さくらインターネットは9月10日、8月に発覚した同社システムへの不正アクセスに関する第三報を発表し、外部サイバーセキュリティ専門機関と連携して進めていた一連の調査が完了したことを明らかにした。
今回の調査により、同社の「さくらのレンタルサーバ」の一部環境と、顧客情報を管理する「販売管理システム」に対する不正アクセスが確認され、最大136万563件の会員情報が第三者に閲覧または取得された可能性があることが判明した。現時点ではデータの外部持ち出しや、それに伴う二次被害は確認されていないという。
事の発端は8月9日、さくらのレンタルサーバのメンテナンス用サーバーにおいて異常が検知されたことだった。同社は即座に通信の遮断やマルウェアの除去といった封じ込め措置を実施し、調査を開始。その結果、レンタルサーバーの一部環境にとどまらず、各サービスの契約情報を管理する販売管理システムへの不正アクセスも発覚した。
レンタルサーバー側での影響は、初期報告の583アカウントからさらに368アカウントが追加され、合計951アカウントに及んだ。一方、販売管理システム側の対象規模は大きく、対象となる会員情報の総数は約136万件に上る。
さらに調査の過程で、販売管理システムに対する不正アクセスは、2023年4月から2026年3月という長期間にわたって発生していたことが確認された。なお、レンタルサーバーへの侵入と販売管理システムへの侵入について、両事象の明確な関連性を示す根拠は見つかっていない。
販売管理システムにおいて閲覧・取得された可能性のある情報には、氏名、住所、電話番号、メールアドレスといった会員の基本情報が含まれる。また、30アカウントについては、ハッシュ化されたパスワード情報が閲覧された可能性が確認された。
さらに、さくらのレンタルサーバーと「さくらのVPS」の一部における「初期パスワード」が同システム内に保存されており、これらも影響を受けた可能性がある。
同社はアカウント保護の観点から、現在も初期パスワードが利用されている対象契約に対し、パスワードの強制変更措置や変更依頼の個別案内を実施している。なお、クレジットカード情報については同社システム内で保持しておらず、情報漏えいのリスクはないと明言されている。
データの外部持ち出しを裏付ける明確な痕跡や、ダークウェブなどでの情報公開、本件に起因するアカウントの不正利用や金銭的被害といった二次被害は、現時点では一切確認されていない。しかし同社は、事案に便乗したフィッシング詐欺やなりすましなどへの注意をユーザーに呼びかけている。
同社は今回の事態を重く受け止め、すでに管理者権限の厳格化 Endpoint Detection and Response（EDR：エンドポイント型脅威検知および対応）の導入範囲拡大、重要システムへの通信制限強化といった緊急対策を完了している。
今後はさらなる抜本的な対策として、さくらのレンタルサーバ全サーバーの再構築によるクリーンナップの実施、多層的なアクセス制御の強化、セキュリティログの取得範囲拡大などを予定している。また、定期的な外部監査の実施や、経営層を含めた情報セキュリティガバナンス体制を強化することで、インシデントへの対応力と予防策を継続的に改善していく方針だ。
