確かめられたことと、記録の制約で確かめきれなかったこと。さくらインターネットが9月10日に出した「調査完了」の第三報には、その両方が書かれています。確かめきれない部分を、同社は利用者の側に倒して数えました。報告書から見えてくるのは、記録の持ち方という平時の設計の話です。
さくらインターネットは2026年9月10日、「さくらのレンタルサーバ」と販売管理システムへの不正アクセスについて、一連の調査の完了を受けた第三報を公表した。レンタルサーバで第三者による閲覧または取得の可能性がある対象は、8月17日公表の583アカウントに368アカウントを加えた951アカウントとなった。
販売管理システムでは会員情報等1,360,563アカウントが対象となる可能性があり、うち30アカウントはハッシュ化された会員IDのパスワード情報が閲覧された可能性がある。同システムへの不正アクセスは2023年4月以降2026年3月までの間に発生しており、両事象の関連性を示す明確な根拠は確認されなかった。外部持ち出しを裏付ける明確な事実は確認されておらず、二次被害も現時点で確認されていない。
確かめられたことと、確かめきれなかったこと
「調査が完了した」は、何が終わったという意味か
さくらインターネットの第三報は、冒頭で一連の調査が完了したと書いています。8月9日の検知から約1か月。第一報と第二報で「調査中」とされていた項目の多くに、答えが入りました。
ただ、読み進めると、この「完了」には輪郭があることが分かります。報告書には、確かめられたことと並んで、記録の制約によって客観的な確認に至らなかった範囲も書かれています。調査を終えたことと、すべての問いに答えが出たことは同じではない。その線引きを、同社は自分の言葉で示しました。
確認できた深さは、システムごとに違った
販売管理システムについては、不正アクセスが2023年4月以降、2026年3月までの間に発生していたと特定されました。第二報で「8月9日以前」とだけ書かれていた時期が、3年以上前の起点まで具体化したことになります。
一方、「さくらのレンタルサーバ」の環境からは、2025年7月以降のものと考えられる不審な活動の痕跡が見つかりました。同社と外部の専門機関は、これが継続的な侵害を示すものではなく、情報の不正利用などの二次被害もないことを確認しています。そのうえで、時間の経過に伴う記録の制約などにより、本件と同じものかどうか、どこから入ったのか、顧客情報に影響したのかは客観的に確認できなかったと明記しました。
片方では発生時期が2023年4月まで具体化し、もう片方では1年あまり前の痕跡について、同一性や侵入経路を確かめるところまで届かなかった。同じ報告書の中でも、確認できた事実の深さはシステムごとに異なっていました。インシデント調査は、残されたログや設定、ファイルといった証拠から「何が起きたか」を組み立て直す作業です。組み立てられる範囲は、手元に残った証拠の量と質に左右される。この対比は、そのことをよく示しています。
記録が尽きたところで、どちら側に数えたか
記録で決着がつかないとき、影響範囲をどう線引きするか。第三報のもう一つの読みどころはここです。
レンタルサーバの対象は、583アカウントから951アカウントになりました。追加の368アカウントについて、同社は8月17日公表の583アカウントへの不正アクセスと関連することを示す明確な根拠は確認されなかったとしています。それでも影響の可能性を完全には否定できないとして、対象に含め、必要な対応をとりました。報告書全体についても、関連を客観的に確認できなかったものの影響の可能性を否定できない事項を、影響範囲と件数に含めたと書いています。
確かめきれない部分を、利用者の側に倒して数えたということです。件数だけを見れば「増えた」と映りますが、951という数字は、被害が確定的に広がったことを示すものではありません。証拠が届かない範囲をどう扱うと決めたかを示す数字です。
二つの事案は、同時に見つかった
第二報で「関連性を含めて調査中」とされていた二つの事案について、第三報は両者の関連を示す明確な根拠は確認されなかったとしました。
時系列を並べると、販売管理システムへのアクセスは2026年3月までに起きていたもので、それが見つかったのは8月、レンタルサーバの事案を調べる過程でした。一方の調査が、もう一方を掘り当てた形です。
同社が今後の施策に「不正アクセスの早期検知を目的とした監視対象および検知機能の拡充」を挙げているのは、この発見の順序に対する同社自身の答えと読めます。
30アカウントと、ハッシュ化されていなかった初期パスワード
