さくらインターネット（さくらのレンタルサーバ・会員の販売管理システム）への不正アクセスによる会員情報などの閲覧・取得の可能性

事案の概要と確認状況

• 「さくらのレンタルサーバ」の一部サーバーへの不正アクセスとマルウェアの設置、販売管理システムのデータベースへの不正アクセスを確認
• レンタルサーバの951アカウントの利用領域の情報と、販売管理システムの会員情報1,360,563アカウント分が、第三者に閲覧または取得された可能性があると公表。セーファーインターネット協会も、同サービスに保存していた個人情報などが閲覧または取得された可能性があると公表（実際に閲覧・取得されたことは確認されていない）
• 一連の調査が完了したとして、最終的な影響範囲を公表（9月10日）。データの外部持ち出しを裏付ける事実と二次被害は確認されていない

発覚から公表までの経緯

発生時期

2023-04以降／販売管理システムへの不正アクセスは2023年4月以降〜2026年3月。「さくらのレンタルサーバ」は2026年8月9日に異常を検知（2025年7月以降とみられる不審な活動の痕跡もあるが、本件との同一性は確認できていない）

発覚・検知

2026年8月9日

1. 2026.10.02

   セーファーインターネット協会が、利用する「さくらのレンタルサーバ」への不正アクセスで、同サービスに保存していた氏名・メールアドレス、ホットラインへの通報・連絡内容、問い合わせ内容、イベント・研修の申込情報などが第三者に閲覧または取得された可能性があると公表。対象の人に順次メールで知らせている

   この公表資料を見る（新しいタブで開く）
2. 2026.09.10

   さくらインターネットが調査結果を公表（第三報）。レンタルサーバの対象は追加調査で951アカウントになり、販売管理システムへの不正アクセスは2023年4月〜2026年3月に起きていた。会員情報1,360,563アカウントのうち30アカウントはハッシュ化された会員IDのパスワード情報が閲覧された可能性がある。データの外部持ち出しや二次被害は確認されていない

   この公表資料を見る（新しいタブで開く）
3. 2026.08.19

   さくらインターネットが、顧客の契約情報などを管理する販売管理システムへの不正アクセスの可能性を確認し、会員情報1,360,563アカウント分が影響を受けた可能性があると公表（第二報）。一部の顧客はハッシュ化されたパスワード情報も対象。8月26日に本件専用の電話窓口を追記

   この公表資料を見る（新しいタブで開く）
4. 2026.08.17

   さくらインターネットが、「さくらのレンタルサーバ」の一部の顧客環境への不正アクセス（不正ログインの対象583アカウント）とマルウェアの設置を確認し、一部の顧客情報を含む個人データが第三者に閲覧または取得された可能性があると公表

   この公表資料を見る（新しいタブで開く）

規模と対象範囲

情報の種類と対象外の範囲

公表された情報の種類

• 「さくらのレンタルサーバ」の一部の顧客の利用領域に保存されていた情報：利用者識別子、顧客の環境に保存された情報（メールデータ、ウェブサイトデータ、ログ情報、その他の保存ファイルなど）
• 販売管理システムに保存されていた会員情報・契約情報：会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額など（保存されていた項目で、すべての会員にすべての情報があるわけではない）
• 一部の会員（30アカウント）：ハッシュ化された会員IDのパスワード情報
• 販売管理システムに保存されていた、「さくらのレンタルサーバ」の一部の初期サーバーパスワードと「さくらのVPS」の一部の管理者初期パスワード（ハッシュ化されていないもの）
• セーファーインターネット協会：氏名、メールアドレス、各種ホットラインへの通報・連絡内容、お問い合わせフォームから送信された内容、イベント・研修などへの申込情報、協会とのメールの送受信内容

対象外・未確認と公表された範囲

• さくらインターネットはクレジットカード情報を保持しておらず、入力画面の改ざんも確認されていないため、カード番号の漏えいのおそれはない
• 9月10日の公表時点で、データが外部へ持ち出されたことを裏付ける事実、ネットやダークウェブでの公開、アカウントの不正利用、金銭的な被害、フィッシングなどの二次被害は確認されていない
• 「さくらのレンタルサーバ」以外のサービスの提供環境には、不正アクセスの兆候は確認されていない
• 初期パスワードから変更した後のパスワードは販売管理システムに保存しておらず、変更済みなら本件による不正ログインのおそれはない
• セーファーインターネット協会：公表時点で、実際に情報が第三者に閲覧・取得されたことや、不正利用・二次被害は確認されていない