2026年8月、さくらインターネットは「さくらのレンタルサーバ」と、顧客の契約情報などを管理する販売管理システムへの不正アクセスを公表しました。影響を受けた可能性のある会員情報は1,360,563アカウント。9月10日に公表された第三報では、一連の調査が完了し、原因、影響範囲、封じ込め、再発防止策が示されています。
筆者のもとにも、影響を受けた可能性がある利用者への本人通知と、その後の調査結果報告が届きました。本記事では、受信した2通のメールを個人を特定できる情報を伏せたうえで全文掲載します。ただし、重要なのはメールを転載することだけではありません。公式発表が何を確認し、何を確認できなかったのか。利用者はどこまで安心してよいのか。そして、インフラ事業者に求められる説明責任と日常のサポート品質は、事故後の信頼回復にどう関係するのかを第三者の視点から掘り下げます。
先に結論を述べると、「被害がなかったと確認された事故」ではありません。現時点で外部持ち出しを裏付ける明確な事実や二次被害が確認されていない一方、第三者による閲覧または取得の可能性は残っています。この二つは両立します。利用者に過度な恐怖を与えるべきではありませんが、「何も起きなかった」と矮小化するのも適切ではありません。
- この事故で確認されたこと
- 侵入可能期間の長さを軽く見てはいけない
- 「外部持ち出しは確認されていない」の正しい読み方
- クレジットカード情報が対象外でも安心し切れない理由
- 2通のメールから見える情報開示の良い点
- それでも通知文には分かりにくさが残る
- なぜ日常のサポート品質が事故対応の信頼を左右するのか
- 今回の事故を「大手だから安心」の終わりとして考える
- 利用者が今すぐ確認すべきこと
- 企業利用者が追加で行うべきこと
- さくらインターネットに今後求めたい説明
- 事故対応は技術だけでは完結しない
- 第三者としての評価
- まとめ――「確認されていない」を「起きていない」に変換しない
- 公表までの時系列から見えること
- 利用者へのメールは本物か――確認方法も考える
- 問い合わせるなら何を聞くべきか
- 「信頼を失ったから即移転」が常に正解ではない
- この事故から他のサービス事業者が学ぶべきこと
- 受信したメール全文（個人情報は伏せ字）
- 参考資料
この事故で確認されたこと
公式の第三報によると、確認された事象は大きく二系統です。一つは「さくらのレンタルサーバ」の一部サーバーへの不正アクセスとマルウェア設置。もう一つは、各サービスの契約情報を管理する販売管理システムのデータベースへの不正アクセスです。後者は実際のサービス提供環境とは別のシステムですが、住所、氏名、電話番号、メールアドレス、契約サービス、契約期間、請求金額など、利用者と契約を結び付ける情報を扱っていました。
レンタルサーバー側では、当初583アカウントとされていた対象に368アカウントが追加され、合計951アカウントになりました。追加分については、最初の583件との明確な関連性までは確認できなかったものの、影響の可能性を完全には否定できないため対象に含めた、と説明されています。これは調査の不確実性を隠さず、安全側に範囲を取った判断として評価できます。
販売管理システムでは、影響を受けた可能性のある会員情報が1,360,563アカウントに上ります。さらに、そのうち30アカウントについて、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があるとされました。ハッシュ化は平文保存より安全ですが、閲覧可能性そのものが消えるわけではなく、方式や強度、元のパスワードの複雑性によっては解析リスクを完全には排除できません。
加えて、販売管理システムには、一部の「さくらのレンタルサーバ」で発行された初期サーバーパスワードと、一部の「さくらのVPS」の管理者初期パスワードが保存されていました。こちらは前述のハッシュ化パスワードとは異なり、ハッシュ化されていない情報です。対象者には個別案内が送られ、現在も初期パスワードを使用している契約については、事業者側での変更や利用者による変更が求められています。
この区別は重要です。「会員メニューのパスワード」「レンタルサーバーのサーバーパスワード」「VPSの管理者パスワード」は同じものではありません。一般利用者にとってはすべて「さくらのパスワード」に見えますが、守る対象も変更手順も影響も異なります。事故時の案内では、専門用語を減らすだけでなく、このような認証情報の役割を分けて説明する必要があります。
侵入可能期間の長さを軽く見てはいけない
第三報で特に重いと感じるのは、販売管理システムへの不正アクセスが2023年4月以降、2026年3月までの間に発生していたと確認された点です。発覚の直接の契機は2026年8月9日にレンタルサーバーのメンテナンス用サーバーで異常を検知したことですが、販売管理システムへの侵入はそれより前です。
この事実は、「8月に侵入され、すぐに発見した」という単純な事故像ではないことを示します。もちろん、公表された期間の全期間にわたって攻撃者が常駐していたと断定することはできません。公式発表も、具体的な侵入日時、攻撃者の滞在期間、個々のデータに対する操作の全容までは示していません。しかし、長い期間をさかのぼって調査しなければならない状態だったこと自体、ログの保管、監視、権限管理、システム間の境界といった基礎的な統制を検証すべき重大な材料です。
