さくらインターネット不正アクセス、自分は対象？951と136万563の違い・パスワードを整理

さくらインターネット不正アクセス｜951と136万563の違い、自分は対象？

さくらインターネットは2026年9月10日、「当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）」を公表しました。

今回の発表で特に目を引くのが、

951アカウント

と、

1,360,563アカウント

という2つの数字です。

「136万件も情報が流出したのか」「自分のWordPressやメールも見られたのか」と不安になりますが、この2つは意味が違います。

先に整理すると、1,360,563アカウントすべてについて、実際に情報が閲覧・取得されたことが確認されたわけではありません。

951アカウントは「さくらのレンタルサーバ」の顧客利用領域、1,360,563アカウントは各サービスの契約情報などを管理する「販売管理システム」で影響を受けた可能性がある範囲です。

しかも両者には重複があります。

一方で、単に「何も漏れていなかった」と片付けられる状況でもありません。レンタルサーバの一部環境や販売管理システムへの不正アクセスは実際に確認され、第三者に情報を閲覧または取得された可能性があります。

自分が対象なのか、パスワード変更は必要なのか、VPSや解約済み利用者はどう考えればいいのか。第三報と公式FAQをもとに整理します。

まず確認｜951と136万563アカウントは何が違う？

一番分かりにくいところなので、最初に分けておきます。

951＋1,360,563という別々の被害件数ではありません。

公式FAQでは、951アカウントと1,360,563アカウントは重複していると説明されています。

また、どちらの数字も「その件数分の全データが実際に盗まれた」と確定した数字ではありません。

特に1,360,563については、第三者による閲覧または取得の可能性がある会員情報の対象総数です。

ニュースの「136万」という数字だけを見て、「136万人分の個人情報が全部外部流出した」と受け取るのは正確ではありません。

951アカウントでは何が見られた可能性がある？

951アカウントは、「さくらのレンタルサーバ」の顧客利用領域に関する数字です。

8月17日の第一報では583アカウントとされていましたが、その後の調査で368アカウントを追加。最終的に951アカウントについて、第三者による閲覧または取得の可能性を完全には否定できないと判断されました。

