さくらインターネットは2026年9月10日、不正アクセス事案の調査結果と再発防止策をまとめた「第三報」を公表しました。第三報で一連の調査は完了し、影響を受けた可能性があるのは「さくらのレンタルサーバ」の951アカウントと、販売管理システムに保存されていた1,360,563アカウントと確定しました。データの外部持ち出しや二次被害は、確認されていません。

一方で、販売管理システムへの不正アクセスは2023年4月から2026年3月までの約3年間にわたって発生していたことも明らかになりました。この記事では、第三報の要点と第一報・第二報からの変更点、対象者に届いているメールの見分け方、第三報を受けて利用者がやるべきことを、Web制作会社のTHREE D PLUSが公式発表をもとに整理します。第二報時点の基本的な解説はさくらインターネットの不正アクセスで会員情報が流出の可能性もあわせてご覧ください。

第三報の要点｜まず押さえたい7つの事実

第三報の結論は、「影響の範囲は確定した。ただし情報が実際に悪用された形跡はない」というものです。公表内容を7つの項目に整理しました。

レンタルサーバの件と販売管理システムの件は、別々の不正アクセスとして調査されています。さくらインターネットは、両者の関連性を示す明確な根拠は確認されなかったとしています。

第一報・第二報から何が変わったのか

第三報で新しく分かったのは、対象アカウント数の増加、不正アクセスが続いていた期間、パスワード情報の内訳の3点です。あわせて「持ち出しなし」が、調査途中の暫定ではなく、調査完了時点の結論になりました。

レンタルサーバの対象が583から951アカウントに増えた

第一報で583アカウントとされていたレンタルサーバの対象は、追加調査で368アカウント増え、合計951アカウントになりました。さくらインターネットによると、追加の368アカウントは発生時期や経路の面で583アカウントの件と関連する明確な根拠は見つかっていません。それでも影響の可能性を否定できないため、同じ対象として対応したと説明しています。追加分の利用者にも個別に連絡が行われています。

販売管理システムへの侵入は約3年間続いていた

第二報では「8月9日の検知より前に発生した」とだけ公表されていた販売管理システムへの不正アクセスが、2023年4月以降、2026年3月までの間に発生していたと特定されました。今回の事案が見つかったきっかけは、2026年8月9日にレンタルサーバのメンテナンス用サーバーで異常を検知したことです。販売管理システムへの侵入は、その調査の過程で見つかっています。

2025年7月以降の不審な活動痕跡も見つかった

調査の過程では、レンタルサーバの環境に2025年7月以降のものと考えられる不審な活動の痕跡も見つかりました。第三報では、この痕跡は継続的な侵害を示すものではなく、情報の不正利用もないと確認されています。

ただし、時間がたって記録が残っていないなどの制約から、今回の事案と同じものか、どこから侵入したのか、利用者の情報に影響したのかまでは客観的に確認できなかったとしています。そのため第三報の対象件数には、関連が確認できた分だけでなく、影響の可能性を否定できない分も含まれています。

これまでの経緯｜8月9日の検知から第三報まで

公表やお知らせが複数のページに分かれているため、時系列でまとめました。第三報で判明した発生時期も含めています。

影響を受けた可能性のある情報｜2つの対象を分けて確認する

「サーバーの中身」が対象になったのは951アカウントだけで、残りの利用者で対象になったのは「会員情報」です。自分がどちらに当たるかで、気にすべき内容が大きく変わります。

レンタルサーバの951アカウント｜サーバー内のデータ

951アカウントでは、利用者のサーバー領域に保存されていた次のデータが、閲覧または取得された可能性があります。

• メールデータ
• Webサイトのデータ（WordPressのデータを含む）
• ログ情報
• その他、サーバー領域内に保存されたファイル

公式FAQでは、WordPressのデータやお問い合わせフォームの内容も、この範囲に含まれうると回答しています。どのデータが実際に見られたかは、利用者ごとには特定できないとしています。対象の利用者には個別に連絡が届いています。

販売管理システムの1,360,563アカウント｜会員情報

販売管理システムは、各サービスの契約情報を管理する社内システムで、サーバーが動いている環境とは別のシステムです。閲覧または取得された可能性があるのは、次の項目です。