時間が経過すれば、ログの保存期間を超えたり、記録の粒度が不足したりして、後から事実を完全に再構成することが難しくなります。第三報にも、2025年7月以降のものと考えられる不審な活動について、時間経過に伴う記録の制約などから、本件との同一性や具体的な侵入経路、顧客情報への影響を客観的に確認するには至らなかったとあります。
したがって、「持ち出しの痕跡がない」という言葉は、調査対象となった記録の中で裏付ける証拠が見つからなかった、という意味で読むべきです。すべての操作を完全に観測できる記録が残っており、その全記録を確認して持ち出しがなかったと証明した、という意味ではありません。これはさくらインターネットに限らず、長期間を経て発覚した情報セキュリティ事故を読む際の基本姿勢です。
「外部持ち出しは確認されていない」の正しい読み方
事故報告でしばしば誤解される表現が、「外部への持ち出しは確認されていない」「二次被害は確認されていない」です。この表現は安心材料ではありますが、安全宣言ではありません。
今回の公式発表では、販売管理システムの会員情報について、第三者による閲覧または取得の可能性があるとされています。一方で、データが外部へ持ち出されたことを裏付ける明確な事実は確認されていないとも説明されています。つまり、アクセスの可能性は認められるが、攻撃者がどの情報をどの程度取得し、外部へ転送したかを証拠によって特定できていない状態です。
情報は物品と異なり、コピーされても元のデータが残ります。ファイルが消えていないから盗まれていないとはいえません。外向き通信やデータベース操作の詳細なログが十分でなければ、少量ずつ表示・取得されたケース、正規機能を悪用したケース、暗号化通信に紛れたケースなどを後から完全に否定することは困難です。
一方で、証拠がないのに「漏えいした」と断定するのも正しくありません。今回の適切な表現は、「情報が閲覧・取得された可能性があるため、利用者は予防的対応を取るべきだが、現時点で不正利用や金銭的被害が確認されたわけではない」です。恐怖を煽る見出しも、企業発表の安心材料だけを切り取る見出しも、事故の実像を歪めます。
クレジットカード情報が対象外でも安心し切れない理由
さくらインターネットは、クレジットカード情報を保持しておらず、入力画面の改ざんも確認されていないため、カード番号漏えいの恐れはないと説明しています。これは明確な安心材料です。少なくとも今回の事故を理由として、ただちにカードを停止・再発行する必要性は高くありません。
しかし、金銭被害につながるのはカード番号の直接流出だけではありません。会社名、部署名、氏名、メールアドレス、電話番号、利用サービス、契約期間、請求金額などが組み合わされると、標的型フィッシングの精度が上がります。
たとえば、「さくらのVPSの更新」「請求金額の確認」「不正アクセスに伴う返金」「パスワード再設定」など、実際の契約と整合する題材を使えば、一般的な迷惑メールより信じやすい文面を作れます。会社名や部署名を知っていれば、担当者や経理部門を狙うこともできます。電話番号があれば、メール送信後に電話をかけて信用させる複合型の攻撃も考えられます。
つまり、今回もっとも現実的な二次被害は、流出した可能性のある情報そのものが直接お金になることではなく、その情報が「本物らしい詐欺」を作る材料になることです。今後しばらくは、さくらインターネットを名乗る連絡だけでなく、契約先や保守会社、ドメイン管理会社、決済会社を装う連絡にも注意する必要があります。
2通のメールから見える情報開示の良い点
今回の通知には評価できる部分もあります。第一に、影響を受けた可能性がある利用者へ、個人情報保護法に基づく本人通知としてメールを送ったことです。被害が確定していない段階であっても、影響可能性のある範囲を広く取り、利用者が警戒できるようにしています。
第二に、カード情報が対象外であること、会員メニューは2要素認証が必須であること、直ちに必要性が高い対応と予防的な対応を分けて説明したことです。事故後の通知で、すべての利用者に一律でパスワード変更を迫ると、かえって偽メールに便乗されやすくなります。対象者だけに別途案内し、一般の利用者には使い回しの解消や2要素認証確認を勧める構成には合理性があります。
第三に、第三報で対象件数を更新し、調査上の制約にも触れたことです。レンタルサーバー側の対象を583件から951件へ広げた点は、初報の数字に固執するのではなく、追加調査の結果を反映したものです。また、関連性を確認できない事象についても、可能性を否定できないため対象に含めたと説明しています。
第四に、封じ込めと再発防止策を、実施済みと今後の施策に分けて示したことです。認証情報の無効化、不審通信の遮断、対象環境の隔離、マルウェア除去、サーバー再構築、EDRの導入範囲拡大、権限の総点検などが列挙されています。少なくとも「調査中」のまま終わらせず、最終的な影響範囲と改善策を第三報としてまとめた点は、説明責任を果たすために必要な対応です。
それでも通知文には分かりにくさが残る
一方で、利用者目線では分かりにくい点もあります。最大の問題は、「あなたについて、どの情報が対象だったのか」がメールだけでは分からないことです。通知には情報項目の一覧が示されていますが、それは販売管理システムに保存されていた項目の一覧であり、受信者について全項目を保有していた、または全項目が閲覧されたという意味ではない、と注記されています。
法律上・調査上、個別の閲覧事実まで特定できない事情は理解できます。それでも利用者が知りたいのは、「私の住所は対象なのか」「生年月日は登録していたのか」「初期パスワードの対象者なのか」「契約しているVPSへの影響はあるのか」です。総論の情報だけでは、自分が取るべき行動の強度を決めにくいのです。
