2026年8月、さくらインターネットで不正アクセスがありました。
気になったのは、被害の大きさよりも入られ方です。
利用者のパスワードが破られたわけではありません。 事業者側の管理環境を経由して、顧客の環境に到達しています。
つまり、利用者がどれだけパスワードを強くしていても、そこは通らずに入られたということです。
この記事では、公表されている内容だけを整理して、そのうえで契約先を問わず、いま自分のサイトで確認しておくことを書きます。
公表されている内容
推測は書きません。 発表された事実だけを並べます。
第一報（8月17日）
8月9日、さくらインターネットが管理するサーバー環境で異常を検知し、調査が始まりました。
その後の調査で、第三者が同社の管理環境を経由して、「さくらのレンタルサーバ」の一部顧客環境へ不正アクセスしていたことが判明しています。
不正ログインの対象 583アカウント
確認されたこと 攻撃者が顧客のアカウントに
アクセス可能な領域へ到達
一部サーバーにマルウェアが設置
影響の可能性 利用者識別子、顧客環境に保存された情報
（メール、サイトのデータ、ログ、ファイル等）顧客情報および通信の秘密に該当する情報へ、アクセス可能な状態だったと発表されています。
なお、さくらのVPS、さくらのクラウド、専用サーバへの影響は、現時点で確認されていないとされています。
第二報（8月19日）
調査を続けた結果、販売管理システムへの不正アクセスの可能性が新たに判明しました。
影響の可能性がある会員情報 最大 1,360,563 アカウント
対象の項目 会員ID、会社名、部署名、住所、氏名、
電話番号、メールアドレス、生年月日、
性別、FAX番号、契約サービス、
契約期間、請求金額 など
ハッシュ化パスワード 30アカウントでアクセスの可能性
クレジットカード情報 会員情報には保存していないこの不正アクセスは、レンタルサーバへの不正アクセスを検知した8月9日より前に発生していたとされています。
現時点でデータの外部持ち出しは確認されていないと発表されています。また、136万563という数字は「影響が確定した数ではない」とも説明されています。
会社側の対応
認証情報の失効、マルウェアの除去、監視の強化。外部の専門機関による調査。対象となる顧客への個別連絡が行われています。
あわせて、一部機能の利用が制限されています。
この件で、いちばん重要なところ
侵入の経路です。
よくある不正アクセスは、利用者のログイン画面を総当たりで叩く形です。だから、パスワードを強くする、試行回数を制限する、という対策が効きます。
今回は、そこを通っていません。
事業者の管理環境から入って、顧客の領域に到達しています。利用者側の入口を守っていても、迂回されました。
これが意味すること
「うちは対策しているから大丈夫」と言える根拠が、1つ減りました。
誤解のないように書きますが、利用者側の対策が無意味になったわけではありません。 通常の攻撃には、いまも有効です。
ただ、それだけでは防げない経路があるということが、はっきりしました。
だから、「起きたあと、どうするか」を用意しておく必要があります。このシリーズは、そこから始めます。
自分が対象かどうか
さくらインターネットを使っている方へ。
影響を受けた可能性のある顧客には、登録メールアドレス宛に個別の連絡が行われています。
会社側は、「個別のお客さまが対象に含まれるかどうかを確定的にお伝えできる段階にない」としています。調査が継続中のためです。
連絡が来ていないから安全、とは限りません。 現時点では、そういう状態です。
まず、公式の発表を見てください
この記事は8月21日時点の情報です。 調査は続いているので、状況が変わっている可能性があります。
さくらインターネットの公式サイトに、この件のFAQページが用意されています。最新の情報は、そちらで確認してください。
不審なメールに注意してください
こういう事件のあとは、必ず便乗した詐欺が出ます。
「あなたのアカウントが対象です」「至急パスワードを変更してください」といったメールが届いても、メール内のリンクは踏まないでください。
自分でブラウザを開いて、公式サイトから入る。 これを徹底してください。
契約先を問わず、いま確認すること
ここからは、どのサーバーを使っている方にも当てはまります。
さくらインターネットは、顧客に対して次の3点の確認を求めています。これは、そのまま一般的な点検項目になります。
1. 身に覚えのないファイルや管理者アカウントが
追加されていないか
2. ウェブサイトやアプリケーションに
不審な変更が行われていないか
3. 心当たりのないログインやメール送信等が
発生していないかこれを踏まえて、具体的な確認手順を5つ書きます。
1. 管理者ユーザーの一覧
