さくらインターネット136万件の会員情報が取得された可能性、会社名・電話番号・初期パスワードで何をされるのかまとめました

2026年9月10日、さくらインターネット株式会社は、不正アクセスの調査結果を第三報として公表しました[1]。同社は、販売管理システムに保存されていた会員情報等が「第三者による閲覧または取得された可能性があることを確認しました」としています。対象は1,360,563アカウントで、会員ID・会社名・部署名・住所・氏名・電話番号・メールアドレス・生年月日・性別・FAX番号・契約サービス・契約期間・請求金額等が含まれます。クレジットカード情報は保持していないとしています。

同社は、データが外部へ持ち出されたことを裏付ける明確な事実は確認されていないとしています[1]。ただ、販売管理システムには、レンタルサーバの一部の初期サーバーパスワードと、VPSの一部の管理者初期パスワードが、ハッシュ化されていない形で保存されていたとも書かれています[1]。持ち出しが確認されていないから安心、とは言い切れません。

「自分の会社の情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、取得された可能性のある情報が悪用されうる場面と、さくらインターネットのサービスで認証が使われる場所を、公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• 会社名・部署名・契約サービス・請求金額まで正しく入った、さくら名義の偽メールや偽の請求、サポートを名乗る電話が届きやすくなります。
• 個別の案内を受けた人は、サーバーパスワードやVPSの管理者パスワードを、初期のまま使い続けていないか確かめておくと安心です。
• 会社側がまず見直したいのは、初期パスワードの扱いと、サーバー側のログインの守りと、窓口での本人確認です。

なお、本記事は公表文やヘルプページなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

第三報[1]と第一報[2]によると、概要は次のとおりです。

取得された可能性のある情報で、何ができてしまうか

さくらインターネットは、法人や開発者の利用が多いサービスです。今回の項目は、個人の連絡先に加えて「どの会社の、どの部署の誰が、どのサービスを、いくらで契約しているか」がそろっている点に特徴があります。

法人のサーバーには、その会社の顧客や取引先の情報が置かれていることも多くあります。サーバーに入られると、被害が取引先にまで広がるおそれがある点が、個人向けサービスの事故との違いです。

さくらインターネットで認証が使われる場所

公式のヘルプやFAQで確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の再発防止策には、実施済みの項目として「認証方式および認証情報の管理方法の見直し」が挙げられています[1]。認証の観点からは、次の順で見直すことが考えられます。

1. 初期パスワードを、平文で持たず、使い続けさせない。今回は、販売管理システムにハッシュ化されていない初期パスワードがあったことが、影響の範囲に関わっています[1]。初期のまま使う利用者が残らない運用が考えられます。
2. サーバー側のログインの守りを、会員メニューに近づける。会員メニューでは2要素認証が必須ですが、サーバーコントロールパネルは必須化の対象外です[5]。また法人・団体名義では会員メニューの2要素認証を無効化できます[4]。法人の利用が多いからこそ、ここの差が狙われる可能性があります。
3. 窓口と復旧の本人確認から、今回の項目を外す。会社名・住所・電話番号・生年月日が合えば本人とする扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

さくらインターネットは、事故の前から会員メニューの2要素認証を必須にしており、SMSや音声電話も選べるようにしています[4]。パスワードだけで入られない形をすでに作っている点は、事実として押さえておきたいところです。

そのうえで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、今回の会員情報とともに第三者の手に渡った可能性があります。後者は、情報が取得されても変わりません。

SMSで届く確認コードも「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[6]。禁止ではありませんが、コードを偽サイトに入力させる手口などを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら