さくら第三報の「全サーバー再構築」を事業の話として読む。月数百円の共用レンタルサーバは、その値段でどこまで何を守れるのか。価格、分離、米韓欧星日の「床」の引き方、既存客、三つの出口。
2026年9月10日、さくらインターネットが不正アクセスの第三報を出した。調査完了、最終報である。レンタルサーバ側で影響の可能性がある対象は951アカウント。一方、契約情報を管理する販売管理システムでは最大1,360,563アカウントの会員情報等が閲覧・取得された可能性があり、その不正アクセスは2023年4月から2026年3月までの約3年間にわたって確認された。侵入経路は公表されていない。
その再発防止策の末尾に、こう書いてある。
「さくらのレンタルサーバ」の全サーバーの再構築によるクリーンナップ。
この一行を、事故対応ではなく事業の話として読んでみたい。月数百円で売られている共用レンタルサーバは、その値段で、どこまで、何を守れるのか。そしてこのビジネスは、この先どうなるのか。
7月に書いたスマイルサーバの記事で、私は「真面目な事業者でも、二台は止まった」と題した。NTTスマートコネクトは事件の直前も二夜連続でセキュリティ対策を入れていた。5月にはPHPの重大脆弱性を受けてSOAPを全機で緊急停止していた。怠慢ではなかった。それでも二台止まった。
理由は構造にある。共用レンタルサーバでは、ハードウェア、OS、Web/PHPなどの実行基盤は事業者が守る。しかしその上で動くPHPもCMSもプラグインも、顧客のものだ。典型的な共用ホスティングでは、同じホストOSやWeb/PHP実行基盤を多数の契約で共有している。事業者が管理していないコードが、事業者の管理する箱の中で動いている。
これは教育でも監視でも消えない。管理していないものは守れない。共用レンタルサーバの宿命と言っていい。
さくらの第三報が再発防止策として並べたのは、権限の総点検、管理用サーバーとサービス提供環境への多層的なアクセス制御、監視強化、EDR導入範囲の拡大、ログ保管期間の見直し、経営層を含むガバナンス強化。販売管理システムの三年未検知に対しては、これらは効く。侵入経路は非公表なので、レンタルサーバ側にどこまで効くかは外からは分からない。
ただし、これらは顧客が持ち込むPHPやCMS、プラグインの脆弱性そのものをなくす施策ではない。その構造を変える可能性がある施策として気になるのが、「全サーバー再構築」の一行である。ただし、さくら自身はそれを「クリーンナップ」としか言っていない。テナント分離を作り直すとは言っていない。
では、客はAWSに行けばいいのか。行けない。理由は値段ではなく、値段の中身にある。
まず公開されている料金を並べる（すべて税込、2026年9月時点の公式サイト掲載額）。
| サービス | 月額 |
|---|---|
| ロリポップ ライト | 330円（36ヶ月契約）〜605円（1ヶ月契約） |
| ロリポップ ハイスピード | 660円（36ヶ月契約）〜1,430円（1ヶ月契約） |
| さくらのレンタルサーバ スタンダード | 500円（36ヶ月契約）〜660円（月払い） |
| スマイルサーバ ベーシック | 4,290円 |
この金額に、Webサーバ、メールサーバ、DNS、管理画面、OSやミドルウェアの保守といった基盤機能がまとめて入る。バックアップや電話サポートの範囲はプランによって異なる。WordPressはボタン一つで入る。PHPの更新も事業者が告知して面倒を見る。
同じものをAWSで組むとどうなるか。
Amazon Lightsailの最小構成なら月3.5〜5ドル、WordPressを実用的に動かす2GB構成で月12ドル前後。円で700〜1,800円ほど。箱の値段だけなら共用レンタルサーバと桁は変わらない。ただしこの値段にはメールサーバが入っていない。OSのパッチも、WordPressとプラグインの更新も、バックアップの設計も、WAFも、監視も、全部自分でやる。
