8月31日、さくらインターネットが一部の利用者のサーバーパスワードを、本人の操作を経ずに変更しました。FTPが急に通らなくなった方もいるはずです。理由は、契約時に発行された初期パスワードが同社のシステム内に保存されており、そのシステムが不正アクセスを受けていたためでした。
さくらインターネットは2026年8月31日、販売管理システムへの不正アクセスに関連し、「さくらのレンタルサーバ」「さくらのマネージドサーバ」「さくらのメールボックス」「さくらのビジネスメール」の一部利用者のサーバーパスワードを同社側で変更したと公表した。対象は、2026年8月17日までに申込時に発行された初期サーバーパスワード、または会員メニューから再発行したパスワードをそのまま使用している契約である。
変更前のパスワードでは、サーバーコントロールパネル、FTP接続、SSH接続にログインできない。対象者には個別にメールで新しいパスワードを案内している。同社は8月26日にも、「さくらのVPS」の管理者初期パスワードが自社システム内へ保存されていたとして、利用者に変更を求めるFAQを公開した。
From: 
【重要】サーバーパスワードおよびメールパスワード変更のお願い
【編集部解説】
まず、自分が対象かどうか
今回のお知らせで最初に確かめたいのは、自分が対象かどうかです。条件ははっきりしています。2026年8月17日までに申込時に発行された初期サーバーパスワード、または会員メニューから再発行したサーバーパスワードを、そのまま使い続けている契約が対象です。
逆に、サーバーコントロールパネルで自分の値に変更していれば対象外です。8月18日以降に発行・再発行されたもの、ビジネスプラン以上の追加ユーザーパスワードも対象外とされています。判定の中心は、8月17日までにさくらインターネットが発行・再発行した値を、いまも使っているかどうかです。
対象サービスは「さくらのレンタルサーバ」「さくらのマネージドサーバ」「さくらのメールボックス」「さくらのビジネスメール」の4つです。変更前のパスワードでは、サーバーコントロールパネル、FTP接続、SSH接続のいずれもログインできません。デプロイやバックアップを自動化している環境では、人が気づくより先にジョブが落ちている可能性があります。
なぜ事業者がパスワードを持っていたのか
ここで気になるのは、なぜ事業者側がパスワードを持っていたのか、という点でしょう。さくらインターネットは8月26日に公開した「さくらのVPS」向けのFAQで、その沿革を自ら説明しています。過去の提供方式では、サービス開通時に管理者初期パスワードを発行して利用者へ通知していた。その後、より安全な認証情報管理を目的として非保持化を段階的に進め、2022年9月1日以降の新規契約では利用者自身が設定する方式へ移行した、という流れです。
つまり今回影響を受けるのは、その移行より前から使い続けてきた契約が中心になります。長く使っている人ほど当てはまりやすい、という性質の事案です。ただし同FAQには、2022年9月1日以降の契約でも一部が対象になる場合があるという注記が添えられています。最終的な判定は契約時期ではなく、案内メールが届いているかどうかと、初期パスワードのまま使っているかどうかです。
レンタルサーバとVPSで、対応が分かれた理由
レンタルサーバとVPSでは、対応の形が分かれました。レンタルサーバ側は事業者がパスワードを変更したうえで新しい値をメールで通知していますが、VPS側は利用者自身での変更を求める案内にとどめています。VPSの管理者パスワードはOSの内部にあり、事業者が書き換える操作は利用者の環境そのものに手を入れることになります。同FAQがログイン不能時の手順としてシングルユーザーモードでのリセットを案内していることからも、ここが利用者の領域であることが分かります。共用環境と占有環境の境界が、そのまま対応の違いとして表れたと読めます。
「漏えいを確認した」とは書かれていない
読み方として押さえておきたいのは、同社が「漏えいを確認した」とは述べていない点です。表現は、レンタルサーバ側が「対象となるパスワード情報へアクセス可能な状態であったことを確認」、VPS側が「初期パスワードが当社システム内へ保存されていたことを確認」です。閲覧や取得が確定したという意味ではありません。
一方でVPSのFAQには、現在利用中の管理者パスワードが初期パスワードと異なる場合は本件による不正ログインのリスクが低減されている、という記述があります。同社が「初期パスワードのままなら、それが不正ログインに使われうる」という前提で動いていることは、この一文から読み取れます。保存されていた値がどのような形式だったのかは公表されておらず、8月19日の第二報で示されたハッシュ化パスワード30アカウントとの関係を含め、9月中旬を目途とする次回のお知らせで整理が進むことになります。
今日、手を動かす順番
いま手を動かすなら、順番はこうなります。まず、support@sakura.ad.jp から届いているメールを探し、記載のパスワードでログインしたうえで、自分の値へ変更する。次に、FTPクライアントやSSHの設定、CI・デプロイのスクリプト、バックアップツールに保存しているパスワードを新しい値へ更新する。メールパスワードは予防的措置として変更が推奨されており、変更した場合はメールソフトやスマートフォン側の設定も合わせて更新が必要です。
