2026年9月10日、さくらインターネットは、同社システムへの不正アクセスについて調査結果をまとめた第三報を公表しました。
ネット探検ラボでは、これまでにもこの事件を取り上げてきました。
今回の第三報によって、新たな事実が明らかになっています。
「さくらのレンタルサーバ」で第三者による閲覧または取得の可能性がある対象は、当初公表された583アカウントから951アカウントへ拡大しました。
さらに、レンタルサーバ環境からは2025年7月以降のものと考えられる不審な活動の痕跡が確認されています。
そして、もう一つ重要な事実が明らかになりました。
契約情報などを管理する販売管理システムに対する不正アクセスは、2023年4月から2026年3月までの間に発生していたというのです。
販売管理システムに保存されていた会員情報について、第三者による閲覧または取得の可能性がある対象は、最大1,360,563アカウントに及びます。
ただし、ここは慎重に読む必要があります。
「2023年4月から2026年3月まで攻撃者が継続して潜伏していた」と公表されたわけではありません。
さくらインターネットが確認したのは、この期間内に不正アクセスが発生していたという事実です。
また、2025年7月以降とみられるレンタルサーバ環境の不審活動についても、同社は「継続的な侵害を示すものではない」としています。
したがって、確認されていない長期潜伏を前提に事件を論じるべきではありません。
それでも私は、第三報を読んで一つの大きな疑問を抱きました。
なぜ、もっと早く気づけなかったのか
今回の事件が発覚したのは、2026年8月9日です。
さくらインターネットは、「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知し、そこから調査を開始しました。
つまり、さくらインターネットには異常を検知する仕組みが存在していました。
そして実際に、その仕組みは機能しています。
ここは正当に評価する必要があります。
しかし、その後に調査範囲を広げたところ、2025年7月以降と考えられる別の不審活動の痕跡が見つかり、さらに販売管理システムを調べると、2023年4月から2026年3月までの間に発生していた不正アクセスまで確認されました。
ここに今回の事件を考える重要なポイントがあります。
事後のフォレンジック調査では発見できた痕跡を、なぜ発生した時点では異常として捉えることができなかったのか。
これは、「監視していなかった」という意味ではありません。
現在公表されている情報だけから、当時の監視体制が存在しなかったと断定することはできません。
むしろ重要なのは…
- 何を監視していたのか
- 何が見えていたのか
- そして、何が見えていなかったのか
…という点です。
第三報の「再発防止策」が逆に教えてくれること
ここで注目したいのが、さくらインターネット自身が公表した再発防止策です。
同社はすでに…
- 管理者権限とアクセス権限の総点検・厳格化
- 重要システムへの接続経路と通信制限の見直し
- 認証方式・認証情報管理の見直し
- EDRの導入範囲拡大
- 管理用サーバーのセキュリティ設定強化
…を実施したとしています。
さらに今後、「不正アクセスの早期検知を目的とした監視対象および検知機能の拡充」
そして、「セキュリティに関するログの取得範囲、保管期間および分析体制の見直し」を進めるとしています。
これは非常に重要な記述です。
もちろん、「見直す」と書かれていることだけを根拠として、それまで対策が存在しなかったと判断することはできません。
しかし少なくとも今回の侵害を受けて、さくらインターネット自身が、監視対象、検知能力、ログ取得範囲、ログ保管期間、分析体制を改善すべき対象として認識したことは読み取れます。
そして第三報には、もう一つ気になる記述があります。
2025年7月以降と考えられる不審活動について、「時間の経過に伴う記録の制約等」によって、本件との同一性や具体的な侵入経路、顧客情報への影響を客観的に確認するには至らなかったとしています。
これは単なる過去の出来事ではありません。
サイバー攻撃を後から追跡するためには、ログが必要です。
ログが存在していても保存期間を過ぎていれば追跡できません。
ログを保存していても必要な情報が記録されていなければ追跡できません。
そして膨大なログが存在していても、それを横断的に分析し、異常な行動を発見できなければ、攻撃者の存在をリアルタイムで認識することは困難です。
今回の事件は、まさに“「記録すること」と「見えること」は同じではない”ことを示しているのではないでしょうか。
マルウェアまで設置されていた
さらに考えなければならないことがあります。
今回確認されたのは、不正な認証だけではありません。
「さくらのレンタルサーバ」の一部サーバーには、マルウェアが設置されていました。
盗まれた正規の認証情報を利用する攻撃者は、正常な利用者との区別が難しい場合があります。