同等の機能をAWS上でEC2、RDS、AWS WAF、バックアップ、Route 53、WorkMailと個別に組み合わせれば、月数千円から1万円を超える構成になる。そして、それを設計し、監視し、パッチを当て、障害時に直す人がまだいない。人に任せれば、月500円とは比較にならない。
だから抜けられない。安さが客を縛っているのではなく、一式の安さが客を縛っている。
もう一つ、スマイルサーバの4,290円を見てほしい。さくらの約8倍で、NTTグループの安心と手厚いサポートを値段に乗せた商品だ。それでも二台は止まった。価格を上げれば構造が変わるわけではない。
「AWS並みに厚くしないと成り立たないのではないか」という声がある。半分正しい。ただし厚さの中身を取り違えると、話がずれる。
AWSの厚さは資金力だけではない。例えばEC2なら、顧客ごとのインスタンスという強い境界があり、顧客のアプリケーションが侵害されても、通常はその顧客の権限とインスタンスの境界内に封じ込めることを前提にしている。責任分界も最初から文書になっている。破られること自体は防げない。破られたときに誰が何を戻すかが決まっている。
つまり厚さの本質は、監視の予算ではなく、テナント分離と責任の契約である。
共用ホスティングでも分離は作れる。ユーザー分離、PHPプロセスの分離、コンテナ、ファイルシステムの隔離、強弱はいろいろある。ただしVM級の強い分離を月数百円の共用サービスで徹底すると、コスト構造そのものが変わる。それは先ほどの価格表が示している通りだ。責任分界は利用規約や仕様書に書かれている。ただ、それを利用者が日常的に意識しているとは限らない。
だからこの業態は、事故が起きたときに初めて「守れなかった」のではなく、最初から事業者だけでは完全には守り切れない前提で動いている。
同じ商売は世界中にある。値段も日本と大差ない。Hostingerは月3ドル前後から、Bluehostも同水準。違うのは、その値段で最低限どこまで守るかを、誰が決めているかだ。
| 最低線を引く主体 | 中身 | 共用の価格帯 | |
|---|---|---|---|
| 米国 | 事故後に当局が個社に | FTCがGoDaddyに包括的セキュリティ計画・第三者監査・「安全」表示の禁止を命令（2025年5月） | 月3ドル〜 |
| 韓国 | 事前に法が業種に | IDC事業者・ISP・一定規模の情報通信サービスにISMS認証（KISA審査）を義務化 | 月1万ウォン前後（約1,100円） |
| 欧州 | 業種を法の対象に | NIS2でクラウド・DC・DNSなどを対象に入れ、規模・業種に応じてessential/important entityとして規制。24時間以内の早期報告、経営陣の責任、制裁金は最大で売上の2% | 月数ユーロ〜 |
| シンガポール | 大手だけ、段階的に | 2024年改正法でクラウド・DCを「基盤デジタルインフラ」に。ただし対象は大手に限り、小規模は意図的に除外。施行は段階的 | 月数シンガポールドル〜 |
| 日本 | 努力義務とガイドライン | 2025年サイバーセキュリティ基本法改正で供給者に利用者支援の努力義務、2026年3月にサイバーインフラ事業者ガイドライン。強制認証なし | 月330〜660円 |
米国 — 事故のあとで、当局が来る
GoDaddyは約500万の顧客を持つ世界最大級のホスティング事業者だ。2019年から2022年にかけて、共用ホスティング環境で複数回の侵害を受けた。米連邦取引委員会（FTC）の訴状によれば、資産と更新の管理、リスク評価、ログと監視、多要素認証、そして共用ホスティング環境と安全性の低いネットワークとの分離が欠けていた。訴状によれば、2019年の侵入では、顧客側がパッチ管理を担うCustomer-Managed Hosting環境の未修正脆弱性が入口になった可能性が高い。そこから複数の環境を接続していたサーバの既知脆弱性を経由し、Shared Hosting環境へ横移動したとされる。買収した欧州の事業者のパッチ切れサーバも、そのまま抱えていた。