また、第一報と第三報のメール本文だけを読むと、販売管理システムとレンタルサーバー環境の事故がどこまで別物なのか把握しにくい構造です。公式発表では両事象の関連性を示す明確な根拠は確認されなかったとされていますが、同じ時期にまとめて案内され、対象件数やパスワードの種類も複数登場します。一般利用者にとっては、自分が136万件の対象なのか、951件の対象なのか、その両方なのかが分かりにくくなります。
「直ちにパスワードを変更する必要性は高くありません」という説明も、対象が会員メニューのパスワードであることをより強調すべきでした。一部の初期サーバーパスワードやVPS管理者初期パスワードについては別途対応が必要です。同じメールの中で複数種類のパスワードを扱う以上、「変更不要」と「変更必要」を表や対象別のフローで見せた方が安全です。
なぜ日常のサポート品質が事故対応の信頼を左右するのか
セキュリティ事故への技術対応と、通常のカスタマーサポートは別部門の仕事かもしれません。しかし、利用者が企業を信頼できるかどうかを判断するとき、この二つを完全に切り離すことはできません。
筆者は過去に、さくらインターネットのサポートを利用した際、問い合わせの意図を十分に確認しないまま進む回答や、利用者側が再度説明しなければ前提が揃わないやり取りを経験し、対応がずさんだと感じたことがあります。本件の不正アクセスと、その過去のサポート対応に直接の因果関係があるわけではありません。また、個々の担当者の対応だけで、会社全体のセキュリティ能力を断定することもできません。
それでも、この経験は事故後の発表を受け取る心理に影響します。普段の問い合わせで丁寧な確認、明確な根拠、約束した期限での回答が積み重なっていれば、事故時の「調査しました」「封じ込めました」という説明にも一定の信頼を置きやすくなります。反対に、通常時から定型文に見える回答、前提を外した案内、部門間で整合しない説明が続いていれば、正しい事故報告であっても「本当に調べ切ったのか」という疑念が残ります。
ここで問題にしたいのは、過去の一件を持ち出して企業を攻撃することではありません。インフラ企業にとって、サポートは単なるコストセンターではなく、信頼性を利用者へ可視化する重要な接点だということです。平時の回答品質は、障害や事故が起きたときに初めて価値が現れる「信用の備蓄」です。
とくに、サーバーやクラウドは利用者側にも技術知識を求めるサービスです。事業者が「お客様環境の問題」と判断する場面も当然あります。しかし、十分な切り分けをせずに利用者へ戻したり、質問の背景を読まずにヘルプページだけを示したりすれば、責任の押し付けと受け取られます。事故対応でも同じで、利用者が何を不安に感じ、何を判断できずにいるかを理解した説明が必要です。
今回の事故を「大手だから安心」の終わりとして考える
さくらインターネットは長年にわたり国内のインターネット基盤を支えてきた事業者です。低価格なレンタルサーバーからVPS、クラウド、データセンターまで幅広く提供し、個人開発者、中小企業、公共分野を含む多くの利用者が依存しています。だからこそ、今回の事故は一企業の情報漏えい問題だけではなく、「信頼できる事業者に預ければ、あとは任せられる」という考え方の限界を示します。
大手事業者は一般に、専門人材、監視体制、冗長化、インシデント対応能力に優れています。しかし、規模が大きいほど保有データが増え、システムが複雑になり、古い管理系システムや例外的な運用が残る可能性も高まります。攻撃者にとっての価値も大きくなります。大手であることはリスクを下げる要素であって、事故が起きない保証ではありません。
利用者側も、クラウド事業者のセキュリティ対策に依存するだけでは不十分です。事業者が守る範囲と、利用者が守る範囲を理解し、認証情報、バックアップ、ログ、連絡先を自分たちで管理する必要があります。これは「事故は利用者の自己責任」という話ではありません。事業者に高い責任を求めつつ、事故が起きたときの被害を小さくするために利用者側でも備える、責任共有モデルの話です。
利用者が今すぐ確認すべきこと
1．別の個別通知が届いていないか
今回の一般的な本人通知や第三報とは別に、サーバーパスワードやVPSの管理者初期パスワードの変更が必要な対象者には個別案内が送られています。メールボックスだけでなく、迷惑メール、さくらインターネットの会員メニュー、登録連絡先も確認してください。メール内のリンクを直接押すことに不安がある場合は、普段使っているブックマークや公式サイトから会員メニューへ入り、告知を確認する方が安全です。
2．初期パスワードを使い続けていないか
レンタルサーバーやVPSの初期パスワードを現在も使用しているなら、今回の対象通知の有無にかかわらず変更を推奨します。VPSでは管理者権限が奪われると、サイト改ざん、踏み台化、保存データの閲覧、暗号資産採掘、他組織への攻撃など、影響がサーバー全体に及ぶ可能性があります。
3．パスワードを使い回していないか
会員メニューのパスワードを別サービスでも使っている場合は、別サービス側を含めて固有のパスワードへ変更してください。事故対象にハッシュ化情報が含まれる可能性がある以上、同じ文字列を複数サービスで使う運用は避けるべきです。パスワードマネージャーを利用し、長くランダムな値をサービスごとに設定するのが現実的です。
4．2要素認証の方式と復旧手段を確認する