IDとパスワードが正しければ、認証システムから見れば「認証成功」です。
しかし侵入後にマルウェアを配置し、ファイルを生成し、プロセスを実行し、外部との通信を行えば、認証とは別の場所にも痕跡が残る可能性があります。
つまり…
- 認証を見る目。
- 端末やサーバーを見る目。
- 通信を見る目。
- ログを横断して行動を見る目。
…といった複数の「目」が必要になります。
さくらインターネットが再発防止策としてEDRの導入範囲拡大や監視対象・検知機能の拡充を掲げたことは、この問題を考えるうえでも重要です。
ここまで来ると、今回の事件を単純に、「さくらインターネットのセキュリティ対策が甘かった」だけで片付けるべきではないと私は考えます。
もっと大きな問題が見えてくるからです。
私たちは、組織の「内側」ばかりを見てサイバー攻撃を防ごうとしていないかということです。
ここから、今回の記事のもう一つの核心に入っていきたいと思います。
「攻撃が見えなかった」ことを、どう捉えるべきか
ここで、「さくらインターネットには攻撃が見えていなかった」と単純に結論づけるのは適切ではありません。
今回の経緯を整理すると、少なくとも三つの段階があります。
第一に、過去に発生していた不正アクセスを、その発生時点では攻撃として検知できなかったこと。
第二に、2026年8月9日、メンテナンス用サーバーの異常を、さくらインターネット自身が検知したこと。
そして第三に、その異常を起点として調査範囲を過去へ広げた結果、2025年7月以降と考えられる不審活動や、販売管理システムへのさらに古い不正アクセスまで発見したことです。
つまり、さくらインターネットに「攻撃を見る目がまったくなかった」わけではありません。
- 遅かれ早かれ、自ら異常を捉えています。
- 問題は、その「目」がいつ攻撃者を捉えたのかです。
- 攻撃者が侵入しようとした段階なのか。
- 認証情報が悪用された段階なのか。
- サーバー内部で不審な操作を始めた段階なのか。
- マルウェアを設置した段階なのか。
- それとも、それらの活動から時間が経過した後だったのか。
サイバー防御では、“最終的に発見できたか」だけではなく、「侵入から発見までにどれだけ時間がかかったか」”が極めて重要です。
そして今回、もう一つの問題が浮かび上がりました。
見つけた。しかし、過去を十分に追えなかった
2026年8月9日の異常検知を起点として、さくらインターネットは過去へ調査範囲を広げました。
そこで、さらに古い不審活動の痕跡が見つかります。
ところが、調査を過去へ遡るにつれて別の壁に突き当たりました。
ログや記録です。
さくらインターネットは第三報で、2025年7月以降と考えられる不審活動について、「時間の経過に伴う記録の制約等」により、本件との同一性や具体的な侵入経路、顧客情報への影響を客観的に確認するには至らなかったと説明しています。
ここは非常に重要です。
攻撃の痕跡を見つけた。
↓
もっと過去を調べる必要がある。
↓
しかし、その時点では調査に必要な記録が十分に残っていない。
これでは、攻撃者が「何をしたのか」だけでなく、「どこから入ったのか」「どこまで移動したのか」「いつから活動していたのか」を完全には再現できません。
ログは、単なるシステムの運用記録ではありません。
インシデント発生後には、過去の攻撃を再現するための証拠になります。
そして、この事件から見えてくる問題は二つあります。
リアルタイムで攻撃を発見する「検知能力」。そして、発見後に過去へ遡って攻撃者の行動を再構成する「追跡能力」。
この二つは似ていますが、同じものではありません。
高度な検知システムを導入していても、必要なログが残っていなければ過去を追えません。
逆に大量のログを長期間保存していても、それをリアルタイムで分析していなければ、攻撃者が活動している最中には気づけないかもしれません。
今回のさくらインターネット事件では、この二つの問題が同時に浮かび上がったように見えます。
攻撃を、その時に見つけること。
そして見つけた後に、過去を振り返れること。
サイバー防御には、その両方が必要なのです。
しかし、ここでもう一つ疑問が生まれます。
自社ネットワークの内部をどれだけ詳細に監視し、どれだけ長期間ログを保存したとしても、それだけで十分なのか？
攻撃者は、自社ネットワークの中で突然生まれるわけではありません。
攻撃者は、その「外側」からやって来ます。
ここから視線を、さくらインターネットのネットワークの外へ向けてみたいと思います。
攻撃者は、突然ネットワークの中に現れるわけではない
ここまで、さくらインターネットの「内側」を見てきました。
ここで、少し視点を変えてみたいと思います。
攻撃者は、ある日突然、企業ネットワークの内部に出現するわけではありません。
その前には、攻撃の準備（偵察）があります。
- インターネット上に公開されているサーバーやVPN機器などを探す。
- 使用されている製品やサービスを調べる。
- 利用できる脆弱性を探す。
- 盗まれた認証情報を入手する。
