さくらインターネットで583アカウントに不正ログイン 「顧客領域」まで到達：マルウェアも設置

さくらのレンタルサーバで、一部顧客環境への不正アクセスが判明した。確認された不正ログインは583アカウント。さらに顧客環境へのマルウェア設置も確認され、顧客情報だけでなく「通信の秘密」に該当する情報にもアクセス可能な状態だったという。何が起こったのか。

[田渕聖人，＠IT]

　さくらインターネットは2026年8月17日、「さくらのレンタルサーバ」の一部顧客環境に対する第三者による不正アクセスを確認したと発表した。

　同社の調査によると、不正ログインが確認されたのは583アカウント。一部のサーバには攻撃者によってマルウェアが設置されていた他、顧客情報や「通信の秘密」に該当する情報にアクセス可能な状態になっていたという。

　一部の顧客情報を含む個人データについては、第三者による閲覧または取得の可能性も確認している。ただし、具体的にどの情報が実際に閲覧・取得されたのか、侵入経路や発生時期、影響を受けた範囲などは現在も調査中としている。

583アカウントに侵入、マルウェアも設置　攻撃者は顧客領域へ到達

　同社は2026年8月9日、管理するサーバ環境で異常を検知し、調査を開始した。一方、現時点では顧客環境の改ざんなどについて、顧客からの被害申告は確認されていないとしている。ただし、被害がなかったことが確認されたという意味ではなく、同社は引き続き影響範囲を調査している。

　なお、現時点で「さくらのVPS」「さくらのクラウド」「さくらの専用サーバ PHY」「高火力 PHY」への影響は確認されていないという。その他のサービスについても、影響の有無を調査している。

　今回の不正アクセスでは、一部の顧客情報を含む個人データについて、第三者による閲覧または取得の可能性が確認されている。

　現時点で、漏えいした可能性がある情報として同社が挙げているのは「顧客領域内に保存された情報」と「利用者識別子」。ただし、顧客領域内に保存された情報の具体的な内容や対象範囲については、現在も調査中としている。

　また、攻撃者が顧客情報だけでなく「通信の秘密」に該当する情報にアクセス可能な状態だったことも確認している。ただし、「アクセス可能な状態だった」ことと「実際に閲覧・取得された」ことは同義ではない。同社は、一部の個人データについて閲覧または取得された可能性を確認しているが、「通信の秘密」に該当する情報が実際に閲覧・取得されたかどうかを含め、詳細は調査中だ。

　同社は今回の事案について、社内の専門部署および外部専門機関と連携してフォレンジック調査を実施。侵入経路、発生時期、影響範囲、第三者がアクセスした情報の内容などを調べている。

　確認後は、不正アクセスに利用された可能性のある認証情報を失効させ、アクセスの遮断やマルウェアの除去などの封じ込め措置を実施した。また、関連システムの監視を強化するとともに、さくらのレンタルサーバのデータベースアップグレード機能やプラン変更、移行ツールなど、一部機能を制限している。

　総務省や個人情報保護委員会など関係機関への報告・情報共有も進めている他、影響を受けた可能性のある顧客環境の特定と対象顧客への個別連絡を開始した。

さくらインターネットは、既存ユーザーに注意を呼び掛けている（プレスリリースから引用）

　同社によると、対象となる顧客には登録メールアドレス宛てに個別に案内しているという。今後、パスワード変更など顧客側で追加対応が必要になった場合も、対象顧客への個別案内とWebサイトでの告知をするとしている。