セーファーインターネット協会、通報の内容などが漏えいの恐れ さくらのレンタルサーバ経由

一般社団法人セーファーインターネット協会(SIA)は2026年10月2日、利用していたさくらインターネットの「さくらのレンタルサーバ」で不正アクセスが起き、協会がそこに保存していた個人情報などが、第三者に見られたり取られたりした可能性があると公表しました。対象には、各種ホットラインへの通報や連絡の内容も含まれます。実際に見られたり取られたりしたことは、確認されていません。

元になったのは、さくらインターネットが8月に公表した、レンタルサーバと販売管理システムへの不正アクセスです。同社は9月10日の第三報で、調査が終わったとして、影響の範囲と再発の防止の策を示しました。

協会の公表で分かっていること

協会は、ネットの違法・有害な情報の通報を受け付ける窓口などを運営しています。通報の内容には、通報した人の連絡先や、相談の中身が含まれることがあります(当社の見立て)。

さくらインターネットの調査の結果(9月10日の第三報)

同社は、両方の不正アクセスに関係があることを示す明確な根拠は無いとしています。侵入の経路や技術の詳細は、守りのために公表を控えています。

提供元の事故が、利用者の事故になる

今回の協会の件は、協会のシステムが直接狙われたのではなく、借りていたレンタルサーバの提供元で起きた事故が、協会の情報に及んだ形です。さくらインターネットの第三報から、協会の公表まで約3週間かかっています。提供元からの報告を受けてから、自分たちの保存していた情報を洗い出し、対象者を特定して知らせるまでに時間が要ることが分かります(当社の見立て)。

同じさくらのレンタルサーバを使う会社や団体も、自分たちの領域に何を置いていたかを確かめる立場にあります。

影響する会社・しない会社

• 影響する: 協会のホットラインに通報した人、問い合わせのフォームを使った人、イベントや研修に申し込んだ人、協会とメールをやり取りした人。協会から個別にメールの案内が届きます
• 影響する: さくらのレンタルサーバの利用者で、さくらインターネットから個別の案内を受けた会社や団体。自分たちの領域に置いていた情報を確かめ、必要なら自分たちの顧客にも知らせます
• 影響する: さくらインターネットに会員として登録している会社。販売管理システムの会員情報が見られた可能性があります
• 確かめる: さくらのVPSを、契約したときの管理者の初期パスワードのまま使っている会社。パスワードを変えます
• 影響しない: さくらのレンタルサーバ以外のサービスの環境。同社は不正アクセスの兆候は無かったとしています

情シスが今日やること

1. さくらインターネットからの案内を探します。 レンタルサーバやVPSの契約の担当者のメールに、個別の案内が届いていないかを確かめます。担当者が替わっていれば、以前の担当者の受信箱も見ます。
2. 初期のパスワードを変えます。 さくらのVPSの管理者のパスワードや、レンタルサーバのサーバーパスワードを、契約のときのまま使っていないかを確かめ、変えます。
3. 置いている情報を洗い出します。 レンタルサーバに、問い合わせのフォームの記録、申し込みの一覧、メールの写しなどを置いていないかを見ます。要らないものは消し、残すものは保存の期間を決めます。
4. 提供元の事故を見張る担当を決めます。 使っているホスティングやSaaSの事故の公表を誰が追い、自社に影響があるときに、誰が対象者の洗い出しと連絡を進めるかを決めます。
5. 問い合わせや通報の窓口の守りを見直します。 相談や通報の中身のように重い情報は、共用のレンタルサーバではなく、アクセスの記録と権限を管理できる場所に置くことを考えます(当社の見立て)。