対象になり得るのは、

メールデータ、Webサイトデータ、ログ情報、そのほか利用領域に保存していたファイルなどです。

ただし、951アカウントすべてについて、保存されていたデータ全部が閲覧されたと確認されたわけではありません。

さくらインターネットも、顧客ごとに「どのファイルを実際に見られたのか」「何を取得されたのか」までは特定できないとしています。

このため記事やSNSで見かける「951件の情報が流出」という短い表現だけでは、実際の状況がかなり抜け落ちます。

WordPressや問い合わせフォームの情報も対象？

さくらのレンタルサーバでWordPressを運用している人にとっては、ここが特に気になるところです。

公式FAQでは、951アカウントについてWebサイトデータやメールデータなどが閲覧・取得された可能性を挙げています。

したがって、対象となったアカウントでWordPressを使っていた場合、WordPressに関係するファイルなども無関係とは言えません。

問い合わせフォームから受け取った内容をメールやサーバー領域へ保存していたケースも同様です。

ただし、

「951アカウントすべてのWordPressデータベースが流出した」

あるいは、

「問い合わせフォームに送られた個人情報がすべて盗まれた」

と確認されたわけではありません。

個々のアカウントで実際にどのデータが閲覧・取得されたかまでは判別できていない、というのが現在の公式説明です。

136万563アカウントでは何の情報が対象？

1,360,563アカウントは、Webサイトやメールを直接保存するレンタルサーバの数字ではありません。

対象になったのは、さくらインターネットの各サービスの契約情報などを管理する販売管理システムです。

このシステムには、顧客によって異なりますが、

会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などの情報が保存されています。

ここでも注意が必要です。

この一覧は、

1,360,563アカウントすべてについて、すべての項目を保有していた

という意味ではありません。

さらに、

一覧にある情報すべてが実際に第三者に閲覧・取得された

と確認されたものでもありません。

1,360,563というのは、あくまで今回の不正アクセスによって影響を受けた可能性のある会員情報の対象範囲です。

レンタルサーバを使っていなくても対象になる？

なります。

今回の1,360,563アカウントは「さくらのレンタルサーバ」だけの利用者を数えたものではありません。

販売管理システムは、レンタルサーバを含むさくらインターネットの各サービスの契約情報を管理しているためです。

そのため、レンタルサーバを使っていなくても、会員情報が販売管理システムに保存されていれば今回の対象範囲に入る可能性があります。

ここで混同してはいけないのが、

「会員情報を管理する販売管理システムが不正アクセスされた」

ことと、

「契約しているサービスそのもののサーバーへ侵入された」

ことです。

さくらインターネットは、「さくらのレンタルサーバ」を除く各サービスの提供環境について、不正アクセスを示す兆候は確認されていないとしています。

VPSも不正アクセスされた？

「さくらのVPSそのものが不正アクセスされた」とは確認されていません。

VPSが今回の話に出てくる理由は別です。

販売管理システムに、一部の「さくらのVPS」契約について管理者の初期パスワードが保存されていたためです。

しかも、その初期パスワードはハッシュ化されていませんでした。

対象者には個別に連絡が行われ、現在も契約時に設定された初期管理者パスワードを使っている場合は変更するよう求められています。

すでに自分で別のパスワードへ変更している場合、その変更後のパスワードは販売管理システムには保存されていません。

つまり、

「VPSもハッキングされた」

ではなく、

「販売管理システムに一部VPSの初期管理者パスワードが保存されていた」

という問題です。

パスワードは全部漏れた？30アカウントとは何？

パスワードについては、少なくとも3種類を分けて考える必要があります。

会員IDのパスワード情報は30アカウント

1,360,563アカウントのうち、30アカウントについてハッシュ化された会員IDのパスワード情報が閲覧された可能性があります。

「ハッシュ化」は、パスワードそのものをそのまま保存せず、変換した値として保持する仕組みです。

したがって、

136万アカウント分の平文パスワードが流出した

という話ではありません。

レンタルサーバの一部の初期パスワードは平文で保存

別に問題となったのが、「さくらのレンタルサーバ」の一部契約で発行された初期サーバーパスワードです。

こちらは販売管理システムにハッシュ化されず保存されていました。

現在も対象の初期パスワードが使われていることを確認できた契約については、さくらインターネット側でサーバーパスワードを変更し、利用者へ個別に案内しています。

対象者は、その案内に従って会員メニューから自分の任意のパスワードへ変更する必要があります。

メールを利用している場合は、予防措置としてメールパスワードの変更も推奨されています。

VPSにも一部の初期管理者パスワード

「さくらのVPS」でも、一部契約のrootやAdministratorなどの管理者初期パスワードが販売管理システムへ保存されていました。

こちらもハッシュ化されていません。

対象者には個別案内が行われています。

自分で変更した現在のパスワードも対象？

初期パスワードから利用者自身が変更した後のパスワードについては、販売管理システムには保存していないと説明されています。

そのため、すでに初期値から変更している場合、販売管理システムに残っていた初期パスワードと現在のパスワードは別です。

ここを、

「さくらで使っている現在のパスワードが全部漏れた」

と一括りにするのは誤りです。

一方、同じパスワードを別サービスでも使い回している場合は別問題です。

さくらインターネットも、パスワードの使い回しがある場合には他サービス側を含めて変更するよう注意を呼びかけています。

会員メニューのパスワードは今すぐ変更した方がいい？

公式FAQでは、会員メニューについては2要素認証が必須となっていることから、今回の件だけを理由に直ちにパスワードを変更する必要性は高くないとしています。

これは、

「パスワード変更は一切不要」

という意味ではありません。

個別に変更を求める案内が届いている場合は、その指示が優先です。

また、ほかのサービスと同じパスワードを使い回しているなら、今回の件とは別に見直した方がよいでしょう。

大切なのは、すべての利用者へ一律に同じ対応が必要なわけではないことです。

クレジットカード番号は大丈夫？

クレジットカード番号について、さくらインターネットは漏洩の恐れはないと説明しています。

さくらインターネット自身はクレジットカード情報を保持しておらず、今回の調査でもカード情報入力画面の改ざんは確認されませんでした。

そのため、今回の不正アクセスによって、

「さくらに登録していたカード番号が136万件漏れた」

という事実はありません。

ただし、今後さくらインターネットを装った偽メールや偽サイトが登場し、そこでカード番号を入力してしまうような二次被害は別の話です。

「今回カード番号の漏洩の恐れはない」ことと、「便乗詐欺にも絶対遭わない」ことは分けて考える必要があります。

外部へ持ち出された証拠がないなら、情報漏えいはなかった？

ここは今回もっとも誤解しやすい表現の一つです。

さくらインターネットは第三報で、

データが外部へ持ち出されたことを裏付ける明確な事実は確認されていない

としています。

さらに2026年9月10日時点で、

対象情報がインターネットやダークウェブへ公開された事実、本件に起因するアカウントの不正利用、金銭的被害、対象情報を使ったフィッシングやなりすまし、封じ込め後の新たな不正アクセスや被害拡大も確認されていません。

