【2026年9月11日追記】さくらインターネットは2026年9月10日、調査結果と再発防止策をまとめた第三報を公表しました。レンタルサーバの対象は583アカウントから951アカウントに増え、販売管理システムへの不正アクセスは2023年4月〜2026年3月に発生していたことが判明しています。データの外部持ち出しや二次被害は確認されていません。最新の内容はさくらインターネット不正アクセス第三報の要点で解説しています。以下は第二報の時点（2026年9月1日）の情報をもとにした内容です。

さくらインターネットで発生した不正アクセスにより、同社の販売管理システムに保存されていた会員情報が第三者に閲覧・取得された可能性があることが公表されました。影響を受けた可能性のあるアカウント数は1,360,563アカウント。2026年8月31日には、対象となる利用者へ個別の通知メールが届き始めています。当社にも通知が届いたため、内容を精査したうえで整理しました。この記事では、何が起きたのか、どの情報が漏れた可能性があるのか、そして利用者が優先度順に何をすべきかを、Web制作会社の実務目線で解説します。

結論｜まずこの3つだけやってください

詳しい説明の前に、今すぐやるべきことを先にお伝えします。時間がない方はここだけでも実行してください。

1. さくらのレンタルサーバ・VPSを使っているなら、サーバーとメールのパスワードを変更する（最優先）
2. さくらと同じパスワードを他サービスでも使い回しているなら、その他サービス側を変更する
3. 今後届く「さくらを名乗るメール」のリンクは踏まない。ログインは必ずブックマークか検索から自分で開く

逆に、さくらの会員メニュー（コントロールパネル）のパスワードについては、同社が「直ちに変更いただく必要性は高くありません」と案内しています。理由は後述しますが、2要素認証が必須になっているためです。慌てて全部やろうとして手が止まるより、上の3つを確実に済ませるほうが実効性があります。

何が起きたのか｜「2つの不正アクセス」を分けて理解する

この件がわかりにくいのは、性質の違う2つの不正アクセスが同時に報じられているためです。混同すると「自分のサイトが乗っ取られたのか」と過剰に不安になったり、逆に「名簿が漏れただけか」と油断したりします。まずここを分けて整理します。

1つ目｜レンタルサーバへの不正ログイン（第三報で951アカウント）

ひとつ目は、「さくらのレンタルサーバ」の一部利用者の環境に対する不正ログインです。第一報（8月17日）の時点では、対象は583アカウントとされていました。攻撃者がアクセス可能な領域に到達し、マルウェアが設置されたことも確認されています。こちらは「お客さまのサーバー環境そのものに侵入された」ケースで、被害としては重いものです。

第三報（2026年9月10日）では、追加調査で368アカウントが加わり、対象は合計951アカウントになりました。該当する場合はさくらから個別に案内が届いています。心当たりのない方は、こちらの対象ではありません。

2つ目｜販売管理システムへの侵入（約136万アカウント）

ふたつ目が、今回多くの人に通知が届いている本題です。販売管理システムとは、さくらインターネットが利用者の契約情報や会員情報を管理している社内システムのこと。サーバーが動いている環境とは別のシステムです。

イメージとしては、「サーバー室そのもの」ではなく「契約者名簿が入っている事務所の書庫」に侵入された、という形が近いでしょう。サイトのデータやWordPressの中身が書き換えられたわけではありませんが、誰がどのサービスをいくらで契約しているかという情報がまとめて見られた可能性があります。

影響を受けた可能性のある総数は1,360,563アカウントで、これには上記のレンタルサーバの対象アカウントも含まれます。なお、さくらインターネットは「1,360,563アカウントすべてが漏えいしたという事実は確認されておりません」とも明記しており、あくまで可能性のある最大範囲という位置づけです。

時系列で整理する

注目したいのは、販売管理システムへの侵入のほうが先に起きていたという点です。8月9日の検知はレンタルサーバ側の異常がきっかけであり、名簿システムへの侵入はそれ以前から発生していました。なお同社は、この2つの事象の関連性について「明確な根拠は確認されなかった」としています。

漏えいした可能性のある情報｜対象と対象外

販売管理システムに保存されていた情報のうち、第三者に閲覧・取得された可能性があるのは以下です。「保存されていた項目の一覧」であり、全員分の全項目が漏れたという意味ではない点に注意してください。

