136万563アカウント。さくらインターネットが8月19日に示したこの数字は、漏えいが確定した件数ではありません。同社は「現時点で影響が確定した数ではない」と書き、外部持出しも確認されていないとしています。それでも、調査の結果を待たずに動いたほうがいいことがあります。
さくらインターネットは2026年8月19日、8月17日に公表した「さくらのレンタルサーバ」への不正アクセスについて第二報を出した。調査の過程で、顧客の契約情報などを管理する販売管理システムへの不正アクセスの可能性が新たに判明した。当該アクセスはレンタルサーバへの不正アクセスを検知した8月9日以前の事象であり、関連性は調査中である。対象となる可能性のある会員情報は1,360,563アカウントだが、同社は影響が確定した件数ではないとしている。
ハッシュ化されたパスワード情報については30アカウントへの影響の可能性が確認された。データの外部持出しは確認されておらず、クレジットカード情報は保持していない。同社は認証情報の失効、マルウェアの除去、外部専門機関によるフォレンジック調査を進めている。
From: 
当社システムへの不正アクセスに関するお知らせ（第二報）
【編集部解説】
136万563は、何の数字か
136万563という数字は、漏えいが確定した件数ではありません。さくらインターネットが示したのは、顧客の契約情報などを管理する販売管理システム上で、対象となる可能性のある会員情報の総数です。同社はリリースに「現時点で影響が確定した数ではありません」と明記し、データの外部持出しも確認されていないとしています。
この線引きは、読み手が自分の行動を決めるときに効いてきます。調査対象の外枠が136万であることと、実際に何件が閲覧または取得されたのかは、別の問いです。前者は今日示されていて、後者は調査の結果を待つことになります。二つを混ぜると、必要以上の不安と、必要な行動の遅れが同時に起きます。
では自分は対象なのか。同社は同じ日に公開したFAQで、個別の顧客が対象に含まれるかを確定的に案内できる段階にないとし、連絡が必要と判断した顧客にはあらためて案内するとしています。そして対象範囲は「さくらのレンタルサーバ」の利用者に限られないとも書いています。対象となりうる情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などが含まれます。自分には関係がないと決めてしまわないほうが安全です。
「8月9日以前」という一行
今回の発表でもっとも重い一行は、件数ではなく時間の話でした。販売管理システムへのアクセスは、レンタルサーバへの不正アクセスを検知した8月9日以前に発生した事象だと書かれています。
少なくとも、8月9日の検知までに、販売管理システムに関わる事象も起きていたことになります。そしてこの件は、レンタルサーバ事案を追う過程で確認されました。インシデント対応が、検知した一点の周辺を掘り返していく作業であることが、そのまま表に出た形です。両者が同じ攻撃活動だったのか、侵入経路は何だったのかは、いずれも調査中とされています。
ハッシュ化されている、で終わらせない
パスワードについては、ハッシュ化された情報30アカウントへの影響の可能性が確認されています。ハッシュ化は元のパスワードへの復元を困難にした状態を指し、平文のまま保管されていた場合とはリスクの性質が異なります。もっとも、推測への耐性はアルゴリズムやコスト設定、ソルトの有無、そしてパスワード自体の強度に左右され、そこまでは公表されていません。
つまり「ハッシュ化されているから安全」とは言い切れません。さくら自身、FAQで予防的措置としてパスワードの変更を勧めています。「さくらのレンタルサーバ」の利用者にはサーバーパスワード（FTP）とメールアカウントのパスワードの変更を、それぞれ手順ページとともに案内しています。同じパスワードを他のサービスでも使っているなら、そちらも別々のものに変えておく。ここは調査の結果を待つ理由がありません。
もう一つ、フィッシングへの警戒です。同社は、パスワードやクレジットカード情報をメールや電話で尋ねることは一切ないと明言し、不審なメールが届いても本文中のURLへのアクセスや添付ファイルの開封をしないよう求めています。この2点は、これから届く「さくらを名乗るメール」を疑うための手がかりになります。大きな事案の後には、それに便乗したフィッシングや不審な連絡が現れることがあります。
2日で出た、自社に不利な情報
時系列を並べると、8月9日に異常を検知、8月17日に第一報、8月19日に第二報。第二報は同日、東京証券取引所のTDnetでも適時開示されました。
第二報が加えたのは、自社にとって不利な情報です。第一報の583アカウントは「不正ログインの対象」、今回の136万563は「対象となる可能性のある会員情報の総数」であり、性質の異なる数字です。そして後者には前者が含まれます。当初示した範囲の外側に、より広い調査対象があったという報告でした。