• 会員ID、会社名、部署名、住所、氏名
• 電話番号、FAX番号、メールアドレス
• 生年月日、性別
• 契約サービス、契約期間、請求金額など

これは保存されていた項目の一覧です。全員分のすべての項目が見られたという意味ではありません。レンタルサーバだけでなく、さくらのクラウドやVPSなど、会員登録しているすべての利用者が対象になりえます。一方、レンタルサーバ以外のサービス提供環境では、不正アクセスの兆候は確認されませんでした。

パスワード｜「ハッシュ化30件」と「初期パスワード」は別物

第三報でもっとも注意して読みたいのがパスワードの部分です。性質の違う2種類の情報が含まれていました。

利用者が初期パスワードから自分で変更したあとのパスワードは、販売管理システムには保存されていません。すでに自分で変更していれば、今回の件で不正ログインされるリスクはないと、さくらインターネットは説明しています。

自分が対象か確認する方法と、届いたメールの見分け方

対象かどうかは、さくらインターネットから個別のメールが届いているかで判断します。ただし本件に便乗した偽メールも想定されるため、メールの中のリンクは使わずに確認するのが安全です。

個別メールの差出人と内容を確認する

第三報の公表にあわせて、影響を受けた可能性がある利用者にはカスタマーセンターからメールが送られています。本物かどうかは、次の3点で確認してください。

1. 差出人アドレスが support@sakura.ad.jp になっているか（公式FAQで案内されているアドレス）
2. 本文に記載された会員IDが、自分の契約の会員IDと一致しているか
3. パスワードや認証コード、カード情報の入力を求めていないか（さくらインターネットがメールや電話で尋ねることはない）

内容を確認するときは、メール内のリンクではなく、検索やブックマークから公式サイトの「当社システムへの不正アクセスに関するご案内」ページを開いてください。メールが見当たらない場合は、迷惑メールフォルダも確認します。

解約済みでもメールが届く理由｜「解約」と「退会」は別の手続き

「サービスはもう解約したのにメールが来た」という場合でも、不審なメールとは限りません。さくらインターネットでは、サービスの解約と会員の退会は別の手続きです。解約しても退会していなければ、会員情報は残り続けます。今回の販売管理システムにはこうした会員情報も保存されていたため、現在サービスを使っていない人にもメールが送られています。今後使う予定がなければ、会員メニューから退会手続きをしておくと、情報が残り続けることを防げます。

「0120-378-719」は本物の窓口か

0120-378-719は、さくらインターネットが第二報（8月26日更新）と第三報、公式FAQに掲載している、本件専用の電話窓口です。受付時間は10:00〜18:00（土日祝を除く）です。

ただし、偽メールに本物の番号がそのまま書かれている可能性もありえます。電話をかけるときは、メールに書かれた番号ではなく、公式サイトに載っている番号を自分で確認してからにしてください。逆に、さくらインターネットを名乗って電話がかかってきても、パスワードや認証コードは伝えないでください。公式FAQによると問い合わせが集中しており、電話がつながりにくい状態や、メールの返信に数日から1週間程度かかる場合があるとのことです。

第三報を受けて利用者がやるべきこと

第三報で「利用者に新たに必要な対応」は追加されていません。そのため、8月31日のパスワード変更の案内に対応済みかを確認し、使い回しを解消するのが中心になります。次の順番で進めてください。

ステップ1｜サーバーパスワードの変更案内に対応したか確認する

8月31日、さくらインターネットは一部の利用者のサーバーパスワードを変更し、新しいパスワードをメールで案内しました。対象になったのは、次のどちらかのパスワードを使っていた契約です。

• 2026年8月17日までの申し込み時に発行された初期サーバーパスワード
• 2026年8月17日までに会員メニューから再発行したサーバーパスワード

対象サービスは、さくらのレンタルサーバ、さくらのマネージドサーバ、さくらのメールボックス、さくらのビジネスメールです。案内が届いている場合は、メールに書かれたパスワードでサーバーコントロールパネルにログインし、自分で決めたパスワードに変更してください。変更前のパスワードでは、サーバーコントロールパネル・FTP・SSHにログインできなくなっています。FTPソフトに保存しているパスワードの更新も忘れないようにしましょう。