会員メニューでは2要素認証が必須とされています。設定済みであることに安心せず、登録メールアドレスや電話番号が現在も利用できるか、認証アプリの機種変更時に復旧できるか、バックアップコードが適切に保管されているかを確認してください。メール認証だけに依存している場合、メールアカウント自体の防御も重要です。
5．サーバーとアカウントのログを確認する
VPSやクラウドを管理している場合は、SSHログイン履歴、管理パネルへのログイン、ユーザー追加、公開鍵の変更、cronやsystemdの追加、不審なプロセス、外向き通信、Webコンテンツの改ざんなどを確認します。ただし、今回の通知を受け取っただけで自分のサーバーが侵害されたと決め付ける必要はありません。基準となる正常状態と比較し、異常があれば証拠を保全してから調査してください。
6．フィッシングを「文章の不自然さ」だけで見抜こうとしない
生成AIの普及により、自然な日本語の詐欺メールは簡単に作れます。契約サービス、請求金額、会社名、担当部署などが使われれば、内容の具体性も増します。差出人名やロゴ、文章の丁寧さではなく、送信元ドメイン、リンク先、会員メニュー上の告知、手続きの内容を確認してください。パスワード、カード情報、認証コードの入力を急がせる連絡は特に警戒が必要です。
企業利用者が追加で行うべきこと
企業でさくらのサービスを利用している場合、担当者個人のパスワード変更だけで終わらせるべきではありません。契約情報に含まれる会社名、部署名、担当者、メールアドレス、電話番号、利用サービスが攻撃者に知られた可能性を前提として、総務、経理、情報システム、外部保守会社で情報を共有する必要があります。
まず、さくらインターネットからの請求、返金、契約更新、本人確認を名乗る連絡について、通常の承認経路を再確認します。メールのリンクから手続きせず、会員メニューで直接確認する。振込先変更は別経路で確認する。電話で認証情報を伝えない。こうしたルールを短く周知するだけでも、便乗詐欺への耐性は上がります。
次に、契約台帳を更新します。どの会員IDがどのサービスを契約し、誰が管理し、どのメールアドレスが通知先なのかを明確にします。退職者のメールアドレスや共有されていない個人アドレスが登録されたままでは、重要通知を見落とします。使っていないサービスや古いアカウントは、必要なデータを確認したうえで整理すべきです。
さらに、事業継続の観点から、バックアップが同一事業者・同一アカウント内だけに存在していないか確認します。バックアップは取得するだけでなく、復元できることを定期的に試験し、認証情報を失った場合や管理画面へ入れない場合でも取り出せる設計が必要です。レンタルサーバー、VPS、クラウドで必要な対策は異なりますが、「本番と同じ事故でバックアップも失う」構成を避ける原則は共通します。
さくらインターネットに今後求めたい説明
第三報で調査完了とされていますが、利用者の信頼回復という意味では、今後の改善状況を継続的に示す必要があります。再発防止策として、権限の総点検、重要システムへの接続経路見直し、認証方式の改善、EDR拡大、ログ取得範囲・保管期間・分析体制の見直し、全サーバー再構築、外部監査などが掲げられました。
重要なのは、これらが箇条書きの約束で終わらないことです。「実施した」「強化した」だけでは、利用者が改善の実効性を判断できません。セキュリティ上公開できない詳細があるのは当然ですが、実施率、完了時期、第三者評価の範囲、監査で見つかった主要課題、ログ保管方針の考え方など、攻撃を助けない範囲で進捗を示すことは可能です。
また、初期パスワードを販売管理システムに保存していた設計について、なぜ必要だったのか、現在はどのような仕組みに改めたのかという説明も重要です。初期値であっても、利用者が変更しない可能性は予測できます。管理系データベースに復元可能な認証情報を置く設計は、侵害時の影響を広げます。単に対象者へ変更を依頼するだけでなく、今後同様の情報を保持しない、または短期間で確実に破棄する仕組みが必要です。
通知の改善も求めたいところです。受信者が自分の状況を短時間で判断できるよう、「あなたが該当する対象」「必須の対応」「推奨の対応」「対応不要な項目」を冒頭にまとめるべきです。一般説明を長く並べた後に重要事項が現れるメールは、読み飛ばしや誤解を招きます。事故通知は法的要件を満たす文書であると同時に、利用者の安全行動を導くユーザーインターフェースでもあります。
事故対応は技術だけでは完結しない
不正アクセスの封じ込め、マルウェア除去、認証情報の無効化、サーバー再構築は不可欠です。しかし、事故対応の成否は技術作業だけで決まりません。利用者が通知を理解し、必要な対応を迷わず実施できること。問い合わせに対して一貫した回答が返ること。新しい事実が判明したときに速やかに更新されること。これらも被害拡大を防ぐセキュリティ対策です。
サポート担当者が事故の概要を理解せず、FAQを案内するだけでは、個別事情のある利用者は動けません。逆に、担当者ごとに異なる説明をすれば混乱を増やします。事故対応チーム、法務、広報、カスタマーサポートが同じ事実関係と判断基準を共有し、問い合わせの種類に応じて適切な窓口へつなぐ体制が必要です。
過去のサポート対応に不満を持つ利用者に対しては、「今回の事故とは別件」と切り離すだけでは信頼は戻りません。事故を契機に、技術基盤だけでなく、問い合わせ履歴の引き継ぎ、回答品質の確認、エスカレーション、回答期限の管理も見直すべきです。企業の信頼性は、システムの稼働率だけでなく、問題が起きたときに利用者とどのように向き合ったかで測られます。