パスワードをめぐる二つの問いにも、答えが出ました。
一つ目は、第二報で示されたハッシュ化パスワード30アカウントの中身です。第三報はこれを会員IDのパスワード情報と特定しました。同社のFAQによれば、会員メニューへのログインには2要素認証が必須で、パスワードだけではログインできません。同じパスワードを他のサービスで使い回していないかは、あらためて確かめておきたいところです。
二つ目は、販売管理システムに保存されていた初期パスワードの形式です。「さくらのレンタルサーバ」の一部の初期サーバーパスワードと、「さくらのVPS」の一部の管理者初期パスワードは、ハッシュ化されていないものでした。9月1日の記事で「公表されていない」と書いた点です。同社は、利用者が初期パスワードから変更した後の値は保存しておらず、変更済みであれば本件による不正ログインのリスクはないとしています。初期値を自分の値に変えてあるかどうかが、そのまま分かれ目になります。
記録の持ち方は、事故の前に決まっている
再発防止策のうち、今回の報告と最も深く結びつくのは、今後の施策に入った「セキュリティに関するログの取得範囲、保管期間および分析体制の見直し」だと私は読みました。記録の制約で確認できなかった部分を持つ報告書が、記録の持ち方を見直すと書いている。同社はこの二つを直接結びつけて説明してはいませんが、並べて読むと一本の線になります。
ログをどれだけ残すかに、業界共通の正解はありません。一つの目安として、米国の行政管理予算局（OMB）が2026年5月に出した覚書M-26-14は、連邦政府機関に対し、ログを作成から最低6か月は即座に検索できる状態で、1年は取り出せる状態で保持するよう求めています。2021年の前身の覚書M-21-31は、多くの必須ログに12か月のアクティブ保存と18か月のコールド保存、計30か月を求めていましたが、明確な用途のないまま膨大なログを保持することは、多くの機関にとって運用面でも費用面でも見合わなかったとして撤回されました。いずれも米国の連邦機関に向けた基準で、日本の民間事業者に適用されるものではありません。それでも、どこまで残すかは完全性とコストの綱引きで決まる、という構図は国を問わず共通しています。
今後の施策には、「さくらのレンタルサーバ」の全サーバの再構築によるクリーンナップも入りました。痕跡の素性を確かめきれない環境を、作り直すことで閉じる。記録で決着をつけられない部分への、もう一つの答え方です。
次に遡る日のために
侵入経路とシステム構成の詳細は、模倣攻撃を防ぐ観点から公表が差し控えられました。その一方で、ガバメントクラウドの提供事業者にも採択されている国内事業者が、確認できたこと、確認できなかったこと、そして確認できなかった部分をどう数えたかを、一つの報告書に並べました。同日の適時開示では、本件が2027年3月期の連結業績に与える影響は限定的との見込みも示されています。
次に何かが起きたとき、どこまで遡れるか。それは事故の後ではなく、ログを何のために、どれだけ、どう取っておくかを平時にどう設計したかで大きく左右されます。さくらインターネットが見直すと書いた取得範囲、保管期間、分析体制の三つは、サーバを預かる事業者にとっても、サーバを借りる利用者にとっても、自分の環境で確かめられる項目です。
【関連記事】
さくらインターネット136万563の読み方｜確定件数ではない、それでも今日やること
第二報を扱った回。1,360,563アカウントという数字が確定件数ではないことと、その時点で利用者が取るべき対応を整理した。
さくらインターネット、初期パスワードを強制変更｜VPSは利用者側で対応
初期パスワードの強制変更を扱った回。保存形式がまだ公表されていなかった時点での判定方法と、利用者が手を動かす順番を整理した。
【続報】KDDIメール不正アクセス、漏えい確定1,223万件・パスワード761万件｜総務省へ報告書提出
KDDIのメール基盤への不正アクセスの続報。第一報で示された見込みの件数が、調査を経て確定件数へと移っていく過程を追っている。
【編集部後記】
解約と退会は、別の手続きです。9月2日に同社のFAQへ加わった設問は、サービスを解約したのに案内のメールが届いた理由を、そう説明していました。退会しない限り、会員情報は保持されるからです。
契約を終えたあとも、名前や住所は会員情報として残り続けます。一方で、何が起きたかを示すログには保存期間があります。消さない限り残る記録と、期限が来れば消える記録。解約だけで済ませ、退会まではしていないサービスがいくつあるか、すぐに数えられるでしょうか。
【用語解説】
販売管理システム