会員メニューにログインするための会員IDのパスワードは、今回の変更対象ではありません。会員メニューは2要素認証が必須で、パスワードだけではログインできない仕組みになっています。ただし他サービスで同じパスワードを使い回している場合は、そちらを変えておくのが安全です。
メールが見当たらない場合も、会員メニューからサーバーパスワードの再発行ができます。そもそも通知が届いていない契約であっても、初期パスワードのまま運用している心当たりがあるなら、この機会に変えておく判断は無理のないものです。
この一件が片付けていくもの
事業者が初期パスワードを発行して利用者へ通知する運用を、さくらインターネットは「過去の提供方式」と説明しています。認証情報を預からない設計への移行は段階的に進められ、その到達点のひとつが2022年9月1日の線引きでした。7月のKDDIの事案でISP事業者各社がメールパスワードの強制変更に踏み切ったときも、事業者側が利用者の認証情報を握っているという構造は共通していました。今回の一件は、その移行が終わりきっていない層を、事案のほうから可視化した形になりました。パスワードを持たない事業者が当たり前になるまでの、最後の棚卸しが始まっています。
【関連記事】
さくらインターネット136万563の読み方｜確定件数ではない、それでも今日やること
第二報を扱った回。1,360,563という数字が確定件数ではないことと、その時点で利用者が取るべき対応を整理した記事である。
【続報】KDDIメール不正アクセス、漏えい確定1,223万件・パスワード761万件｜総務省へ報告書提出
7月の事案。メールパスワード761万件の漏えい確定と、ISP事業者各社によるパスワード強制変更、総務省への報告書提出までを扱う。
【編集部後記】
効いているのは2022年9月1日という日付です。さくらインターネットがVPSの初期パスワード非保持化に踏み切った線で、それ以降の契約は原則として今回の対象から外れています。安全側への設計変更は、実施した時点では誰の目にも留まりません。効果が数えられるのは、こういう日が来たときだけです。
自分の契約がいつ始まったものか、すぐに答えられるでしょうか。私は請求履歴をさかのぼるまで分かりませんでした。
【用語解説】
初期サーバーパスワード
サービスの申し込み時などに事業者が発行し、利用者へ通知するパスワード。利用者または事業者が変更・失効させるまで有効な場合があり、変更しないまま運用が続くことがある。
サーバーパスワードと会員IDのパスワード
さくらインターネットでは役割が分かれている。前者はサーバーコントロールパネル、FTP、SSHへのログインに使い、後者は契約情報を扱う会員メニューへのログインに使う。今回変更されたのは前者のみ。
販売管理システム
契約情報などを管理する社内システム。8月19日の第二報で不正アクセスの可能性が公表され、初期パスワードもここに保存されていた。
非保持化
事業者が利用者の認証情報を保存しない設計へ移すこと。侵害されたシステムから、保存済みの認証情報が取得されるリスクを減らせる。
2要素認証
パスワードに加えて、認証コードやアプリなど別の要素を求める仕組み。パスワードが第三者に渡ってもログインを防げる。
シングルユーザーモード
Linuxを最小構成で起動する保守用モード。管理者パスワードが不明な場合の再設定手段として使われる。
ハッシュ化
元の値へ復元することが困難な形へ変換した状態。第二報では30アカウントのハッシュ化パスワードへの影響の可能性が示されている。
【参考リンク】
さくらインターネット株式会社（外部）
レンタルサーバ、VPS、クラウドなどを提供する国内のホスティング事業者。今回の対象となった4サービスをすべて運営している。
さくらのVPS（外部）
今回、管理者初期パスワードの変更を利用者自身に依頼したサービスの公式サイト。料金や仕様のほか、最新のおしらせを掲載している。
【参考記事】
当社システムへの不正アクセスに関するご案内（外部）
本件の総合案内ページ。対象範囲、パスワード、問い合わせ窓口のFAQをまとめ、次回のお知らせを9月中旬に予定すると明記している。
さくらのVPS 管理者パスワード変更のお願い（外部）
8月26日公開。管理者初期パスワードの対象条件と、2022年9月1日以降の新規契約が対象から外れる理由を、沿革とともに説明する。
当社システムへの不正アクセスに関するお知らせ（第二報）（外部）
8月19日公表。販売管理システムへの不正アクセスの可能性と、対象となりうる1,360,563アカウントという数を初めて示した第二報。
当社システムへの不正アクセスに関するお知らせ（第一報）（外部）
8月17日公表の第一報。583アカウントへの不正ログインと、通信の秘密に該当する情報へアクセス可能な状態であった旨を記載している。
さくらインターネットへの不正アクセスについてまとめてみた（外部）
本件の経緯を時系列で整理した個人による技術ブログ。第一報から第二報までの公式発表を、出典番号付きで対照できる形にまとめている。