検知から第一報までは8日、第一報から第二報までは2日です。前半をどう見るかは、社内で何をどこまで確認していたかが発表からはわからないため、判断を保留します。一方、後半の2日で何が出てきたかは、公表物だけで確かめられます。だから速さそのものではなく、その日数で何をどこまで書けたかを見るようにしています。たとえば第二報では、影響を受けた可能性のある情報の一覧が本文中の画像で示されていますが、同じ日に公開されたFAQでは同じ内容がテキストで読めます。8月12日の事象発生から2日後に技術的な詳細まで公表したMedi Face、発覚から5日で経緯を並べた葬祭事業者、約10日で復旧の経過を説明したニチレイ、作業誤りの手前にある手順書の記載まで書いたデジタル庁。さくらインターネットの第二報は、この並びに置いて読める内容です。
認証が保証していること、していないこと
認証の話もしておきます。さくらインターネットはISMSを全社に適用し、「さくらのクラウド」はISMAPのクラウドサービスリストに登録されています。ほかにISMSクラウドセキュリティ認証、「さくらのクラウド」を対象としたISO/IEC 27018:2019認証、プライバシーマーク、データセンターのファシリティサービスを対象としたPCI DSSへの準拠があります。また、石狩データセンターを対象としたSOC 2 Type 2・SOC 3、「さくらのクラウド」を対象としたSOC 2 Type 1の保証報告書を受領しています。それぞれに適用範囲が定められており、今回の販売管理システムがどこまで含まれるかは公表されていません。
認証があるのに起きた、という受け取り方はあります。ただ、これらの認証、登録、準拠、保証報告書は、評価の対象も仕組みも同じではありません。共通しているのは、事故が起きないことを保証するものではなく、定められた範囲の管理や統制を第三者が確認する材料だという点です。
同社は7月の決算説明資料で、提供サービスへの攻撃に対応するPSIRTと、社内システムを保護するCSIRTを合わせてSAKURA.SIRTとして活動していると説明しています。そして今回の発表には、外部専門機関によるフォレンジック調査、関係機関（第一報では総務省と個人情報保護委員会が挙がっています）への報告、対象顧客への個別通知、そして第二報と同じ日に立ち上がったFAQが並びました。どの組織がどこを担っているかは公表されていません。それでも、対応が動いていること自体は、公表物から読み取れます。
2026年3月、デジタル庁のガバメントクラウドにおいて、さくらインターネットの「さくらのクラウド」が対象クラウドサービスとして正式に採択されました。同社は国産事業者として初めて、複数年度での採択となっています。その基盤を担う事業者で何が起きたのかを、どこまで具体的に語れるか。今後、侵入経路や再発防止策が公表されれば、さくらインターネット一社にとどまらず、同じ役割を担う国内事業者にとっての参照材料になり得ます。件数の更新だけでなく、そちらにも注目したいと思います。
【関連記事】
【解説】ニチレイ、サイバー攻撃から10日で復旧の”なぜ”─広まる説明と、まだ出そろわない答え
復旧の速さをどう評価するか。公表物から確かめられることと、推測にとどまることの線引きを扱った記事。
Medi Face、検知から約41時間でサイバー攻撃の技術情報を公表｜GSC所有権奪取などを報告
事象発生から2日以内に手口まで公開した事例。公表までの日数と、その日数で書けた内容の関係を追っている。
さくらインターネット×三菱総合研究所、ソブリン領域を見据えて公共DXを支援へ
ソブリンクラウドの政策文脈と、同社が公共領域で進めてきた取り組みの位置づけを整理している。
さくらインターネット、飛騨市に国内完結型生成AIを提供─RAG活用で行政業務を効率化
自治体との実証実験の事例。国内完結型の基盤が行政業務でどう使われるかを具体的に伝えている。
【編集部後記】
公式FAQに「今、自分は何をすればいいですか」という設問が立っていました。企業のお知らせでは「お客さまへのお願い」という項目名になるところです。主語が、会社から読者へ移っています。
調査が続くあいだ、読者にできることは多くありません。だからこそ、その数少ない行動を読者自身の言葉で見出しにするかどうかで、届き方は変わります。パスワード変更の手順ページへのリンクは、その設問のすぐ下に置かれていました。
【用語解説】
販売管理システム
さくらインターネットが顧客の契約情報などを管理する社内システムの呼称。同社の説明では、「さくらのクラウド」をはじめとする各サービスの提供環境とは別のシステムにあたる。
ハッシュ化
元のデータを一方向の計算で変換し、元の値への復元を困難にする処理。パスワードの保管に用いられる。推測への耐性は、用いるアルゴリズム、計算の反復回数などのコスト設定、ソルトの有無、そしてパスワード自体の強度によって変わる。