第三者としての評価
第三者の立場から見ると、今回の対応には評価できる点と、厳しく検証すべき点の両方があります。
評価できるのは、外部専門機関と連携して調査し、対象範囲を追加更新し、本人通知を行い、封じ込めと再発防止策を公表したことです。カード情報が対象外であることや、二次被害が現時点で確認されていないことも明確に説明されています。可能性を完全に否定できない事象まで対象に含めた姿勢は、利用者保護の観点から妥当です。
一方、重大なのは、管理系システムへの不正アクセスが長期間をさかのぼること、136万件規模の会員情報が影響対象となり得ること、一部の初期パスワードがハッシュ化されず保存されていたことです。また、記録の制約により、過去の不審活動と今回の事故との関係や影響を完全には確認できなかった点も軽視できません。
したがって、現段階で「対応は十分だった」「もう安全だ」と結論付けるのは早いでしょう。同時に、「136万人分が確実に流出した」「カード情報も危険だ」といった事実に反する煽りも避けるべきです。最も誠実な評価は、事故の封じ込めと調査報告は前進したが、信頼回復はこれからの改善実績と日常のサポート品質によって判断される、というものです。
まとめ――「確認されていない」を「起きていない」に変換しない
今回の事故を理解するうえで、覚えておきたいのは次の三点です。
- 第三者による情報の閲覧・取得の可能性はあるが、外部持ち出しや二次被害を裏付ける明確な事実は現時点で確認されていない。
- カード情報は対象外だが、氏名、連絡先、契約内容などがフィッシングやなりすましに悪用される可能性には注意が必要である。
- 対象者への個別パスワード変更案内の確認、使い回しの解消、2要素認証、ログ・契約台帳・バックアップの点検が現実的な対策になる。
さくらインターネットは、日本のインターネットを長く支えてきた重要な事業者です。その実績があるからこそ、今回の事故を例外的な出来事として閉じるのではなく、技術、運用、組織、サポートの全体を改善する契機にしてほしいと思います。
利用者側も、「大手だから絶対安全」「二次被害が確認されていないから何もしなくてよい」と考えるのではなく、予防的に確認できることを淡々と実施するべきです。事故に対して必要以上に恐れず、しかし言葉の安心感だけで判断しない。その距離感が、クラウドやホスティングを利用する私たちに求められています。
公表までの時系列から見えること
事故を評価するときは、発生日だけでなく、検知、封じ込め、利用者への公表、個別通知、最終報告までの時間軸を見る必要があります。今回、直接の発覚契機となった異常検知は2026年8月9日です。8月17日にレンタルサーバーの一部環境への不正アクセスが公表され、8月19日には販売管理システムへの不正アクセスが公表されました。その後、影響可能性のある利用者への本人通知が行われ、9月10日に第三報として調査結果と再発防止策が示されました。
検知から初回公表まで約1週間、販売管理システムを含む第二段階の公表まで約10日、最終報告まで約1か月という流れだけを見れば、何年も公表を遅らせた事例とは異なります。しかし、第三報では販売管理システムへの不正アクセスが2023年4月以降から2026年3月までの間に発生していたことが明らかになりました。利用者が評価すべきなのは、公表後の速度だけでなく、なぜ管理系システムへのアクセスが長期間、事故として把握されなかったのかという検知能力です。
侵入そのものを100％防ぐことは現実的ではありません。そのため現代のセキュリティでは、侵入される可能性を前提に、早期検知、権限の限定、横展開の防止、データアクセスの監視、証拠となるログの保存を組み合わせます。今回、再発防止策としてEDRの拡大、接続経路の見直し、アクセス制御の強化、ログ取得範囲と保管期間の見直しが挙げられたことは、これらの領域に改善余地があったことを示唆します。ただし、これは公表内容からの分析であり、個別の対策が事故前に存在しなかったと断定するものではありません。
もう一つ注目したいのは、レンタルサーバーへの不正アクセスと販売管理システムへの不正アクセスについて、関連性を示す明確な根拠が確認されなかった点です。「関連性がないと証明された」のではなく、「関連性を示す明確な根拠がない」という表現です。異なる攻撃者による別々の事象だった可能性も、同じ攻撃者による活動を記録上結び付けられなかった可能性も、公開情報だけでは判断できません。報道やブログで両者を一つの攻撃経路として描くのは避けるべきです。
利用者へのメールは本物か――確認方法も考える
皮肉なことに、情報漏えい事故の通知メールそのものがフィッシングに見えることがあります。「重要」「不正アクセス」「パスワード変更」といった強い言葉が並び、リンクのクリックを促すためです。今回掲載したメールは、記載された公式発表の内容、公式ドメインのリンク、問い合わせ窓口が公式サイトと一致しています。しかし、この記事を読んだ人に同じ件名のメールが届いたとしても、見た目だけで本物と判断してはいけません。
確認するときは、メール本文のリンクを使わず、検索や手元のブックマークからさくらインターネットの公式サイトを開きます。公式のお知らせに同じ件名と日付があるか、問い合わせ窓口が一致するか、会員メニューにも案内があるかを確認します。差出人アドレスは参考になりますが、表示名だけでは確認になりません。送信ドメインが似た綴りに置き換わっていないかも見ます。