- あるいは、すでに侵害した別の企業や家庭のルーターなどを中継地点として利用する。
- そして準備が整ったところで、標的となる組織への侵入を試みます。
つまり、企業のネットワークから見れば「攻撃が始まった瞬間」でも、攻撃者側から見れば、その前から活動は始まっている可能性があります。
ここに、組織内部の監視だけでは捉えにくい領域があります。
自分たちの「外側」で何が起きているのか
企業は、自社のネットワークを監視できます。
- サーバーのログを見る。
- VPNへの接続を見る。
- 認証を見る。
- EDRで端末やサーバー上の挙動を見る。
- ネットワーク通信を監視する。
これらはすべて重要です。
しかし当然ながら、企業が自由に監視できる範囲には限界があります。
自社とは関係のない第三者のネットワークへ勝手に入り込み、通信を調べたり、サーバー内部を探索したりすることはできません。
日本には不正アクセス禁止法があり、通信の秘密をはじめとする法的な制約もあります。
だからといって、企業が自社の外側をまったく見られないわけではありません。
公開情報を調査するOSINT、セキュリティ企業から提供される脅威インテリジェンス、悪性IPアドレスやドメインに関する情報など、合法的に外部の脅威を把握する方法は数多くあります。
しかし、それでも限界があります。
民間企業だけに「もっと外を見ろ」と要求することには無理があるのです。
では、その先を誰が見るのでしょうか。
「日本の脅威を、米国NSAが察知していた」
ネット探検ラボでは先日、
という記事を掲載しました。
そこで取り上げたのは、日本に対するサイバー脅威について、日本側ではなく米国側から情報がもたらされた事例です。
この事実を、単に「米国の情報能力はすごい」で終わらせてはいけないと私は考えています。
むしろ問うべきなのは…
なぜ、日本に向けられた脅威を、日本自身より先に米国が察知できたのか。
…ということです。
もちろん、NSAと一民間企業であるさくらインターネットを単純に比較することはできません。
- 任務も違います。
- 権限も違います。
- 利用できる情報も違います。
- 観測できる範囲もまったく違います。
だからこそ重要なのです。
民間にできないことを、誰が担うのか
さくらインターネット事件を見て…
- 「もっと監視を強化すべきだった」
- 「もっと早く気づくべきだった」
…と指摘することは簡単です。
そして実際、企業自身が改善しなければならない部分もあります。
しかし、日本全体のサイバー防御を考えるのであれば、それだけでは足りません。
企業の中を見ることは、まず企業自身の責任です。
では、企業の外側はどうでしょうか。
- 日本企業を狙って準備されている攻撃インフラ。
- 世界各地に存在する侵害済み機器。
- 日本への攻撃に利用される中継地点。
- 特定の脆弱性を狙って繰り返される探索活動。
- 複数の組織にまたがって現れる同じ攻撃者の痕跡。
一社だけを見ていては、単なる「点」にしか見えない活動でも、日本全体、あるいは国境を越えて観測すれば「線」になることがあります。
その「線」を見る役割まで、一企業に負わせることは現実的ではありません。
ここに、国の役割がある考えます。
国は「外を見る目」を持たなければならない
ここでいう「外を見る」とは、政府が無制限に他人のネットワークへ侵入してよいという意味ではありません。
むしろ逆です。
国家によるサイバー活動だからこそ、明確な法的根拠、権限の範囲、監督、記録、事後検証が必要です。
その統制のもとで、民間企業には困難な領域まで観測範囲を広げる。
そして、日本に向かっている脅威を察知したなら、攻撃を受ける可能性のある政府機関や企業へ迅速に知らせる。
重要なのはここです。
国がすべての企業を守るのではありません。
企業は自らのネットワークを守る。
国は、一企業からは見えない脅威を見る。
そして両者が情報をつなぐ。
私は、この関係を構築することこそ、日本がこれから整備すべきサイバー防御の一つだと考えています。
デジタル庁事件も、同じ問いを投げかけている
そして、この問題は民間企業だけの話ではありません。
ネット探検ラボで直前に取り上げたデジタル庁への不正アクセス事件でも、私たちは同じ問いに突き当たりました。
- 侵入経路を塞ぐこと。
- 認証を強化すること。
- 不要なアカウントを残さないこと。
- 脆弱性へ迅速に対応すること。
どれも基本であり、欠かすことはできません。
しかし、どれほど対策を積み重ねても、侵入を完全にゼロにできるとは限りません。
ならば次に必要になるのは、
侵入される前の兆候をどこまで捉えられるのか。
そして、
侵入された後、どれだけ早く攻撃者の存在を捉えられるのか。
という能力です。
さくらインターネット事件とデジタル庁事件。
性質の異なる二つの事件ですが、私には共通する問題が見えてきます。
日本には「内側を見る目」だけでなく、「外側を見る目」が必要なのではないかということです。
そして、その「外を見る目」を具体的にどのような仕組みにすればよいのか。
