さくらインターネット、「さくらのレンタルサーバ」および販売管理システムへの不正アクセスについて調査結果を公開

　さくらインターネット株式会社は9月10日、同社のレンタルサーバーサービス「さくらのレンタルサーバ」および利用者の契約情報などを管理するシステム（販売管理システム）への不正アクセスについて、調査結果および再発防止策を公開した。

　同社は8月9日、「さくらのレンタルサーバ」のメンテナンス用サーバーにおいて異常を検知し、事実確認および影響範囲の調査を実施した。その結果、同サービスのサーバーに対する不正アクセス、同サーバーの一部へのマルウェア設置、販売管理システムのデータベースに対する不正アクセスが判明し、8月17日に第1報、8月19日に第2報として情報を公開している。

　不正アクセスの確認後、同社の専門部門と外部のサイバーセキュリティ専門機関が連携し、侵入経路や影響範囲および原因の調査を実施していた。第3報では一連の調査が完了したとして、これまでに確認した事実、最終的な影響範囲、原因および再発防止策について公表されている。

「さくらのレンタルサーバ」に関する調査結果

　「さくらのレンタルサーバ」では、一部サーバーに対する不正アクセスおよびマルウェアの設置が確認された。

　第1報では、第三者による閲覧または取得の可能性のある対象を583アカウントとしていたが、追加調査の結果、368アカウントについても同様の可能性があることが確認されたという。不正アクセスの対象となる合計951アカウントには個別に連絡を行うとしている。

　また、調査の過程で、「さくらのレンタルサーバ」の環境に、2025年7月以降のものと考えられる不審な活動の痕跡も確認された。これらの痕跡については、継続的な侵害を示すものではないことおよび情報の不正利用、その他の二次被害がないことが確認されているという。

販売管理システムに関する調査結果

　「さくらのレンタルサーバ」に関する調査を進める過程で、利用者の契約情報などを管理する販売管理システムに対する不正アクセスも確認された。

　販売管理システムへの不正アクセスにより、最大136万563アカウントにおいて契約情報が第三者によって閲覧または取得された可能性がある。対象となる情報には、会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額などが含まれる。また、うち30アカウントではハッシュ化されたパスワード情報へアクセスされた可能性も判明している。

　なお、同社ではクレジットカード情報を保持しておらず、入力画面の改ざんなども確認されていないため、クレジットカード情報の漏えいの恐れはないという。また、データが外部へ持ち出された明確な事実は確認されておらず、本件に起因するアカウントの不正利用や金銭的な被害、ダークウェブなどへの情報公開は確認されていないとしている。

　さらに、販売管理システムに対する不正アクセスは、2023年4月以降、2026年3月までの間に発生していたことが確認された。「さくらのレンタルサーバ」に対する不正アクセスと、販売管理システムに対する不正アクセスとの関連性を示す明確な根拠は確認されなかったとしている。

持ち出しの事実や二次被害は確認されず

　以上の、「さくらのレンタルサーバ」および販売管理システムへの不正アクセスに関して、データが持ち出されたという明確な事実は、発表時点で確認されていない。また、データの悪用などの二次被害も確認されていないとしている。

パスワード情報に関する調査結果および対応

　販売管理システムには、「さくらのレンタルサーバ」の一部における初期サーバーパスワードおよび「さくらのVPS」の一部における管理者初期パスワードが保存されていた。

　「さくらのレンタルサーバ」において、影響を受けた可能性のあるサーバーパスワードが現在も利用されていることが確認できた契約については、同社によってパスワードの変更が実施された。対象となる利用者には対応について個別に連絡を行っている。

　初期パスワードが保存されていた「さくらのVPS」の利用者に対しては、現在も契約時に発行された初期パスワードを利用している場合には、パスワードを変更するよう個別に案内を行っている。

　なお、利用者が初期パスワードから変更した後のパスワードは、販売管理システムには保存されていないため、変更した場合は不正ログインのリスクはないと説明している。

　このほか、同社サービスの提供環境および関連する社内システムについて緊急点検を実施した結果、本件の不正アクセス以外に兆候は確認されなかったとしている。

同社が実施した対応および再発防止策

　同社は不正アクセスの確認後、影響拡大を防止するため、主に次の対応を実施した。

• 不正アクセスに利用された可能性のある認証情報の無効化
• 不審な通信の遮断および接続元制限の強化
• 対象となった環境の隔離
• 不正な設定、マルウェアの調査・除去
• 関連するサーバー、システムおよびネットワークの緊急点検
• 不正アクセスを受けたサーバーの再構築
• EDRの導入範囲の拡大などによる監視の強化
• 影響を受けた可能性のある利用者に対する個別対応
• 関係機関への報告および情報共有
• 外部のサイバーセキュリティ専門機関と連携した調査および検証

　加えて、次の再発防止策を実施するとともに、さらなる対策を順次進めるとしている。