組織のメール管理者であれば、メールヘッダーのSPF、DKIM、DMARCの認証結果も確認材料になります。ただし、認証が成功しているから本文の要求が必ず正当とは限らず、逆に転送などで認証結果が崩れる場合もあります。最終的には、メールから独立した経路で公式情報に到達し、必要な操作を会員メニューから行うことが重要です。
問い合わせるなら何を聞くべきか
不安を感じてサポートへ問い合わせても、「FAQをご確認ください」という回答だけでは解決しないことがあります。問い合わせる際は、感情的に「私の情報は漏れたのか」とだけ尋ねるより、事業者が回答できる単位に分けると有効です。
- 自分の会員IDは、販売管理システムの影響可能性対象だけか、レンタルサーバー環境の951アカウントにも含まれるのか。
- 自分の契約について、初期サーバーパスワードまたはVPS管理者初期パスワードの変更対象か。
- 対象の場合、事業者側ですでに無効化・変更された認証情報は何か。利用者側で残っている操作は何か。
- 会員メニュー、サーバー、メール、VPSの各認証情報のうち、どれが今回の対象か。
- 不審なログインや設定変更が確認されているか。利用者が確認できるログの範囲と保存期間はどの程度か。
- 複数契約を持つ場合、どのサービス・サーバーが対象か。
回答を受けたら、日時、担当窓口、質問内容、回答内容を記録します。電話だけで重要な説明を受けた場合は、理解した内容をメールで確認すると認識違いを減らせます。これは事業者を追及するためだけではなく、社内で対応状況を引き継ぎ、後から新事実が出た場合に判断できるようにするためです。
「信頼を失ったから即移転」が常に正解ではない
大きな事故が起きると、すぐに他社へ移転すべきだという意見が出ます。感情としては理解できますが、移転には別のリスクがあります。DNS切り替えの失敗、メール設定の漏れ、バックアップ不足、アクセス権の誤設定、古いアプリケーションの互換性問題など、急いだ移行自体が新しい事故を生むことがあります。
事業者を継続利用するかは、今回の事故の大きさだけでなく、再発防止策の実施状況、サポート品質、必要な機能、移行可能性、社内の運用能力を合わせて判断すべきです。重要システムであれば、単一事業者に全面依存しない構成、復旧可能な外部バックアップ、DNSやドメイン管理の分離、移行手順の事前検証といった備えの方が、衝動的な全面移転より効果的な場合があります。
逆に、問い合わせへの回答が継続して曖昧で、再発防止策の進捗も示されず、自社のリスク許容度を超えると判断したなら、計画的な移転は合理的です。重要なのは、「有名だから残る」「事故が起きたから出る」という一つの要素だけで決めず、代替事業者でも同じ事故が起こり得ることを前提に比較することです。
この事故から他のサービス事業者が学ぶべきこと
今回の教訓は、さくらインターネットだけのものではありません。会員管理、契約管理、請求管理といった販売系システムは、本番サービスを直接動かしていないため、インフラ監視の優先度が低くなりがちです。しかし、そこには顧客を識別し、契約と連絡先を結び付ける高価値な情報が集約されています。サービス提供環境と分離されていることは安全上の利点ですが、分離されているから重要度が低いわけではありません。
また、初期パスワードは「一度しか使わない仮の情報」と考えられがちですが、現実には変更されずに長期間使われることがあります。発行後の初回ログインで強制変更する、短期間で失効させる、管理系システムから復元不能な形にするなど、利用者が理想どおり行動しないことを前提にした設計が必要です。
そして、事故通知は広報文書ではなく安全機能です。対象件数、影響情報、現在の状況を正確に書くだけでなく、受信者が「自分は何をすればよいか」を誤解しない構造にしなければなりません。法務上慎重な表現と、利用者が動ける具体性を両立すること。さらに、問い合わせを受ける担当者が同じ内容を説明できること。この一連の設計まで含めてインシデント対応です。
受信したメール全文（個人情報は伏せ字）
以下は筆者が受信したメールです。宛名および会員IDは安全のため伏せています。メール本文は本記事の解説本文の文字数には含めていません。
1通目：【重要】当社システムへの不正アクセスに関するお知らせ
【重要】当社システムへの不正アクセスに関するお知らせ（さくらインターネット） ○○ 様 （会員ID：xxx00000） 平素より当社サービスをご利用いただき、誠にありがとうございます。 さくらインターネット株式会社でございます。 2026年8月19日に公表いたしましたとおり、「さくらのレンタルサーバ」に対する 不正アクセスに関する調査を進める過程で、当社サービスをご利用いただいている お客さまの契約情報等を管理するシステム（以下、販売管理システム）への 不正アクセスを確認いたしました。 販売管理システムは「さくらのクラウド」をはじめとした各サービスの提供環境とは 別のシステムです。 また、当社では認証情報の無効化やアクセス遮断等の封じ込め対応を実施した後、 影響範囲の確認及び調査を継続しております。 調査の過程で、販売管理システムに保存されていたお客さまの会員情報について、 第三者による閲覧または取得の可能性があることが判明いたしました。 本メールは、影響を受けた可能性があるお客さまに対し、個人情報の保護に関する 法律に基づく本人通知としてお送りしております。 なお、現時点において、本件に起因する情報の不正利用その他の二次被害は確認されて おりません。 当該システムの切り離しは完了しており、現在確認されている不正アクセス経路による 影響拡大は防止されています。 