さくらインターネットが、各サービスの契約情報や会員情報を管理する社内システムの呼称。同社の説明では、各サービスを実際に提供する環境とは別のシステムにあたる。
ハッシュ化
元のデータを一方向の計算で変換し、元の値の推測や復元を困難にする処理。パスワードの保管に用いられる。ハッシュ化されていないことは、必ずしも平文で保存されていたことを意味しない。
初期パスワード
サービスの申し込み時などに事業者が発行し、利用者へ通知するパスワード。利用者が自分の値へ変更するまで、そのまま使われ続けることがある。
2要素認証
パスワードに加え、認証コードや認証アプリなど別の要素でも本人確認をする仕組み。パスワードが第三者に渡っても、それだけではログインできない。
VPS
Virtual Private Serverの略。1台の物理サーバ上に仮想的に区切った環境を、利用者が占有して使うサービス形態。管理者権限は利用者が持つ。
インシデント調査
セキュリティ上の事案が起きた際に、ログ、設定、ファイル、通信記録などの証拠を収集・分析し、何が起きたかを組み立て直す調査。影響範囲や侵入経路の特定に用いられる。
アクティブ保存／コールド保存
前者は、すぐに参照・検索できる状態でデータを保つ保存。後者は、費用を抑える代わりに、取り出しに手順を要する保存。
OMB覚書（M-26-14／M-21-31）
米国の行政管理予算局（OMB）が、連邦政府機関に向けて出す指示文書。M-21-31は2021年8月、M-26-14は2026年5月に出された。M-26-14の発出と同時に、M-21-31は撤回された。
適時開示
上場会社が、投資判断に重要な影響を与える会社情報を、証券取引所の規則に基づいて速やかに開示する制度。
ガバメントクラウド
デジタル庁が整備する、政府共通のクラウドサービス利用環境。中央省庁や地方公共団体のシステムが利用する。
【参考リンク】
当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）（外部）
本稿が扱う2026年9月10日公表の第三報。調査結果、最終的な影響範囲、封じ込め対応、再発防止策までをまとめて報告している。
（開示事項の経過）「当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）」の公表について（外部）
9月10日付の適時開示。本件が2027年3月期の連結業績に与える影響は限定的と見込み、業績予想の修正は予定していないとする。
当社システムへの不正アクセスに関するお知らせ（第二報）（外部）
8月19日公表。販売管理システムへの不正アクセスの可能性と1,360,563アカウントを初めて示し、発生時期を8月9日以前とした。
当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて（外部）
8月17日公表の第一報。8月9日の異常検知と、不正ログインの対象583アカウント、マルウェアの設置を最初に明らかにした。
当社システムへの不正アクセスに関するご案内（外部）
本件に関する利用者向けの案内ページ。第三報に合わせて更新され、対象範囲、パスワード、問い合わせ窓口のFAQを掲載している。
M-26-14 Ensuring Effective and Efficient Agency Logging and Network Visibility to Defend Against Evolving Cyber Threats（外部）
2026年5月22日付のOMB覚書。ログを作成から6か月は検索でき、1年は取り出せる状態で保つよう連邦政府機関に求めている。
M-21-31 Improving the Federal Government’s Investigative and Remediation Capabilities Related to Cybersecurity Incidents（外部）
2021年8月27日付の前身の覚書。多くの必須ログに12か月のアクティブ保存と18か月のコールド保存、計30か月を求めていた。
SP 800-86, Guide to Integrating Forensic Techniques into Incident Response（外部）
NISTによるフォレンジックの指針。ファイル、OS、ネットワーク通信、アプリケーションを証拠源として扱う手順をまとめている。
さくらインターネット株式会社（外部）
クラウド、レンタルサーバ、VPSなどを提供する国内のデータセンター事業者。企業情報、ニュースリリース、IR情報を掲載している。
