583アカウントへの不正アクセスとの関連を示す明確な根拠は確認されなかったものの、影響の可能性を否定できないため必要な対応を実施したという。同社は対象顧客に個別に連絡している。

　調査の過程では、さくらのレンタルサーバの環境で2025年7月以降のものと考えられる不審な活動の痕跡も見つかった。同社はこの痕跡について、継続的な侵害を示すものではなく二次被害もないと確認した。ただし、時間の経過に伴う記録の制約などによって、今回の不正アクセスとの同一性や具体的な侵入経路の客観的な確認には至らなかったとしている。

　パスワードに関する対応も明らかにした。販売管理システムには、さくらのレンタルサーバにおける一部の初期サーバパスワードと、仮想専用サーバサービス「さくらのVPS」の一部の管理者初期パスワードが、ハッシュ化されない状態で保存されていた。同社は、影響を受けた可能性のあるサーバパスワードを現在も使っている契約を対象に、同社側でパスワードを変更した。

　さくらのVPSの対象顧客には個別に案内し、初期パスワードを使い続けている場合は変更を求めている。初期パスワードから変更済みの場合、現在のパスワードは同社が保存していた情報と異なるため、不正ログインのリスクはないという。

　この他に緊急点検の結果、さくらのレンタルサーバを除くサービス提供環境と、販売管理システム以外の社内システムに不正アクセスの兆候は確認されなかった。

再発防止へ全サーバを再構築

　同社は再発防止策として、管理者権限とアクセス権限の総点検、重要システムへの接続経路の見直し、認証方式と認証情報の管理方法の見直し、EDR（エンドポイントの脅威を検知して対処する製品）の導入範囲の拡大などを挙げ、実施した旨を報告している。

　今後は以下の施策に取り組むとしている。

• さくらのレンタルサーバの全サーバの再構築によるクリーンナップ
• 管理環境や社内システム、サービス提供環境に対する多層的なアクセス制御の強化
• セキュリティに関するログの取得範囲や保管期間、分析体制の見直し
• 定期的な外部監査と第三者評価の実施
• 経営層を含む情報セキュリティガバナンスと報告体制の強化

　なお同社は、現時点で二次被害は確認されていないものの、本件に便乗したフィッシングメールや不審な電話、なりすましに注意するよう呼び掛けている。