また、クレジットカード情報については当該システムには保存されておらず、本件の 対象ではありません。 お客さまには、多大なるご心配とご迷惑をおかけしましたことを深くお詫び申し上げます。 ────────────────────────────── ■事案の概要 ────────────────────────────── 2026年8月9日、当社が管理するレンタルサーバーサービス「さくらのレンタルサーバ」の 管理環境において異常を検知し、調査を開始しました。 その後の調査により、以下の不正アクセスを確認しました。 ・「さくらのレンタルサーバ」の一部のお客さま環境への不正アクセス ・販売管理システムへの不正アクセス 販売管理システムへの不正アクセスは「さくらのレンタルサーバ」への不正アクセスを 検知した2026年8月9日より前に発生していたことを確認しています。 また、両事象の関連性について調査しましたが、関連性を示す明確な根拠は 確認されませんでした。 ────────────────────────────── ■影響を受けた可能性のあるお客さま ────────────────────────────── 販売管理システムに保存されていた会員情報について、影響を受けた可能性のある 対象は1,360,563アカウントです。 本メールは、お客さまの会員情報が当該対象に含まれているためお送りしております。 なお、お客さまによっては、すでに本件に関連するご案内をお送りしている場合があります。 ────────────────────────────── ■影響を受けた可能性のある情報 ────────────────────────────── 販売管理システムに保存されていた以下の会員情報および契約情報について、 第三者による閲覧または取得の可能性があります。 ・会員ID ・会社名 ・部署名 ・住所 ・氏名 ・電話番号 ・メールアドレス ・生年月日 ・性別 ・FAX番号 ・契約サービス ・契約期間 ・請求金額 等 ※上記は、販売管理システムに保存されていた情報項目の一覧です。 ※全てのお客さまについて上記の全情報を当社が保有しているわけではなく、また 全て第三者に閲覧・取得されたわけではありません。 ※販売管理システムに保存されていた情報には、一部の「さくらのレンタルサーバ」 および「さくらのVPS」の契約について、当社が発行した初期パスワードが含まれます。 対象となるお客さまには個別にご案内し、必要な対応をお願いしております。 また、現時点において、データの外部持出しは確認されておりません。 当社ではクレジットカード情報を保存していないため、本件の対象となる情報に クレジットカード情報は含まれておりません。 ────────────────────────────── ■二次被害またはそのおそれ ────────────────────────────── 現時点において、本件に起因する情報の不正利用その他の二次被害は確認されて おりません。 また、本件に関連する情報がインターネット上で公開された事実についても 確認されておりません。 一方で、影響を受けた可能性のある会員情報が第三者に閲覧または取得されていた 場合には、当社または関係者を装ったフィッシングメール、不審な電話、なりすまし等に 利用されるおそれがあります。 ────────────────────────────── ■お客さまへのお願い ────────────────────────────── 本件に便乗したフィッシングメール、不審な電話、SMSその他の連絡にご注意ください。 特に以下のような連絡を受けた場合は、返信や情報入力等を行わないようお願いいたします。 ・パスワードやクレジットカード情報の入力を求めるメール ・当社を装い、記載されたURLからのログインを促すメール ・パスワード変更や返金等の名目で個人情報を求める電話 ・身に覚えのない契約、請求または登録変更に関する連絡 当社から電話やメールで、パスワード、クレジットカード情報その他の認証情報を お伺いすることはありません。 なお、当社の会員メニューでは、ログイン時に2要素認証（ご登録メールアドレスへの 認証コード送信、SMS認証、または認証アプリ）を必須としております。 パスワードのみではログインできない仕組みとなっているため、会員メニューの パスワードを直ちに変更いただく必要性は高くありません。 ただし、より安全にご利用いただくための予防的措置として、以下のご確認を お勧めいたします。 ● 他サービスで使い回しているパスワードの変更 当社と同じパスワードを他のWebサービスでもご利用の場合は、不正ログインの被害を 防ぐため、他サービス側のパスワードを変更いただくことを強くお勧めいたします。 ● 会員メニューパスワードの変更 念のため変更をご希望される場合は、以下よりお手続きいただけます。 ▼会員メニューパスワードを変更したい https://help.sakura.ad.jp/purpose_beginner/2803/ ● 2要素認証設定の確認 より強固な認証方式（SMSや認証アプリ等）への変更・設定確認は以下をご確認ください。 ▼会員メニューの2要素認証のログイン方法・設定変更 https://help.sakura.ad.jp/purpose_beginner/2572/ 今後、新たにお客さまでの対応が必要であることが判明した場合は、対象となるお客さまへ 個別にご案内するとともに、当社ウェブサイトでもお知らせいたします。 今後の対応状況につきましては、2026年9月中旬を目途に次回のお知らせを予定しております。 