さくらインターネット、2023年4月から販売管理システムへの不正アクセスを確認

クラウドサービスやレンタルサーバーは、いまや事業活動の基盤として欠かせない存在です。その一方で、ひとたび運営事業者側のシステムが侵害されると、利用者側のデータにまで影響が及ぶ可能性があります。さくらインターネットが公表した不正アクセスに関する調査結果は、サービスを「借りて使う」立場の事業者にとっても、契約先のセキュリティ体制や情報管理のあり方を見直すきっかけとなる内容です。ここでは、公表された事実関係を整理し、何が起きていたのか、どこまで判明しているのかを確認していきます。

さくらインターネットが不正アクセス調査結果を公表

さくらインターネットは9月10日、同社システムへの不正アクセスに関する調査結果を公開しました。一部事案では2023年4月から侵入を受けていたことを明らかにしています。本件は「さくらのレンタルサーバー」に対するものと、「販売管理システム」に対するものの2つの事案で構成されています。

ひとつの企業のシステムに対する侵害であっても、事案が複数に分かれている場合は、それぞれ影響範囲や原因が異なることが一般的です。今回も2つの事案は切り分けて調査されており、両者の関連性については明確な根拠が発見されていないとされています。まずはそれぞれの事案で何が確認されたのかを、順に見ていきましょう。

レンタルサーバー事案、951アカウントに拡大

さくらのレンタルサーバーに対する不正アクセスでは、最終的に951アカウントで第三者による情報の取得または閲覧の可能性があることが判明しました。8月17日の第2報で公表した583アカウントから368アカウント増えています。調査が進むにつれて対象範囲が広がった形であり、初報の段階で示された数字が最終的な確定値ではない点には注意が必要です。

影響を受けた可能性のある情報は、ユーザー利用領域に保存されていた利用者識別子、メールデータ、ウェブサイトデータ、ログ情報などです。レンタルサーバーは、メールやウェブサイトの公開領域など、利用者自身が管理するデータを預ける場所でもあるため、影響範囲が利用者側の運営するサービスにまで及ぶ可能性があります。さらに調査中、2025年7月以降とみられる不審な活動の痕跡を発見し追加調査を実施しましたが、継続的な侵害や情報の不正利用、その他の二次被害がないことを確認できたとしています。

販売管理システムでは約2年間の侵入を確認

同社が顧客情報管理に利用する販売管理システムでは、2023年4月から2026年3月までの約2年間にわたり不正アクセスを受けていたことを確認しました。会員情報等が第三者に閲覧または取得されていた可能性があるのは136万563アカウントで、うち30アカウントについてはハッシュ化された会員IDのパスワード情報が閲覧された可能性があるとしています。

影響を受けた可能性のある情報には、会員ID、会社名、部署名、住所、氏名、性別、生年月日、電話番号、FAX番号、メールアドレス、契約サービス、契約期間、請求金額などが含まれます。会社名や部署名、契約サービスといった情報は、単体では直ちに悪用されるものではないように見えますが、氏名や連絡先と組み合わさることで、標的型の連絡やなりすましに使われ得る点は押さえておきたいところです。クレジットカード番号については同社で保持しておらず、漏えいの心配はないとしています。レンタルサーバー側の事案との関連性については、明確な根拠は発見されていません。

今回の公表で判明していること

9月10日現在、情報流出はいずれも可能性の段階であり、一連の事案に起因する情報の不正利用や二次被害は確認されていません。同社は影響を受けた可能性のあるユーザーにメールで個別に案内したほか、管理者権限の厳格化や重要システムの接続経路の見直しなど、複数の再発防止策を実施済みです。今後もアクセス制御の強化や監視対象・検知機能の拡充など、さまざまな改善を進める方針です。

「可能性の段階」という表現は、情報が実際に悪用されたと確定したわけではないことを意味します。ただし、対象アカウント数が段階的に拡大している経緯を踏まえると、続報によって状況が変わり得る前提で情報を追っていく姿勢が求められます。サービスを利用する側としては、案内メールの有無を確認し、該当する場合は案内内容に沿って対応を進めることが基本になります。