ソルト
ハッシュ化の前にパスワードへ付加するランダムな文字列。同じパスワードでも異なるハッシュ値になるため、あらかじめ計算した対応表を用いる攻撃を成立しにくくする。
フォレンジック調査
侵害を受けた機器やログなどのデジタル証拠を保全、分析し、いつ何が起きたのかを技術的に再構成する調査。侵入経路や影響範囲の特定、確認などに用いられる。
CSIRT／PSIRT
前者は組織内のセキュリティ事案に対応する専門チーム、後者は自社が提供する製品やサービスへの攻撃に対応する組織。さくらインターネットは両者を合わせてSAKURA.SIRTとして活動している。
ISMAP
政府情報システムのためのセキュリティ評価制度。日本政府のセキュリティ要求に基づき、登録監査機関の監査とISMAP運営委員会の審査を経たクラウドサービスをリストへ登録する。さくらインターネットは「さくらのクラウド」で登録されている。
ISMS認証／ISMSクラウドセキュリティ認証
前者は情報セキュリティマネジメントシステムの国際規格 ISO/IEC 27001 に基づく第三者認証。後者は国内認証基準 JIP-ISMS517-1.0（ISO/IEC 27017:2015 に基づく）により、クラウドサービス固有の管理策を加えたもの。いずれも登録範囲と対象事業所が定められる。
ISO/IEC 27018
パブリッククラウドで個人識別情報を処理する事業者向けに、その保護のための管理策と指針を定めた国際規格。現行版は2025年版で、さくらインターネットが公表している認証の適用規格は2019年版。
PCI DSS
クレジットカード情報を安全に取り扱うためのセキュリティ基準。12の主要要件で構成され、評価対象となる環境や適用条件に応じて各要求事項への対応が求められる。
プライバシーマーク
JIS Q 15001 に準拠した個人情報保護マネジメントシステムを構築、運用している事業者に付与される制度。
SOC 2・SOC 3
米国公認会計士協会が定める規準に基づき、受託業務に関わる内部統制を独立監査人が評価した保証報告書。一時点の設計を対象とする Type 1 と、一定期間の運用状況まで対象とする Type 2 がある。SOC 2は限定的な開示、SOC 3は一般公開が想定されている。
適時開示（TDnet）
上場会社が投資判断に重要な影響を与える情報を、証券取引所の開示システムを通じて公表する仕組み。
ガバメントクラウド
デジタル庁が整備する政府共通のクラウドサービス利用環境。事業者ごとに対象クラウドサービスが採択され、中央省庁および地方公共団体での利用が進められている。
【参考リンク】
さくらインターネット株式会社（外部）
国内独立系のデータセンター事業者。クラウド、レンタルサーバ、GPU基盤などを提供する。企業情報とニュースリリースを掲載。
当社システムへの不正アクセスに関するご案内（外部）
第二報と同じ日に公開された顧客向けの案内ページ。対象件数、影響の可能性がある情報、予防的なパスワード変更の案内と手順ページへのリンクを掲載。
情報セキュリティへの取組み｜さくらインターネット（外部）
取得している認証と登録の一覧。ISMAPの登録番号、ISMSの登録範囲、PCI DSSの適用要件、SOC報告書の対象が確認できる。
サーバーパスワードの変更・再発行をしたい（外部）
第二報のFAQから案内されている手順ページ。さくらのレンタルサーバのサーバーパスワードを変更、再発行する方法を掲載している。
メールパスワードを変更したい（外部）
同じくFAQから案内されている手順ページ。メールアカウントのパスワードを変更する手順を、画面例とともに解説している。
ISMAPポータルサイト（外部）
政府情報システムのためのセキュリティ評価制度の公式サイト。登録されたクラウドサービスの一覧と、制度の審査の仕組みを掲載している。
【参考記事】
当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて（外部）
8月17日公表の第一報。8月9日の異常検知、不正ログイン583アカウント、マルウェア設置、利用者への確認項目を示している。
「当社システムへの不正アクセスに関するお知らせ」について（外部）
8月19日に東京証券取引所の開示システムへ提出された文書。上場会社としての適時開示が同日に行われたことを確認できる。
さくら、別のシステムでも不正アクセスか 会員情報136万アカウントが漏えいの可能性 調査で判明（外部）
影響を受けた可能性のある情報の項目と、ハッシュ化パスワード30アカウントの内訳を具体的に列挙している。
さくらインターネットの販売管理システムに不正アクセス、最大約136万アカウントの契約情報が閲覧された可能性（外部）
第一報と第二報の差分を整理した記事。販売管理システムへのアクセスが8月9日以前の事象である点を明記している。
