さくら不正アクセス第三報が映す国産クラウド信頼と検知の盲点の深層

長期侵入が突きつけたクラウド信頼の条件

さくらインターネットが2026年9月10日に公表した第三報は、単なる個人情報漏えい懸念の続報ではありません。販売管理システムへの不正アクセスが、2023年4月以降から2026年3月までの間に発生していたと確認されたためです。

重要なのは、3年以上前にさかのぼる可能性がある一方で、常時侵害され続けたと断定されたわけではない点です。それでも、後から侵入経路や影響範囲を説明し切れない部分が残った事実は、クラウド事業者の信頼を支える検知、ログ、認証情報管理の重さを浮き彫りにしています。

第三報で見えた二つの侵害経路と影響範囲

レンタルサーバで広がった対象アカウント

今回の発端は、2026年8月9日に「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知したことでした。8月17日の第一報では、第三者が同社管理環境を経由して一部顧客環境へ不正アクセスし、一部サーバーへのマルウェア設置も確認されたと説明されました。

第一報時点で、不正ログインの対象は583アカウントとされていました。第三報では追加調査により、第三者による閲覧または取得の可能性がある対象がさらに368アカウント増え、合計951アカウントになりました。追加分については、先に公表された583アカウントとの関連を示す明確な根拠は確認されていません。

同時に、同社は影響の可能性を完全には否定できないとして、追加分も対象に含めています。これは、クラウドやホスティングの事故対応でしばしば生じる「確定」と「否定不能」の差です。被害を小さく見せるより、利用者保護を優先して広めに通知する判断と読めます。

販売管理システムに残った長期痕跡

より重い論点は、契約情報などを管理する販売管理システムへの不正アクセスです。第三報によれば、第三者による閲覧または取得の可能性がある会員情報等の総数は1,360,563アカウントです。この数字には、レンタルサーバの対象顧客も含まれています。

対象となり得る情報は、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、契約サービス、契約期間、請求金額などです。ただし、すべての項目を同社が全顧客について保有していた、または第三者が実際に閲覧・取得した、という意味ではありません。

販売管理システムへの不正アクセスは、2023年4月以降、2026年3月までの間に発生していたと確認されました。一方、8月に検知されたレンタルサーバへの不正アクセスとの関連性については、明確な根拠が確認されていません。つまり、一つの大規模侵害として単純化できない複合的な事案です。

同社は、データの外部持ち出しを裏付ける明確な事実や、情報の不正利用、金銭被害、フィッシング、なりすましなどの二次被害は現時点で確認していないとしています。クレジットカード情報についても、同社が保持しておらず、入力画面の改ざんも確認されていないため、カード番号漏えいの恐れはないと説明しています。

非ハッシュ化初期パスワードとログ制約の経営リスク

認証情報を残す設計負債

第三報で特に注目すべきは、販売管理システムに一部の「さくらのレンタルサーバ」の初期サーバーパスワードと、一部の「さくらのVPS」の管理者初期パスワードが保存されていた点です。これらは、30アカウントで閲覧の可能性があるハッシュ化された会員IDパスワード情報とは別物です。

同社は、初期サーバーパスワードやVPSの管理者初期パスワードについて、ハッシュ化されていない情報だったと明らかにしました。ハッシュ化は、元のパスワードをそのまま保存せず、復元や推測を難しくするための基本的な処理です。初期値であっても、実運用に残れば強い秘密情報になります。

レンタルサーバでは、影響を受けた可能性のあるサーバーパスワードが現在も利用されていると確認できた契約について、同社がパスワードを変更しました。VPS契約者には個別に案内し、契約時に発行された初期パスワードを現在も使っている場合は変更を求めています。

一方で、利用者が初期パスワードから変更した後のパスワードは販売管理システムには保存されていないと説明されています。変更済みであれば、今回保存されていた情報を使った不正ログインのリスクはないという整理です。ここから見えるのは、初期値の保管期間、保管形式、削除タイミングまで含めたシークレット管理の重要性です。

SaaSやクラウドの現場では、契約管理、サポート、課金、プロビジョニングが一体で動きます。便利な管理画面ほど、顧客環境と業務データの間に強い権限を持ちがちです。だからこそ、初期パスワードやAPIキーのような情報は、発行後に閲覧不能にする、一時的な値として期限を切る、利用開始後に強制変更する、といった設計が必要になります。

後から説明できないログ不足

もう一つの焦点はログです。第三報では、レンタルサーバ環境に2025年7月以降のものと考えられる不審な活動の痕跡が確認されたものの、時間の経過に伴う記録の制約などから、今回の事案との同一性、具体的な侵入経路、顧客情報への影響を客観的に確認するには至らなかったとされています。

これは「何も起きていない」と同じ意味ではありません。むしろ、証跡が残っていなければ、起きたことも起きなかったことも強く説明できない、というインシデント対応の難所です。データ持ち出しの明確な事実がないことは重要ですが、証明の限界が同時に残ります。

