さくらインターネットは9月10日、同社システムに対する不正アクセスに関する調査結果と再発防止策をまとめた第三報を公表した。外部のサイバーセキュリティ専門機関と連携して実施してきた調査が完了し、最終的な影響範囲や原因、再発防止策を明らかにした。

レンタルサーバでは951アカウントが対象に

同社では8月17日に「当社レンタルサーバサービスの一部環境に対する不正なアクセスについて」、同19日に「当社システムへの不正アクセスに関するお知らせ(第二報)」をそれぞれ公表し、外部のサイバーセキュリティ専門機関と連携して、侵入経路や影響範囲、原因の調査を継続していた。

  • 発覚から現在までの経緯

    発覚から現在までの経緯

調査の結果、「さくらのレンタルサーバ」の一部サーバに対する不正アクセスが確認された。当初は583アカウントが影響を受けた可能性があるとしていたが、その後の追加調査により368アカウントが追加され、対象は合計951アカウントとなった。

対象顧客には個別に連絡を実施している。また、調査過程では2025年7月以降のものとみられる不審な活動の痕跡も確認されたが、継続的な侵害や情報の不正利用、二次被害は確認されていないとしている。

販売管理システムでは136万アカウント超に影響の可能性

同社は調査過程で、各サービスの契約情報などを管理する販売管理システムへの不正アクセスも確認した。調査の結果、販売管理システムに保存されていた会員情報などについて第三者による閲覧または取得の可能性があることが判明した。対象となる可能性がある会員情報は136万563アカウントにのぼる。

さらに30アカウントについては、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があることも確認された。販売管理システムへの不正アクセスは2023年4月から2026年3月までの間に発生していたことが判明している。

  • さくらのレンタルサーバの一部ユーザーの利用領域、販売管理システムに保存されていた情報のうち、第三者による閲覧、取得された可能性がある情報

    さくらのレンタルサーバの一部ユーザーの利用領域、販売管理システムに保存されていた情報のうち、第三者による閲覧、取得された可能性がある情報

一方で、さくらのレンタルサーバへの不正アクセスと販売管理システムへの不正アクセスの関連性を示す明確な証拠は確認できなかったとのこと。

データ流出や二次被害は確認されず

同社は調査の結果、データが外部へ持ち出されたことを裏付ける明確な事実は確認されなかったとしている。また、本件に起因する情報の不正利用や金銭被害、フィッシング被害などの二次被害も現時点では確認されていないという。

加えて、さくらのレンタルサーバを除くサービス提供環境や販売管理システム以外の社内システムについても不正アクセスを示す兆候は確認されなかったとしている。

再発防止策を強化

同社は再発防止策として、管理者権限やアクセス権限の厳格化、認証方式や認証情報管理の見直し、EDR(Endpoint Detection and Response)導入範囲の拡大による監視強化などを実施済みとしている。

今後は、多層的なアクセス制御の強化や監視・検知機能の拡充、さくらのレンタルサーバの全サーバ再構築、定期的な外部監査、情報セキュリティガバナンスの強化などを進める方針だ。