ここから先は、批判ではなく提案をしたいと思います。
日本に必要なのは、まず「外を見る目」ではないか
ここまで、さくらインターネットへの不正アクセスを「なぜ、もっと早く気づけなかったのか」という視点から見てきました。
さくらインターネットは、最終的には自ら異常を検知しました。
そして調査を過去へ広げ、さらに古い不審活動の痕跡を発見しました。
しかし、時間を遡るにつれて記録上の制約に突き当たり、確認できない部分が残りました。
ここから得られる教訓は明確です。
企業には、侵入を防ぐ防御だけでなく、侵入後の異常を早期に捉える検知能力と、発見後に過去の攻撃者の行動を再構成できるだけの記録が必要です。
しかし、私はそれだけでは足りないと考えています。
企業がどれほど自らのネットワークを監視しても、基本的に見ているのは「自分たちの側」です。
攻撃者は、その外側からやって来ます。
ならば、日本の外側で起きていることを誰が見るのでしょうか。
民間企業だけに「気づけ」と求めてはいけない
もちろん民間企業にも、脅威インテリジェンスを収集し、公開情報を調査し、自社に迫る脅威を把握する努力は必要です。
しかし、民間企業が観測できる範囲には法的にも技術的にも限界があります。
その限界を越えてまで、「攻撃される前に自分で見つけろ」と企業へ求めることはできません。
だからこそ、私はここに国の役割があると考えています。
日本の政府機関、重要インフラ、企業に向けられているサイバー攻撃の兆候を、個々の組織の境界を越えて観測する。
一つの企業では単なる点にしか見えない活動を集約し、別の組織で観測された情報や国外から得られた情報と突き合わせる。
そして、それらの点が一本の線としてつながったとき、「日本が狙われている」と判断できる仕組みを持つ。
私は、日本にもその「目」が必要だと思います。
NSAには見えて、日本には見えていなかった
先日の記事で取り上げた、日本に対するサイバー脅威を米国NSAが察知し、日本側へ情報提供した事例を、私は重く受け止めています。
米国が日本を助けてくれた。
それだけで終わらせてはいけません。
私たちが問わなければならないのは、
なぜ、日本に迫っていた脅威を、日本自身が先に察知できなかったのか。
ということです。
もちろん米国と日本では、情報機関の歴史も規模も権限も異なります。
NSAと同じものを日本に作ればよい、という単純な話でもありません。
しかし、日本を守るための情報を、日本自身が収集し、分析し、警告できる能力を持つ必要があるという点は変わりません。
デジタル庁への不正アクセス事件を調べたときにも、私は同じことを感じました。
そして今回、さくらインターネット事件を改めて調べても、また同じ場所へ戻ってきました。
Operation NINJA――まず「見る」ための仕組みを
先日の記事で、私は日本の能動的サイバー防御を具体化する仕組みとして、仮称“「忍者（NINJA）」、その活動を「Operation NINJA」”と呼ぶことを提案しました。
名前そのものに意味があるわけではありません。
重要なのは、その思想です。
能動的サイバー防御という言葉から、攻撃者のサーバーへ侵入する「ハッキング部隊」のようなものを想像する必要はありません。
私が最初に必要だと考えているのは、もっと手前です。
見ることです。
- 日本へ向かっている脅威を観測する。
- 複数の場所で見つかった小さな異常をつなぐ。
- 攻撃の兆候を分析する。
- そして危険が迫っている政府機関や企業へ知らせる。
- 必要な措置があるなら、その先は法律に基づいて判断する。
- まず、日本自身が日本へ向かっている脅威を見えるようにする。
そこから始めるべきではないでしょうか。
最後に
今回のさくらインターネット事件では、最終的に異常を検知することができました。
しかし、調査を過去へ広げると、それ以前の不審活動が見つかりました。
そして、さらに過去を追おうとすると、記録の壁に突き当たりました。
この事実から私たちが学ぶべきなのは、
「もっと強い壁を作れ」ということだけではないと思います。
壁はいずれ突破されるかもしれません。
認証情報も盗まれるかもしれません。
未知の脆弱性が使われるかもしれません。
だから防御を諦めるのではありません。
防壁を強くすることと同時に、侵入されたことに早く気づく。
そして、もう一歩先へ進む。
侵入される前から、こちらへ向かってくる脅威を見る。
さくらインターネット事件。
デジタル庁への不正アクセス。
そして、日本より先に米国NSAが察知した日本へのサイバー脅威。
異なる三つの出来事を追いかけてきましたが、私には同じ問いが残りました。
日本は、自分たちの内側だけを見ているだけでよいのか？
私は、そうは思いません。
日本のサイバー防御に必要なのは、より高い壁だけではありません。
観測域を拡大し、外を見る「目」を持つことです。
そしてその目を、誰かに借り続けるのではなく、
日本自身が持たなければならない。
私は、そう考えます。
コメント