いちばん先に見るべきところです。
WordPressの管理画面から、「ユーザー」を開いてください。
見るところは3つ。
知らないユーザーがいないか。 とくに権限が「管理者」になっているもの。
自分の権限が変わっていないか。 管理者だったはずが、別の権限になっていることがあります。
ユーザーの数が増えていないか。 一覧の上に「すべて（◯）」と件数が出ます。覚えている数と違ったら、そこを疑ってください。
2. 最近更新されたファイル
身に覚えのない日時で更新されているファイルがないかを見ます。
FTPソフトやサーバーのファイルマネージャーで、更新日時の順に並べ替えてください。
自分が何もしていない日に更新されているものがあれば、そこが手がかりです。
とくに見るのは、WordPressの本体があるフォルダの直下と、wp-content の中です。
3. 検索エンジンからの見え方
自分では気づけない改ざんが、ここで見つかることがあります。
検索窓に、こう入れてください。
site:自分のサイトのドメイン自分のサイトのページが一覧で出ます。
見覚えのないページが混ざっていないかを確認してください。日本語以外のページ、通販らしきページ、意味の分からないURL。
そういうものが出てきたら、改ざんされている可能性があります。
4. 送信されているメール
サイトが迷惑メールの踏み台にされることがあります。
サーバーの管理画面で、メールの送信ログが見られる場合があります。
身に覚えのない大量の送信があれば、そこも手がかりです。
また、問い合わせフォームからの自動返信が急に届かなくなったという場合も、送信が止められている可能性があります。
5. ログイン履歴
セキュリティのプラグインを入れていれば、記録が残っています。
成功したログインを見てください。失敗ではなく、成功のほうです。
自分が触っていない時間帯に、成功しているログインがないか。 見慣れない場所からのアクセスがないか。
プラグインを入れていない場合は、サーバーのアクセスログで確認できることがあります。
確認するときの注意
先に消さないでください
不審なファイルやユーザーを見つけても、すぐには消さないでください。
理由が2つあります。
侵入の経路が分からなくなります。 どこから入られたかを調べる手がかりが、消えてしまう。
そして、たいてい1つでは済みません。 見つけたものだけ消して安心すると、残ったものが動き続けます。
まず、記録を取ってください。 画面を撮る、ファイル名と日時を控える。それからです。
見つからなくても、安全とは限りません
正直に書いておきます。
上の5つを確認して何も出てこなくても、「侵入されていない」という証明にはなりません。
見た目に出ない改ざんもありますし、時間を置いてから動き出すものもあります。
「見つかったものはなかった」というだけです。そこは分けて考えてください。
異常が見つかったら
落ち着いてください。 慌てて操作すると、状況が悪くなることがあります。
やることは、状況によって変わります。
管理画面に入れない場合。 パスワードを変えられている、権限を外されている、アカウントごと消されている。次回に書きます。
入れるが、不審なファイルがある場合。 どこを探せばいいか、何を見れば分かるか。第3回で書きます。
改ざんが確認できた場合。 取り除き方と、復旧の手順。第4回で書きます。
自分で抱え込まない判断も
手に負えないと感じたら、専門の業者に相談する選択があります。
とくに、顧客の情報を預かっているサイトや、決済を扱っているサイトの場合。判断を誤ると、被害が広がります。
無理に自分で直そうとしないでください。
まとめ
- 2026年8月、さくらインターネットで不正アクセスが公表された
- 侵入は、事業者側の管理環境を経由。利用者側の入口を通っていない
- レンタルサーバで583アカウントに不正ログイン、マルウェアの設置も確認
- 販売管理システムで、最大136万563アカウントの契約情報に影響の可能性
- この数字は確定ではない。 調査は継続中
- 利用者側の対策では防げない経路があることが、はっきりした
- だから、起きたあとの手順を用意しておく必要がある
- いま確認するのは、管理者一覧／更新日時／検索結果／送信メール／ログイン履歴
- 見つけても、すぐ消さない。 記録を取ってから
- 見つからなくても、安全の証明にはならない
- 便乗した詐欺メールに注意。 リンクは踏まず、公式サイトから入る
この記事は2026年8月21日時点の情報です。 調査は継続中なので、最新の状況は公式の発表をご確認ください。
次回は、管理画面に入れなくなったときの対処を書きます。パスワードを変えられた、権限を外された、アカウントごと消された。そういう状態から、どうやって戻すか。