ただし、これは、

「第三者に一切見られていない」

という意味ではありません。

公式は同時に、対象情報について第三者による閲覧または取得の可能性を認めています。

現在地を整理すると、

不正アクセスは確認された。
情報を閲覧・取得された可能性がある。
一方、データが外部へ持ち出されたことを裏付ける明確な事実や、その後の悪用は現在確認されていない。

という状態です。

「136万件の個人情報流出」と断定するのも、「情報漏えいは一切なかった」とするのも、どちらも公式発表より話を広げてしまいます。

自分が対象かどうやって確認する？

さくらインターネットは、影響を受けた可能性がある利用者へ電子メールなどで個別に案内しています。

特にパスワード変更が必要なレンタルサーバ・VPS利用者については、対象者向けの案内が送られています。

案内メールは公式FAQによると、

support@sakura.ad.jp

から送信されます。

ただし、メールが来たからといって、本文中のリンクを急いでクリックする必要はありません。

不審に感じた場合はメール内のリンクを使わず、ブラウザからさくらインターネットの公式サイトや会員メニューを開いて確認する方が安全です。

また、さくらインターネットはメールや電話でパスワードなどの認証情報を尋ねることはないと案内しています。

「確認のためパスワードを返信してください」「本人確認のため認証情報を入力してください」といった内容なら、公式を名乗っていても注意が必要です。

メールが来ていなければ対象外？

一律に「100％対象外」とまでは言えません。

第三報では、対象者へ個別案内を行う一方、登録情報の不備などによって個別連絡が困難な利用者については、今回の公表をもって案内に代えるとしています。

したがってメールの有無は重要な判断材料ですが、

「メールがないから何も確認しなくていい」

と断言するより、利用中のサービスや登録メールアドレス、公式のお知らせを一度確認しておく方が確実です。

特に昔登録したままメールアドレスを変更していない人は注意したいところです。

解約したのになぜメールが来た？

「もう何年も前にさくらを解約したのに、なぜ不正アクセスのメールが来るのか」と疑問に思う人もいるでしょう。

理由の一つは、

サービスの解約

と、

さくらインターネット会員からの退会

が別の手続きだからです。

レンタルサーバやVPSなど個別サービスを解約しても、会員そのものを退会していなければ会員情報が保持されている場合があります。

今回不正アクセスを受けた販売管理システムには、こうした会員情報も保存されていました。

そのため、現在は何のサービスも使っていなくても案内の対象になる場合があります。

「解約済みだからメールは偽物」とは限りません。

もちろん本物かどうか不安な場合は、メールのリンクからではなく公式サイトで確認するのが安全です。

今、自分は何をすればいい？

対応は利用者によって違います。

さくらからパスワード変更の個別案内が来ている場合は、その内容を最優先で確認してください。

レンタルサーバで初期サーバーパスワードが対象になった利用者は、さくら側で変更されたパスワードをそのまま使い続けるのではなく、案内に従って自分の任意のパスワードへ変更します。メールを使っている場合はメールパスワードの変更も予防措置として推奨されています。

VPSについては、対象の初期管理者パスワードを現在も使っている場合に変更が必要です。

一方、販売管理システムの会員情報に関する案内だけが届いた人について、すべてのパスワードを直ちに変更しなければならないとは公式は説明していません。

ただし、今後の便乗フィッシングには注意が必要です。

不正アクセスの案内、返金、本人確認、セキュリティ強化などを理由に、パスワードやカード番号を入力させるメールが届いても、メール本文だけで信用しない方がよいでしょう。