2025年5月、FTCは和解命令を確定させた。包括的な情報セキュリティプログラムの実施、第三者による定期監査、そして「受賞歴のあるセキュリティ」のような表示の禁止。GoDaddyは、実態と釣り合わない「安全です」を言えなくなった。
なお、海外のcPanel系共用ホスティングでは、CloudLinuxとCageFSによるホスティングアカウント単位のファイルシステム隔離が広く使われている。VM級ではないが、一つの契約アカウントが破られても別アカウントのファイルを直接見せない、という最低限の分離を月数ドルの価格帯で入れている。日本各社が同等の仕組みをどこまで入れているかは、仕様書には書いていない。
韓国 — 事前に認証を義務にした
情報通信網法により、IDC事業者とISP、および情報通信サービス部門の売上が100億ウォン以上または日平均利用者100万人以上の事業者は、KISAが審査するISMS認証の取得が義務になっている。審査項目は100を超える。Cafe24やGabiaの規模なら対象に入る。つまり共用ホスティングを売る事業者に、第三者審査付きの管理体制を法で要求している。
背景には2017年のNAYANA事案がある。ホスティング事業者のLinuxサーバ153台がランサムウェアで暗号化され、約13億ウォンを支払った。以後、韓国は事業者側に負担を乗せる方向に進み、個人情報保護委員会の課徴金も大型化した。共用ホスティングの価格は日本の約2倍だが、それが規制の結果かどうかは断定できない。
欧州 — 業種ごと法の対象にした
NIS2指令は、クラウド、データセンター、DNSなどを法の対象に入れ、規模と業種に応じてessential entityまたはimportant entityとして規制する。24時間以内の早期報告、経営陣の責任、制裁金はessentialで最大1,000万ユーロまたは全世界売上の2%、importantで最大700万ユーロまたは1.4%。原則としてEUの定義による中規模企業以上が対象で、従業員数や売上高などで判定される。DNSサービス事業者など、規模にかかわらず対象となる業種もある。対象に入った中小ホスティングには負担が不釣り合いに重い、という指摘が業界から出ている。
実際にドイツの国内法（2025年12月施行）を受けて、IONOSはドメイン・プライバシー機能を廃止し、法人の連絡先情報を公開する運用に移行した。Hetznerでも.deドメインの所有者情報について、NIS2とBSI法に基づく検証手続きが導入された。Pleskはログを無効化できない「NIS2モード」を提供している。一方で国内法化は遅れ、2026年7月には欧州委員会が未通知の4か国をEU司法裁判所に付託した。方向は明確だが、途上にある。
シンガポール — 大手だけを、段階的に
2024年のサイバーセキュリティ法改正で、クラウドとデータセンターを「基盤デジタルインフラ（FDI）」として規制対象にした。ただし対象は「多数の事業者に影響する大手」に限定し、規制コストに敏感な小規模事業者は外すと明記している。しかもFDI条項は2025年10月の第一次施行に含まれておらず、いつ絞るかは当局が選ぶ。少なくとも現時点で、一般的な小規模共用ホスティングまでFDI規制が直接及んでいるとは読めない。
日本 — 引き始めたが、まだ努力義務
日本でも最低線は引かれ始めた。2025年のサイバーセキュリティ基本法改正で、情報システム等の供給者には利用者のセキュリティ確保を支援する努力義務が加わり、2026年3月には経済産業省と国家サイバー統括室が「サイバーインフラ事業者に求められる役割等に関するガイドライン」を策定した。クラウド等のソフトウェアサービスも射程に入る。
ただし、韓国のような認証義務でも、欧州のような業種規制でもない。努力義務とガイドラインである。事業者は自主的にISMSを取り、約款に線を引き、価格は世界最安級に置いている。