実務上いちばん重いのが初期パスワードです。契約時にさくら側から発行されたパスワードを一度も変更せずに使い続けている場合、そのパスワードがそのまま流出した可能性があることになります。該当する契約には個別に案内が届いているはずですが、案内の有無にかかわらず、初期パスワードのまま運用しているサーバーがあれば今すぐ変更してください。

なお現時点では、データの外部持ち出しは確認されておらず、流出情報がインターネット上に公開された事実も確認されていません。ここは冷静に受け止めてよい部分です。

自分が対象かどうかを確認する方法

確認方法はシンプルで、さくらインターネットから個別通知メールが届いているかどうかです。件名は「【重要】当社システムへの不正アクセスに関するお知らせ」で、本文の冒頭に契約者名と会員IDが記載されています。

• 記載されている会員IDが、自分の契約と一致しているか確認する
• 迷惑メールフォルダに振り分けられていないか確認する
• 退会済みの場合でも、配信リスト作成時点の情報に基づき届くことがある

ただしここに落とし穴があります。この通知メールを装った偽メールが、これから確実に出てきます。本物かどうかの判断は、メール内のリンクではなく、後述する方法で行ってください。

利用者がやるべき対応｜優先度順の4ステップ

優先度1｜サーバー・メールのパスワードを変更する

さくらのレンタルサーバ・VPSを利用している場合、サーバーのパスワードとメールアカウントのパスワードの変更が最優先です。特に初期パスワードのまま使っているものは即時に変更してください。

変更対象になりやすいのは次のあたりです。制作会社に運用を任せている場合も、どれが該当するか棚卸ししておくと話が早くなります。

• サーバーコントロールパネルのログインパスワード
• FTP／SFTPのパスワード
• 独自ドメインのメールアカウントのパスワード（受信・送信の設定に入っているもの）
• データベース（MySQL）のパスワード ※変更する場合はWordPressのwp-config.phpの書き換えが必要

メールのパスワードを変更した場合は、Outlook・Thunderbird・スマホのメールアプリなど、受信設定をしている端末すべてで再設定が必要になります。社内で共有しているアドレスがある場合は、変更前に周知しておかないと「メールが受信できない」という問い合わせが一斉に来ます。作業は業務時間外や週末に寄せるのが安全です。

優先度2｜使い回しているパスワードを変更する

今回の件で、実はいちばんリスクが高いのがここです。さくらで使っていたパスワードを他のサービスでも使い回している場合、そちらへの不正ログイン（いわゆるパスワードリスト攻撃）につながる可能性があります。

Web制作・サイト運用の現場でありがちな使い回し先を挙げておきます。心当たりがあれば変更してください。

• WordPressの管理画面
• 他社レンタルサーバー（エックスサーバー、ロリポップなど）
• ドメイン管理サービス（お名前.com、ムームードメインなど）
• Google・Microsoftアカウント
• ECカート、予約システム、MAツールなどの管理画面

この機会にパスワード管理ツールを導入し、サービスごとに異なるパスワードを使う運用へ切り替えるのが根本的な解決策です。使い回しをやめておけば、次に別のサービスで同じような事故が起きたときも被害が波及しません。

優先度3｜会員メニューのパスワードと2要素認証を確認する

さくらの会員メニューは、ログイン時に2要素認証が必須になっています。登録メールアドレスへの認証コード送信、SMS認証、認証アプリのいずれかが必要なため、パスワードだけ知られていてもログインはできません。これが「直ちに変更する必要性は高くない」とされる理由です。

とはいえ予防的措置として、次の2点は確認しておくとよいでしょう。

• 会員メニューのパスワードを念のため変更する
• 2要素認証の方式を確認し、より強固なSMS認証や認証アプリへ切り替える

特に、認証コードの送信先が今は使っていない古いメールアドレスのままになっていないかは確認しておいてください。いざというときにログインできない、という別のトラブルにつながります。

優先度4｜サイト側に異常がないかを点検する

販売管理システムの件だけであればサイト自体への直接的な影響はありませんが、レンタルサーバの対象アカウント（第三報で951アカウント）ではマルウェアの設置が確認されています。不安であれば点検しておくに越したことはありません。