なお、新たにお客さまへのご案内が必要と判断した場合は、上記にかかわらず速やかに ご連絡いたします。 改めまして、お客さまに多大なるご心配とご迷惑をおかけしましたことを 深くお詫び申し上げます。 今後も継続して監視を実施するとともに、再発防止および情報セキュリティ体制の さらなる強化に取り組んでまいります。 ────────────────────────────── ■本件の詳細・最新情報 ────────────────────────────── 当社システムへの不正アクセスに関するご案内およびFAQ────────────────────────────── ■不正アクセスに関するお問い合わせ窓口 ────────────────────────────── メール：support@sakura.ad.jp 電話 ：0120-378-719（受付時間：10:00～18:00／土日祝を除く） ※お問い合わせの際は、会員IDをお知らせください。 ※本メールへのご返信でもお受けいたします（ご返信の場合、原文を引用したままご送信ください） ※本メールは配信リスト作成時点の登録顧客情報に基づいて配信しております。 リスト作成後にご退会されたお客さまにも配信される場合がございます。 該当される場合は行き違いとなりますこと、ご容赦ください。 ─── さくらインターネット株式会社 カスタマーセンター ─────── ■サポートサイト
2通目：【重要】当社システムへの不正アクセスに関する調査結果のご報告
【重要】当社システムへの不正アクセスに関する調査結果のご報告 ○○ 様 （会員ID：xxx00000） 平素より当社サービスをご利用いただき、誠にありがとうございます。 さくらインターネット株式会社でございます。 このたびは、当社システムへの不正アクセスにより、お客さまに多大なるご心配と ご迷惑をおかけしましたことを、深くお詫び申し上げます。 当社は、2026年8月17日および8月19日に公表いたしました 「さくらのレンタルサーバ」および当社サービスをご利用いただいているお客さまの 契約情報等を管理するシステム（販売管理システム）への不正アクセスに関して、 外部のサイバーセキュリティ専門機関と連携し、調査を進めてまいりました。 このたび、一連の調査結果および再発防止策を取りまとめた第三報を公表いたしましたので、 ご報告申し上げます。 本メールは、第三報の公表に伴い、一連の不正アクセスに関して影響を受けた可能性がある 対象のお客さまへお送りしております。 当社による調査の結果、現時点において以下を確認しております。 ・影響を受けた可能性がある対象および情報の範囲 ・本件に起因する情報の不正利用その他の二次被害は確認されていないこと ・インターネットまたはダークウェブ上での対象情報の公開は確認されていないこと ・不正アクセスおよびそれに関連すると判断した通信・認証情報に対する封じ込め対応を完了していること 当社では、本件を重く受け止め、第三報で公表した再発防止策を着実に実施するとともに、 引き続きインターネット上およびダークウェブ上における情報の公開状況ならびに 不正利用の有無について、監視および確認を継続してまいります。 また、今後、新たにお客さまへのご案内や対応が必要であることが判明した場合には、 速やかにお知らせいたします。 本件に関する詳細な調査結果および再発防止策につきましては、以下をご確認ください。 ▼当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報） https://www.sakura.ad.jp/corporate/information/newsreleases/2026/09/10/1968225692/ ▼当社システムへの不正アクセスに関するご案内および、よくあるご質問（FAQ） https://help.sakura.ad.jp/unauth-access-faq/ 改めまして、このたびはお客さまに多大なるご心配とご迷惑をおかけしましたことを、 深くお詫び申し上げます。 ご不明な点やご不安な点がございましたら、下記窓口までお問い合わせください。 ─────────────────────────────────── ※本メールは配信リスト作成時点の登録顧客情報に基づいて配信しております。 リスト作成と前後しご退会されたお客さまにも配信される場合がございます。 該当される場合は行き違いとなりますこと、ご容赦ください。 ─────────────────────────────────── ■不正アクセスに関するお問い合わせ窓口 ─────────────────────────────────── メール：support@sakura.ad.jp 電話 ：0120-378-719（受付時間：10:00～18:00／土日祝を除く） ※お問い合わせの際は、会員IDをお知らせください。 ※本メールへのご返信でもお受けいたします（ご返信の場合、原文を引用したままご送信ください） ─── さくらインターネット株式会社 カスタマーセンター ─────── ■サポートサイト■カスタマーセンターへのお問い合わせ
参考資料
※本記事は2026年9月11日時点で公開されている情報と、筆者が受信した通知をもとにまとめたものです。新しい事実が公表された場合、評価や必要な対応が変わる可能性があります。個別の契約がパスワード変更対象かどうかは、さくらインターネットからの個別通知および会員メニューで確認してください。
コメント