これは怠慢というより、政策がまだそこまで来ていない、ということだ。しかし空白を埋めているのは事業者だけではない。月330円で「一式」が手に入ることに、利用者の側も慣れている。医療機関も、企業の公式サイトも、自治体の外郭団体も、その値段の中に自分たちのメールとDNSと業務を置き、事故が起きてから「守られていなかった」と知る。守れないものを守れないと言う責任は事業者にあるが、その値段で守れると思い込んでいたのは利用者の側でもある。
今回見た五地域の中では、日本には韓国のISMSや欧州のNIS2に相当する共用ホスティングへの強制的な最低線はなく、低価格競争と事業者の自主対策が併存している。だからこそ、さくらの再構築は「誰かに決められた最低線」ではなく、「自分でどこまで線を引くか」の問題になる。
守れない前提の商品を、月数百円で、数十万契約に売り続けている。これがどうなるのか。事業をやめる以外に、道は三つある。そしてどの道も、すでに始まっている。
約款で線を引いて続ける
スマイルサーバの仕様書には、ハードウェア故障やサーバソフトウェア障害以外の原因でデータが失われた場合は戻せない、と明記されている。運営側バックアップは顧客に提供しない、とも書いてある。不正アクセスは「以外」に入る。契約上、復旧は顧客側だ。
しかし今回、NTTスマートコネクトはその線を越えた。9月8日、7月24日の停止時点のデータと設定を復元した「復旧環境」を、希望者に提供すると案内した。開通月と翌月の料金は減免、従来のIPアドレスもそのまま使える。
同時に、こうも書いてある。復旧環境の提供前にウイルススキャンを行い、有害な可能性があると判断したデータは除外する。安全性確認は有害な内容が含まれていないことを完全に保証するものではない。復旧データに起因する損害について当社は責任を負わない。提供後のデータ確認、移行、動作確認は顧客が行う。
これが「守れないものを、どう守れないと言うか」の実物だと思う。契約上守る範囲には線を引いている。事故時にはその線を越えて復旧環境まで用意した。しかし越えた先でも、保証はしないと明記した。放棄ではなく、正直な出口である。
問題は、顧客がその線を読んでいるとは限らないことだ。医療機関のサイトも、企業の公式サイトも、その線の内側にいた。
値上げして、分離を売る
守れない構造を、守れる構造に変える。テナントを分離し、顧客の領域を隔離し、破られても隣に波及しないようにする。当然、価格は上がる。
ロリポップは2026年1月に全プランを値上げした。告知文は、理由としてデータセンターや電力の逼迫と、より安全で高度なセキュリティ環境の実現を挙げている。ライトプランの36ヶ月契約は264円から330円、スタンダードは495円から605円。低価格帯ほど上げ幅が大きい。
さくらの全サーバー再構築が分離を作り直す型なのか、同じ設計で作り直すだけなのかは、公開情報からは分からない。さくらは「クリーンナップ」と書いている。新基盤の仕様と価格が出たときに読める。
上流に投資を寄せる
さくらは2027年3月期の重点施策で、ガバメントクラウドと大規模GPU基盤を成長領域として掲げ、そこへの資本配分を明記している。GMOペパボはAIホームページ、AIエージェントクラウド、デプロイナウ、AIゲートウェイと新サービスを相次いで出している。ロリポップの契約数は2024年末の405,185から2025年末の392,002へ、年に約3%減っている。
どちらも、レンタルサーバをやめるとは言っていない。ペパボはホスティングをストック型ビジネスの柱として説明している。ただ、従来型の共用レンタルサーバだけを成長の中心に置いていないことは、公開資料から見える。
ここが一番難しい。
事業者から見れば、低単価、高リスク、緩やかに縮小中の基盤だ。事業ポートフォリオ上は重荷に見える。値上げや解約で身軽になりたい気持ちは分かる。GoDaddyが買収先のパッチ切れサーバをそのまま抱えていたのも、同じ重荷だ。