• WordPressの管理ユーザー一覧に、身に覚えのないユーザーが増えていないか
• サーバー上に見覚えのないPHPファイルが置かれていないか（更新日時でソートすると見つけやすい）
• index.phpや.htaccessの更新日時が不自然に新しくないか
• Google Search Consoleに「セキュリティの問題」の警告が出ていないか
• ドメイン・DNSの設定が勝手に書き換えられていないか

この点検は、当社のような制作会社に依頼していただければ代行できる範囲です。自力での判断が難しい場合は、無理に触る前にご相談ください。

本当に警戒すべきは「精度の高いフィッシング」

今回の事案で、実害として最も現実的なのがフィッシング詐欺です。理由は単純で、攻撃者側が「あなたの会社名・氏名・契約サービス・請求金額」まで知っている前提で連絡してくる可能性があるからです。

従来の「日本語が不自然な迷惑メール」とは精度が違います。契約中のサービス名や実際の請求額が本文に書かれていれば、多くの人は本物だと判断してしまいます。

典型的な手口

だまされないための3つのルール

1. メール内のリンクからログインしない。ブラウザのブックマークか検索から、自分で公式サイトを開いてログインする
2. 認証コードは絶対に口頭で伝えない。さくらから電話やメールでパスワード・カード情報・認証情報を尋ねることはありません
3. 急かされたら一度止まる。「本日中に」「24時間以内に停止」といった時間的プレッシャーは詐欺の常套手段です

判断に迷ったら、メールには返信せず、さくらインターネットの本件専用窓口（0120-378-719／平日10:00〜18:00）に自分から電話して確認するのが確実です。

サイトを預かっている制作会社・社内担当者がやるべきこと

クライアントのサイトをさくらインターネットで運用している場合、通知メールはクライアント側の担当者に届いています。放置すると「よくわからないから」と無視されるか、逆に偽メールに反応してしまうかのどちらかになりがちです。先回りして案内を出しておくことをおすすめします。

• 自社が管理しているさくら契約を一覧化し、対象かどうかを整理する
• 初期パスワードのまま運用している契約がないか棚卸しする
• パスワード変更の作業範囲と、メール再設定が必要な端末を洗い出す
• クライアントへ「これから偽メールが来る」旨を事前に周知する
• 社内でパスワードを共有している場合、共有方法（チャット・メモ・スプレッドシート）を見直す

この手のインシデントは、事故そのものより「利用者が混乱している隙を突く二次被害」のほうが件数として多くなります。先に一報を入れておくだけで防げるケースは少なくありません。

今後の見通し

さくらインターネットは2026年9月10日に第三報を公表し、外部専門機関と連携した一連の調査は完了しました。第三報の詳細はさくらインターネット不正アクセス第三報の要点をご覧ください。新たに利用者側での対応が必要と判明した場合は、対象者へ個別案内するとともに同社サイトでも公表するとしています。

今後も新たな事実が判明すれば、情報が更新される可能性があります。最新情報は必ず公式のご案内ページで確認してください。

• 公式FAQ：当社システムへの不正アクセスに関するご案内
• 本件専用窓口：0120-378-719（平日10:00〜18:00）／support@sakura.ad.jp

まとめ

今回の件は、サイトのデータが消えたり書き換えられたりする種類の事故ではありません。しかし「誰が・どのサービスを・いくらで契約しているか」という名簿が外に出た可能性があるという点で、これから届く連絡すべてを疑ってかかる必要が生まれました。

• 影響を受けた可能性があるのは1,360,563アカウント。対象者には個別通知が届いている
• クレジットカード情報は対象外。データの外部持ち出しも現時点では未確認
• 最優先はサーバー・メールのパスワード変更、特に初期パスワードのままの契約
• 次に重要なのが、他サービスで使い回しているパスワードの変更
• 会員メニューは2要素認証が必須のため、変更の緊急性は相対的に低い
• これから来る「さくらを装った偽メール・偽電話」への警戒が、最も実効性のある対策

当社ではサーバーの保守運用・移転のご相談を承っています。「自分の契約が対象かわからない」「パスワード変更の影響範囲が読めない」「サイトに異常がないか点検してほしい」といった内容でも構いませんので、お困りの際はお問い合わせフォームよりお気軽にご相談ください。