さくら不正アクセス　ハッシュ化されていない初期パスワード漏えいの可能性、レンタルサーバとVPSの一部契約者で

　さくらインターネットは9月10日、同社の販売管理システムと「さくらのレンタルサーバ」でそれぞれ起きた不正アクセスについて調査を完了したと発表した。

【その他の画像】

　販売管理システムに保存されていた情報のうち、「さくらのレンタルサーバ」の一部の初期サーバパスワードと「さくらのVPS」の一部の管理者初期パスワードがハッシュ化されていなかったことを新たに公表した。これらが第三者に閲覧・取得された可能性がある。対象件数は明らかにしていない。

　また「さくらのレンタルサーバ」契約者のうち、利用者識別子やログ情報などが閲覧・取得された可能性がある対象は583から951アカウントに増えた。さらに、2025年7月以降のものと考えられる不審な活動の痕跡をレンタルサーバの環境で新たに確認したという。

　この問題が2027年3月期連結業績に与える影響は「限定的」とみており、業績予想の修正は予定していない。

販管システムへの不正アクセス、23年4月から26年3月までの間に発生

　販売管理システムへの不正アクセスは2023年4月以降、26年3月までの間に発生したことも新たに確認した。

　保存されていた会員情報（氏名、住所、電話番号、請求金額など）のうち、第三者に閲覧・取得された可能性がある対象は136万563アカウントで、うち30アカウントについては、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があるという点は、8月の前回発表から変更はない。

　「さくらのレンタルサーバ」「さくらのVPS」でそれぞれ、ハッシュ化されていない初期パスワードが漏えいした可能性があるため、レンタルサーバの契約者のうち、影響を受けた可能性のあるサーバーパスワードを使い続けていると確認できた契約について、同社がパスワードを変更した。

　「さくらのVPS」の対象の契約者には個別に案内し、変更を求めている。初期パスワードから変更された後のパスワードは、販売管理システムに保存していないため、変更済みの場合、今回の問題による不正ログインのリスクはないという。

「さくらのレンタルサーバ」は被害数拡大

　「さくらのレンタルサーバ」で利用者識別子やログ情報などが閲覧・取得された可能性がある対象は、8月17日に公表した583アカウントから368アカウント追加され、合計951アカウントになった。

　追加で確認した368アカウントのデータが閲覧された可能性については、発生時期や経路を含め、公表済みの583アカウントへの不正アクセスと関連すると示す明確な根拠は確認していないという。

新たに「不審な活動の痕跡」確認も、経路など不明

　新たに確認した、レンタルサーバ環境での「2025年7月以降のものと考えられる不審な活動の痕跡」は、継続的な侵害を示すものではなく、情報の不正利用や二次被害もないとする一方、この痕跡が今回の不正アクセスと同じものか、どんな経路で侵入されたのか、顧客情報に影響があったのかは「客観的に確認できなかった」としている。

　再発防止策として、権限の総点検、重要システムへの接続経路の見直し、認証方式の見直し、EDRの導入範囲拡大などを行ったという。

　今後はレンタルサーバ全サーバの再構築によるクリーンナップ、セキュリティログの取得範囲・保管期間・分析体制の見直し、定期的な外部監査などを進める。