しかし客は動けない。月500円の一式をAWSで組み直せば、月500円とは比較にならない金額と手間になることは先に見た。ロリポップの減り方を見る限り、一夜にして消える市場ではない。残っている顧客の中には、Webだけでなくメール、DNS、古いCMS、業務運用まで絡み、簡単には動けない層もいる。
そして客は、動く理由も持っていない。月330円で守られていると思っている限り、値上げは裏切りに見え、約款の線は読まれない。韓国では少なくとも、価格競争だけに任せず、一定規模以上の事業者に法的な最低線を引いている。日本では、その線がまだ努力義務にとどまる。
追い出した先でその客のサイトが止まり、メールが消えれば、それは「その客の事故」ではなく「追い出された客の事故」として語られる。重荷は消えない。客に移転するだけだ。
そして、さくらもペパボも上流で売るのは信用である。公共も医療も、選ぶ側は足元の安い客をどう扱ったかを見る。既存客は重荷ではなく、上流に行くための信用の担保になっている。
出口を雑に設計すると、上流の商品そのものを傷つける。
通信業界には前例がある。ISDNのディジタル通信モードも、フレッツADSLも、数年前に告知し、移行先を用意し、料金の据え置き期間を設け、最後に終了した。海外では、Rackspaceが2022年のランサムウェア事故を機にHosted Exchangeの顧客をMicrosoft 365へ移し、その後オンプレミスの基盤そのものを終了させた。
つまり「終わらせ方」の型はすでにある。問題は型がないことではなく、事故が起きる前にそれを始めた事業者がほとんどいないことだ。
さくらの第三報は、侵入経路を公表していない。2025年7月以降の不審な痕跡についても、記録の制約で同一性も経路も確認に至らなかったと書いている。再発防止策に「ログの取得範囲、保管期間および分析体制の見直し」が入ったのは、その自認だと読める。
これらは事故対応として読めば、よくある最終報だ。
しかし事業として読めば、問いは一つに絞られる。月数百円で、どこまで、何を守るのか。完全には守れない商品を、安いまま「安全です」と売り続けるのか。境界を明示して売るのか。値上げして構造を変えるのか。時間をかけて終わらせるのか。
米国では当局が事故のあとに来て、韓国では法が事前に認証を求め、欧州では業種ごと法の対象になった。日本でも最低線は引かれ始めた。ただし今のところ、それは認証義務や業種規制ではなく、努力義務とガイドラインである。事業者と利用者は、まだ月数百円の上で向き合っている。
スマイルサーバは約款に線を引き、事故のあとで線を越え、越えた先でも保証しないと書いた。ロリポップは値上げの理由にセキュリティを書いた。さくらは全サーバーを作り直すと言った。
守れないものを、どう守れないと言うか。
新基盤の仕様が出たとき、価格が出たとき、既存契約の扱いが示されたとき、さくらがどの型を選んだかが読める。「セキュリティ対策を強化した」で終わらせず、再構築のあとに、いくらで、何を、どこまで守ると言って売るのかを見る。そして利用者の側は、その値段で何が守られていないのかを、事故の前に読む。
関連記事
注記
本稿は公開情報に基づく。各社の経営意図、再構築後の基盤設計、侵入経路について、公開情報から断定できるものはない。「〜と読める」「〜と矛盾しない」と書いた箇所は、その限りで読んでいただきたい。料金は各社公式サイトの2026年9月時点の掲載額で、契約期間やキャンペーンにより変わる。AWSの金額は東京リージョンのオンデマンド料金からの概算で、構成と為替により大きく変わる。海外の価格帯は代表的な事業者の公表価格からの目安である。海外事業者の分離技術の採用状況は公開情報と業界慣行からの記述であり、個々の事業者の内部構成を確認したものではない。
Aikido Community Japan
公開日: 2026/9/11
最終更新: 2026/9/11
セキュリティの最新情報をお届けします。