日本のクラウド大手「さくらインターネット」が不正アクセス 最大136万人の顧客情報に影響の可能性、現時点で情報流出は確認されず
日本のクラウドコンピューティング・データセンター大手、 さくらインターネットはこのほど、顧客管理システムへの 不正アクセスを確認したと発表した。
同社によると、2026年8月9日、攻撃者が顧客管理システムに不正に侵入し、 システム内にマルウェアをインストールしていたことが判明した。
現在までの調査では、最大1,360,563件のアカウントが影響を受けた可能性があるという。
ただし、ここで重要なのは、今回の事件について 「システムへの侵入」と「顧客データの実際の流出」は別の問題 だという点だ。
⇒購入
さくらインターネットは現時点で、顧客データが実際に外部へ流出したことは確認していないとしている。
最初は583アカウントの不正アクセスだった
さくらインターネットは、Sakura Rental Serverサービスで発生した セキュリティ上の問題を調査する過程で、顧客管理システムに異常があることを発見した。
初期調査では、583件のアカウントについて不正なログインが確認された。
さらに、攻撃者が顧客向けシステムや顧客データにアクセスしていたほか、 さくらインターネットのシステム上にマルウェアをインストールしていたことも確認された。
同社のセキュリティチームは異常を確認した後、マルウェアを削除し、 漏えいした可能性のある認証情報についても変更を行った。
しかし、その後の調査によって影響範囲は大きく広がった。 現在までに収集された証拠から、1,360,563件のアカウントが影響を受けた可能性があるという。
「136万人が情報流出した」という意味ではない
今回の事件を理解する上で、非常に重要なのが 「影響を受けた可能性がある」ことと「データが流出した」ことを区別することだ。
現時点で確認されているのは、攻撃者がシステムへ不正に侵入し、 顧客関連システムやデータにアクセスできる状態になっていたということだ。
一方で、136万人分の顧客情報が実際に攻撃者によってダウンロードされた、 あるいは外部へ持ち出されたことが確認されたわけではない。
したがって、現段階で「136万人の個人情報が流出した」と断定するのは適切ではない。
今後の調査で重要になるのは、攻撃者が実際にどのデータへアクセスし、 どのデータを取得したのかという点だ。
パスワードはハッシュ化されていた
さくらインターネットは、ユーザーのパスワードを平文で保存しているわけではない。
仮に攻撃者がパスワードデータベースを取得していたとしても、 基本的にはソルトを加えたハッシュ化されたパスワードを入手することになる。
そのため、データベースに保存された値をそのまま使って ユーザーアカウントへログインすることはできない。
ただし、これは「パスワードの安全が完全に保証される」という意味ではない。
攻撃者がハッシュ化されたパスワードを入手した場合、 オフラインで解析を試みる可能性は残る。
特に、短いパスワードや他のサービスと同じパスワードを使い回している場合には、 リスクが高くなる。
身代金要求は確認されず、ランサムウェア攻撃でもない
今回の事件で注目されるもう一つの点は、 現時点で攻撃者を名乗るハッカーグループが存在しないことだ。
一般的なランサムウェア攻撃では、攻撃者が企業のシステムへ侵入した後、 データを盗み出したりシステムを暗号化したりして、 身代金を要求するケースが多い。
その場合、攻撃グループがダークウェブ上のリークサイトなどで 被害企業の名前を公開することもある。
しかし、今回の事件では、現時点でそのような動きは確認されていない。
さらに、さくらインターネット自身も、 今回の事件はランサムウェアとは関係なく、身代金の要求もなかった と説明している。
同社は安全上の理由から、今回使用されたマルウェアについて、 詳細を現時点では公表していない。
AI新視点：本当に注目すべきなのは「136万人」という数字ではない
今回の事件で本当に注目すべきなのは、 「136万人」という数字そのものではない。
より重要なのは、 日本のデジタルインフラを担う企業の顧客管理システムに、 なぜ攻撃者が侵入できたのかという問題だ。
さくらインターネットは、単なるウェブサイトのホスティング会社ではない。 VPS、クラウド、データセンター、GPUコンピューティングなど、 日本のデジタル社会を支えるさまざまなインフラサービスを提供している。
また、日本政府の「政府クラウド」における国内クラウドサービス事業者の一社でもある。
そのため、このような企業でセキュリティ事故が発生した場合、 単純に「ユーザーのパスワードが漏れたかどうか」だけを見るべきではない。
本当に確認すべきなのは、 攻撃者がどこまで侵入し、何を見ることができ、何を変更し、 何を持ち出したのかという点だ。
企業が大量のデータを管理するほど、責任も大きくなる
現代のクラウド事業者が管理しているのは、単なるサーバーだけではない。
顧客との契約情報、個人情報、企業情報、アカウント情報、 認証情報など、非常に多くのデータが一つの企業に集約されている。
これは利便性を高める一方で、 一つのシステムが突破された場合の被害規模も大きくなる という問題を抱えている。
今回も、最初に確認されたのは583件の不正アクセスだった。 ところが調査が進むにつれて、影響の可能性があるアカウント数は136万件以上に拡大した。
これは、サイバー攻撃の難しさを象徴している。 企業が攻撃を発見した時点では、 実際に攻撃者がどこまで侵入しているのか分からないケースがあるからだ。
そのため、企業に求められるのは単純にマルウェアを削除することだけではない。
- 攻撃者はいつ侵入したのか
- どこから侵入したのか
- どのシステムにアクセスしたのか
- どのデータを閲覧したのか
- データを外部へ持ち出したのか
- バックドアなどを残していないか
- 他のシステムへ横展開していないか
こうした点を明確に説明できなければ、 企業は「顧客データが流出していない」と十分に説明することが難しい。
一般ユーザーは何をすべきか
現時点では、「136万人」という数字だけを見て過度に不安になる必要はない。
なぜなら、現段階では136万人分の顧客データが実際に流出したことは確認されていない からだ。
ただし、ユーザー側でできる予防策はいくつかある。
まず、さくらインターネットで使用しているパスワードを 他のウェブサービスでも使い回している場合は、変更したほうがいい。
また、利用可能であれば多要素認証（MFA）を有効にすることも有効だ。
今後、「アカウントに異常がある」「パスワードを再設定してください」 などといったメールやSMSが届いた場合も注意が必要だ。
メッセージ内のリンクを直接クリックするのではなく、 公式サイトからログインして状況を確認するほうが安全だ。
まとめ
今回の事件は、現時点では「136万人分の個人情報が流出した事件」と 断定できる状況ではない。
しかし、583件の不正ログイン、顧客管理システムへの侵入、 マルウェアの設置、そして最大136万563件のアカウントが影響を受けた可能性 が判明している以上、重大なセキュリティインシデントであることに変わりはない。
今後の焦点は、攻撃者が実際にどの情報へアクセスしたのか、 データを外部へ持ち出したのか、そして攻撃がどの程度の期間続いていたのかという点になる。
ユーザーにとって重要なのは、現時点で必要以上に恐れることではなく、 パスワードの使い回しを避け、多要素認証を利用し、 今後の公式発表を確認することだ。
一方、さくらインターネットにとって本当の試練は、 「マルウェアを削除した」と発表することではない。
攻撃者が侵入した後、何を見て、何を取得し、何を持ち出したのか。 そして、それを顧客に対してどこまで透明かつ検証可能な形で説明できるのか。
そこまで説明して初めて、企業は顧客からの信頼を取り戻すことができる。