Blog

使っているサーバー会社から、不正アクセスのお知らせが届いた。自社サイトは普通に表示されているし、WordPressも更新している。それでも何かした方がいいのでしょうか。

まず確かめたいのは、自社が契約しているサーバーや会員情報が、案内の対象に入っているかです。サイトが表示されることと、保存された情報が守られていることは別の話。かといって、ニュースを見ただけで自社サイトも侵入されたと決めつける必要はありません。

さくらインターネットが2026年9月10日に公表した続報を手がかりに、担当者がどこまで確認し、何を制作会社へ頼めばよいかを考えてみます。

9月10日に新たに攻撃された、という話ではない

さくらインターネットは8月9日、レンタルサーバーのメンテナンス用サーバーで異常を検知しました。9月10日の第三報は、その後の調査結果と対応の報告です。同社は、不審な通信の遮断やマルウェア（不正なプログラム）の除去など、被害拡大を防ぐ対応を完了したとしています。

ここで混同しやすいのが、サイトを置いている場所の情報と、サーバー会社に登録した契約者の情報です。今回公表された対象には、この二つがあります。

この件数には重複があります。また、全件の情報が実際に持ち出されたと確認された数字ではありません。第三報では、外部への持ち出しを裏付ける明確な事実や、本件による二次被害は確認されていないと説明されています。さくらインターネットの第三報

WordPressを更新していれば防げるのでは？

WordPress本体やプラグインをそれぞれ更新すると、自社サイトで使うソフトの問題を修正できます。ただし、サーバー会社が使う管理システムまで更新されるわけではありません。

自社で記事を編集する画面と、サーバー会社が契約や設備を管理する仕組みは、同じものではないからです。今回も、サービスを動かす環境とは別の販売管理システムへの不正アクセスが報告されています。侵入経路の技術的な詳細は公表されておらず、特定のWordPressプラグインが原因だったといった判断はできません。

逆に、サーバー会社が対応したからといって、自社で使うWordPressの更新が不要になるわけでもありません。担当する場所が違うので、片方の対策で、もう片方まで済ませたことにはならないのです。WordPress公式のセキュリティ解説でも、ホスト環境とサイト側の対策は分けて説明されています。

「うちはクラウドやVPS（仮想専用サーバー）だから関係ない」とも、すぐには判断できません。さくらは、レンタルサーバー以外のサービス提供環境には不正アクセスの兆候を確認していないとしています。一方、契約者の会員情報は別の管理システムにあるため、利用サービスだけで対象外とは言い切れません。対象範囲に関する公式FAQ

最初に開くのは、WordPressではなく契約のお知らせ

今回のような事故では、先にプラグインを追加するより、契約者宛ての案内を探す方が、自社への影響を確認する近道です。自社契約なら登録メール、制作会社が契約を管理しているなら、その担当者に届いた連絡を確認してもらいましょう。

さくらは対象者へ個別に案内していますが、登録情報の不備などで連絡が難しい場合もあるとしています。「メールを見ていない」だけで対象外とせず、今使えるメールアドレスが登録されているか、不明点は公式窓口へ確認してください。不審なメールのリンクからログインせず、普段使っているブックマークや公式サイトから開くのが安全です。

届いた案内では「パスワードを変更」の一言で済ませず、どのログインに使うパスワードかを読み分けたいところです。

• サーバー・メールのパスワード：変更が必要な対象者には個別案内があります。さくら側でサーバーパスワードを変更した契約では、その案内に従い、自分で設定し直します。
• VPSの管理者初期パスワード：対象の連絡を受け、契約時の初期パスワードを今も使っている場合は変更します。
• 会員メニューのパスワード：公式FAQでは、追加の認証コードなどを使う2要素認証が必須のため、直ちに変更する必要性は高くないとしています。ただし、他サービスで同じパスワードを使っている場合は、そちらの変更を勧めています。

WordPressのログインパスワードは、これらとは別です。今回のニュースだけを理由に、全サイトで一律にリセットする話ではありません。自社サイトへの侵入が見つかった場合には、その状況に応じた対応が必要になります。

制作会社には「大丈夫ですか」より、この二つを聞きたい

制作会社へ丸ごと確認を頼むこと自体は構いません。ただ、「サイトは正常に表示されています」という返事だけでは、今回知りたいことへの答えにならないかもしれません。

依頼するなら、次のように分けて聞くことを勧めます。

1. 今回の案内は、当社のどの契約に関係しますか。サーバー内のデータなのか、会員情報なのか、必要なパスワード変更は済んだのかを確認したい。
2. 当社サイトについて、何を確認できて、何はまだ分かりませんか。画面の表示だけでなく、不審な管理者の追加やファイルの変更、確認可能なアクセス記録など、調べた範囲を教えてほしい。

サーバー会社の内部記録まで制作会社が読めるとは限りません。確認できない範囲は、さくらへの問い合わせが必要なのか、別途調査を頼むべきなのかまで分かれば、次の判断ができます。

もし身に覚えのない管理者やページの書き換えが見つかったら、ニュースの対象確認とは別に、自社サイトの事故として対応します。慌ててファイルを消す前に、気づいた時刻と症状を残し、保守担当者へ連絡してください。WordPress公式も、状況の記録、ホスティング会社への確認、除去前の状態保存を案内しています。WordPress公式の侵害時の案内

不正なプログラムが見つかった後の対応は、別記事のWordPressへの侵入と、不正プログラムを取り除くまでで説明しています。

「任せているから大丈夫」を、確認できる状態にしておく

担当者がサーバーの中身をすべて調べられる必要はありません。それより、どの会社と契約していて、重要な通知が誰に届き、何かあったら誰に頼めるか。この連絡先が分からない方が、対応の出遅れにつながります。

今日はまず、契約のお知らせを受け取る人と、サイトの保守を頼める人を確認してみてください。対象なら個別案内に沿って対応する。異常があれば別途調べる。対象かどうか分からないなら、その確認を依頼する。これなら「表示されているから大丈夫」と思い込まず、必要なことから動けます。

契約や保守の窓口が分からない、現在の管理体制を見直したい場合は、ウェブモへ既存サイトについて相談することもできます。利用中のサービスと困っていることをお知らせください。

情報確認日：2026年9月11日。事故の対象範囲や対応案内は、リンク先の最新情報もご確認ください。