ステップ2｜さくらのVPSは管理者の初期パスワードを変更する

さくらのVPSを契約していて、契約時に発行された管理者（root）の初期パスワードをそのまま使っている場合は、すぐに変更してください。対象の利用者には個別に案内が届いています。VPSは管理者権限を奪われるとサーバー全体を操作されてしまうため、案内の有無にかかわらず、初期パスワードのまま運用していないかを確認しておくべきです。

ステップ3｜メールパスワードを変更し、端末の設定を更新する

メールパスワードは、さくらインターネット側では変更されていません。変更は必須ではありませんが、予防措置として推奨されています。変更した場合は、Outlook、Thunderbird、iPhone、Androidなど、メールを設定しているすべての端末でパスワードの更新が必要です。社内で共有しているアドレスは、変更の前に利用者へ知らせておかないと「急にメールが受信できなくなった」という混乱が起きます。

ステップ4｜さくらと同じパスワードを使い回していたら変更する

今回の件でもっとも現実的なリスクは、さくらで使っていたパスワードを他のサービスでも使っている場合です。WordPressの管理画面、ドメイン管理サービス、他社のレンタルサーバー、Googleアカウントなどで同じパスワードを使っていれば、そちらを変更してください。WordPressの守り方はWordPressの不正ログイン対策7選で解説しています。

ステップ5｜会員メニューの2要素認証と登録情報を見直す

会員メニューはログイン時の2要素認証が必須です。パスワードだけではログインできないため、会員メニューのパスワードをすぐに変える必要性は高くないとされています。そのうえで、認証コードの送信先が今は使っていない古いメールアドレスや電話番号になっていないかを確認してください。より強い方式にしたい場合は、SMS認証か認証アプリに切り替えます。

ステップ6｜サーバー内に心当たりのない変更がないか点検する

951アカウントの対象になった場合や不安が残る場合は、サーバーの中身も点検します。さくらインターネットの案内でも、次の項目の確認が挙げられています。

• サーバー内に心当たりのないファイルが作られていないか
• Webサイトやアプリケーションに意図しない変更がないか
• WordPressなどに身に覚えのない管理者アカウントが追加されていないか
• FTPアカウントやメールアカウントなど、別に設定しているパスワードも変更が必要ではないか

なお、公式FAQによると、ドメインやDNSの設定が不正に変更された事実は確認されていません。

さくらインターネットの再発防止策

第三報では、すでに実施した対策と今後実施する対策が分けて公表されました。利用者に直接関係しそうなのは、レンタルサーバの全サーバーを再構築する計画です。

実施済みの対策

• 管理者権限とアクセス権限の総点検と厳格化
• 重要システムへの接続経路の見直しと通信制限の強化
• 認証方式と認証情報の管理方法の見直し
• EDR（端末の不審な動きを検知する仕組み）の導入範囲拡大などによる監視強化
• 管理用サーバーのセキュリティ設定の強化

このほか封じ込めの段階で、不正アクセスを受けたサーバーの再構築や、関係機関への報告も行ったとしています。第一報では、総務省や個人情報保護委員会への報告が明記されていました。

今後の対策｜レンタルサーバ全サーバーの再構築も予定

• 管理環境・社内システム・サービス提供環境の多層的なアクセス制御の強化
• 不正アクセスを早く見つけるための監視対象と検知機能の拡充
• セキュリティログの取得範囲・保管期間・分析体制の見直し
• 「さくらのレンタルサーバ」の全サーバーの再構築によるクリーンナップ
• 定期的な外部監査と第三者評価
• セキュリティ教育とインシデント対応訓練の強化
• 経営層を含む情報セキュリティガバナンスと報告体制の強化

全サーバーの再構築について、利用者側の作業が必要になるかどうかは、第三報の時点では案内されていません。サイトやメールを運用している場合は、今後のメンテナンス情報を公式サイトで確認しておくと安心です。ログの保管期間の見直しが施策に入っているのは、第三報で「記録の制約により客観的に確認できなかった」部分があったことを踏まえたものと読めます。