いつから不正アクセスされていた？

今回の経緯には、複数の時期が登場します。

2023年4月以降～2026年3月

販売管理システムについて、この期間内に第三者による不正アクセスが発生していたことが確認されました。

ただし、

「2023年4月から2026年3月まで3年間ずっと侵入され続けていた」

と確認されたわけではありません。

あくまで調査で確認できた不正アクセスの発生期間です。

2025年7月以降

「さくらのレンタルサーバ」の環境では、2025年7月以降のものと考えられる不審な活動の痕跡も確認されました。

ただし、この痕跡と今回発覚した事象が同じものなのか、どのような侵入経路だったのか、利用者情報へどこまで影響したのかを客観的に特定するには至っていません。

2026年8月9日

レンタルサーバのメンテナンス用サーバーで異常を検知。

ここから本格的な調査と封じ込めが進みます。

8月17日

第一報を公表。

レンタルサーバで583アカウントについて、第三者による閲覧または取得の可能性があると発表しました。

8月19日

第二報を公表。

販売管理システムへの不正アクセスの可能性と、1,360,563アカウントの会員情報への影響可能性を明らかにしました。

9月10日

第三報を公表。

一連の調査完了として、レンタルサーバ側を951アカウントへ更新し、販売管理システムへの不正アクセス、パスワード情報、過去の発生状況、外部持ち出しや二次被害の確認状況、再発防止策までまとめました。

レンタルサーバと販売管理システムは同じ攻撃だった？

現時点では分かりません。

さくらインターネットは、「さくらのレンタルサーバ」と販売管理システムへの不正アクセスについて、両事象の関連性を示す明確な根拠は確認されなかったとしています。

そのため、

「レンタルサーバへ侵入し、そこから販売管理システムへ横展開した」

「同じ攻撃者が一連のシステムを狙った」

と記事側でストーリーを作ることはできません。

2025年7月以降の不審な活動痕跡についても同様です。

複数の事象が確認されていることと、それらが同じ犯人・同じ手口だったことは別です。

原因や侵入経路は判明した？

第三報では調査完了が報告されていますが、具体的な侵入経路までは公表されていません。

さくらインターネットは、セキュリティ保護や模倣攻撃の防止を理由として、

攻撃コード、IPアドレス、システム・ネットワーク構成、認証方式、具体的な侵入経路などの詳細を非公表としています。

そのため、

「脆弱性が放置されていた」
「パスワードを盗まれて侵入された」
「設定ミスが原因だった」

といった理由を現時点で断定することはできません。

「調査が完了した」と「攻撃手法を一般公開した」は同じ意味ではありません。

さくらインターネットはどんな対策をした？

不正アクセス判明後は、認証情報の無効化、不審通信の遮断、接続元制限、対象環境の隔離、マルウェアや不正設定の除去、サーバー再構築などの封じ込め対応を実施しています。

監視についてもEDRの適用範囲を拡大しました。

再発防止策としては、管理者権限・アクセス権限の厳格化、重要システムへの接続経路や通信制限の見直し、認証方式・認証情報管理の改善、管理用サーバーの設定強化などを実施済みです。

今後も監視・検知機能とログの強化、「さくらのレンタルサーバ」全サーバーの再構築によるクリーンナップ、外部監査、セキュリティ教育、ガバナンス強化などを進めるとしています。

つまり第三報で調査自体はいったん区切られましたが、再発防止の作業まで全部終わったという意味ではありません。

まとめ｜136万563すべての流出確認ではないが、対象者は案内を確認

今回の第三報で一番注意したいのは、「136万」という数字だけで被害内容を判断しないことです。

951アカウントは、「さくらのレンタルサーバ」の利用領域でメールやWebサイトなどが閲覧・取得された可能性がある範囲。

1,360,563アカウントは、各サービスの契約情報を管理する販売管理システムで、会員情報が閲覧・取得された可能性がある範囲です。

両者は重複しています。

そして1,360,563アカウントすべてについて、実際に情報を閲覧されたことが確認されたわけではありません。

一方、不正アクセスそのものは確認されており、一部にはハッシュ化された会員IDパスワード情報や、ハッシュ化されていなかったレンタルサーバ・VPSの初期パスワードも含まれていました。

外部へのデータ持ち出しを裏付ける明確な事実、金銭的被害、アカウント悪用などは9月10日時点で確認されていません。

利用者がまず行うべきなのは、さくらインターネットから自分宛てに届いている案内を確認することです。

パスワード変更を求められている場合はその指示に従い、メールが本物か不安なら本文中のリンクを使わず公式サイトから確認する。

今回の件については、「136万件全部漏れた」と過度に不安になる必要も、「外部持ち出しが確認されていないから何もしなくていい」と考える必要もありません。

自分がどの対象に当たるのかを確認し、必要な人だけ公式案内に沿って対応する。

現時点では、それが最も重要です。