NISTのログ管理資料は、ログを物理・仮想基盤、ネットワーク、サービス、クラウド環境で起きるイベントの記録と位置づけています。ログ管理は、生成、転送、保存、アクセス、廃棄までを含むプロセスであり、サイバーインシデントの識別や調査に使われます。つまりログは、障害対応の副産物ではなく、説明責任の基礎データです。

JPCERT/CCも高度なサイバー攻撃への対応で、攻撃期間の特定、使用されたアカウントと権限の洗い出し、マルウェア通信先の確認、関連組織への被害拡大確認などを挙げています。これらは十分なログと資産情報がなければ、精度を上げにくい作業です。

さくらインターネットは封じ込めとして、認証情報の無効化、不審通信の遮断、対象環境の隔離、マルウェア除去、関連サーバーやネットワークの緊急点検、不正アクセスを受けたサーバーの再構築、EDR導入範囲の拡大などを実施しました。再発防止策では、ログの取得範囲、保管期間、分析体制の見直しも掲げています。この一文こそ、今回の教訓の中心です。

国産クラウド拡大期に重くなる説明責任

今回の対象は主にレンタルサーバと販売管理システムであり、第三報では「さくらのレンタルサーバ」を除くサービス提供環境に不正アクセスの兆候は確認されていないと説明されています。販売管理システムも、各サービスを実際に提供する環境とは別のシステムです。この線引きは冷静に押さえる必要があります。

それでも、影響はブランド全体の信頼に及びます。さくらのクラウドは、デジタル庁が2026年3月27日にすべての技術要件を満たしたと確認し、本番環境の提供が可能になった国産クラウドです。さらに同庁は2026年8月、ガバメントAI「源内」の一部で、国産基盤モデルをさくらのクラウド上で稼働させる試用を始めると公表しました。

公共分野やスタートアップのDX基盤では、機能や価格だけでなく、事故時にどこまで早く検知し、どこまで事実を復元し、どこまで利用者に説明できるかが選定基準になります。NIST Cybersecurity Framework 2.0が「Govern」を明示し、サイバーリスクを財務や評判と並ぶ企業リスクとして扱う方向を強めたこととも重なります。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向け脅威としてランサム攻撃、サプライチェーンや委託先を狙った攻撃、システム脆弱性の悪用、標的型攻撃などが上位に並びます。クラウド事業者の事故は、単独企業の問題にとどまらず、利用企業、委託元、行政サービスに波及するサプライチェーンリスクです。

個人情報保護委員会は、漏えい等報告について発覚後おおむね3〜5日以内の速報、30日以内の確報、不正な目的によるおそれがある場合は60日以内の確報を案内しています。不正アクセスや1,000人超の個人データ漏えい等のおそれも報告対象です。利用者への通知、公表、再発防止策まで含め、技術対応と法務対応は分けられません。

利用企業が契約前後で点検すべき実務

利用企業がいま取るべき行動は、過度に恐れることではなく、自社の依存関係を見える化することです。さくらインターネットから個別案内を受けた場合は、案内内容に沿ってパスワード変更や確認を行い、身に覚えのないファイル、管理者アカウント、不審なログイン、予期しないメール送信がないかを点検する必要があります。

同時に、同じパスワードを他サービスで使い回している場合は、影響範囲外のサービス側も変更すべきです。会員メニューでは2要素認証が必須とされていますが、登録メールアドレスや電話番号が古ければ、重要通知や認証コードを受け取れません。連絡先の最新化もセキュリティ対策の一部です。

クラウドやSaaSを選ぶ企業は、契約前後のチェック項目も更新すべきです。初期パスワードやAPIキーの保管方式、管理者権限の分離、ログの保存期間、顧客へ提供される監査ログ、事故時の通知基準、第三者監査の有無を確認するだけで、価格表からは見えない運用品質が見えてきます。

今回の第三報は、侵入を完全に防ぐ会社だけを信じる時代が終わったことを示しています。重要なのは、侵入を前提に早く検知し、被害を狭め、後から説明できる証跡を残す力です。クラウドの信頼は、平時の機能表ではなく、有事の透明性で測られる局面に入っています。

参考資料:

• 当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）
• 当社システムへの不正アクセスに関するお知らせ（第二報）
• 当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて
• 当社システムへの不正アクセスに関するご案内
• さくら不正アクセス ハッシュ化されていない初期パスワード漏えいの可能性
• さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存
• さくらインターネットへの侵入は「3年前」にさかのぼるか
• 情報セキュリティ10大脅威 2026
• 高度サイバー攻撃（標的型攻撃）に関する連絡
• NIST Releases Version 2.0 of Landmark Cybersecurity Framework
• SP 800-92 Rev. 1, Cybersecurity Log Management Planning Guide
• Log Management
• 漏えい等の対応とお役立ち資料
• ガバメントクラウド
• ガバメントAI 源内における国産クラウド上での国産基盤モデルの試用開始について