制作会社としての見方｜サーバーは乗り換えるべきか

第三報を受けて「別のサーバーに移したほうがいいか」という相談が増えると考えられます。結論として、今回の件だけを理由に急いで移転する必要はありません。まず自分の契約の状況を確認し、そのうえで判断するのが現実的です。

理由は、サーバーを移しても、すでに登録していた会員情報が消えるわけではないためです。また、実際の被害でもっとも起こりやすいのは、使い回したパスワードからの不正ログインや、本件に便乗したフィッシングです。これらはサーバーを移しても防げず、利用者側のパスワード管理で防ぐものです。判断の目安を表にまとめました。

951アカウントの対象で、サイトのお問い合わせフォームなどから顧客の個人情報を受け取っていた場合は注意が必要です。自社も「預かった情報が見られた可能性がある事業者」になるため、社内での整理や顧客への説明を検討してください。移転を決めた場合の進め方はサーバー移行とは？移管との違いと手順で解説しています。

よくある質問

Q. 第三報で自分の情報が漏えいしたと確定したのですか？
A. 確定したのは「閲覧または取得された可能性がある範囲」です。1,360,563アカウントすべての情報が実際に見られたと確認されたわけではなく、誰のどの情報が見られたかは特定できないとされています。データが外部に持ち出されたことを裏付ける事実も確認されていません。

Q. 951アカウントと1,360,563アカウントは別々の人数ですか？
A. 重複しています。1,360,563アカウントには、レンタルサーバの951アカウントの利用者も含まれます。合計すると136万件強で、足し算する必要はありません。

Q. クレジットカード情報は漏れていますか？
A. 漏れていません。さくらインターネットはクレジットカード情報を保持しておらず、入力画面の改ざんも確認されていないため、カード番号漏えいの恐れはないと公表しています。

Q. メールが届いていなければ、何もしなくていいですか？
A. 個別の案内がなければ対象ではない可能性が高いですが、登録情報の不備などで案内が届かない利用者には、第三報の公表をもって通知に代えるとされています。予防として、パスワードの使い回しがないかは確認しておきましょう。

Q. 会員メニューのパスワードは変更するべきですか？
A. 会員メニューはログイン時の2要素認証が必須のため、すぐに変える必要性は高くないとされています。ただし、同じパスワードを他のサービスでも使っているなら、他のサービス側は変更してください。

Q. さくらインターネットから電話でパスワードを聞かれました。答えてもいいですか？
A. 答えないでください。さくらインターネットは、メールや電話でパスワード、認証コード、クレジットカード情報を尋ねることはないと明言しています。不審に感じたら電話を切り、公式サイトに載っている窓口へ自分から問い合わせてください。

Q. 続報はありますか？
A. 第三報で一連の調査は完了しました。今後は、新たに公表すべき事実が見つかった場合や、利用者側の対応が必要になった場合に、個別の案内と公式サイトで知らせるとしています。インターネット上やダークウェブでの情報公開と不正利用の監視は継続されます。

まとめ

第三報で、さくらインターネットの不正アクセス事案は調査完了となりました。押さえておきたいポイントは次のとおりです。

• 対象はレンタルサーバ951アカウントと、会員情報1,360,563アカウント（重複あり）
• 販売管理システムへの不正アクセスは2023年4月〜2026年3月に発生していた
• データの持ち出し、不正利用、ダークウェブ等での公開は確認されていない
• 初期パスワードのまま使っていた契約は、パスワードの変更が必要
• 使い回しの解消と、便乗した偽メール・偽電話への警戒がもっとも効果的な対策

最新の情報は、さくらインターネットの「当社システムへの不正アクセスに関するご案内」ページで確認してください。THREE D PLUSでは、サーバーやメールのパスワード変更に伴う設定作業、サイト内の点検、サーバー移転のご相談を承っています。「どこまで対応すればいいか分からない」という段階でも、お問い合わせからお気軽にご連絡ください。