さくらインターネットに不正アクセス。レンタルサーバ951アカウントと会員情報136万件に影響の可能性

01発表されている事実

1. 2023年4月〜2026年3月

   販売管理システムへの不正アクセスが発生していた（第三報）

2. 2026年8月9日

   管理するサーバー環境で異常を検知し、調査を開始

3. 8月17日

   第1報。583アカウントへの不正ログインとマルウェアの設置を公表

4. 8月19日

   第二報。販売管理システムへの不正アクセスの可能性を公表

5. 9月10日

   第三報。調査結果と再発防止策を公表

第三報によると、レンタルサーバの対象は計951アカウントです（初報の583件に、念のため対象とした368件を加えたもの）。攻撃者は利用者のアカウントにアクセスできる領域に達しており、顧客領域内の情報などが閲覧・取得された可能性があります。販売管理システムで閲覧・取得された可能性がある会員情報は1,360,563アカウントで、そのうち30アカウントはハッシュ化された会員IDのパスワード情報が閲覧された可能性があります。

販売管理システムには、一部のレンタルサーバの初期サーバーパスワードと、一部のさくらのVPSの管理者初期パスワードが、ハッシュ化されない形で保存されていたことも公表されました。利用者が自分で変えたパスワードは保存されていないため、初期パスワードから変えていれば、本件による不正ログインのリスクはないとしています。外部への持ち出しを裏付ける明確な事実や二次被害は確認されておらず、カード情報は保持していないとしています。侵入経路などの技術的な詳細は、模倣攻撃を防ぐため公表していません。

02読者への影響

さくらのレンタルサーバでホームページやWordPressを動かしている会社・個人は、サイトに不正なファイルや管理者が追加されていないかの確認が必要です。改ざんされたサイトは、訪問者を偽サイトへ誘導したり、ウイルスを配ったりする踏み台に使われます。会員情報が対象になった人には、同社を装うメールや電話が届くおそれがあります。

03今すぐやること

1. サーバー作成時の初期パスワードを使い続けていれば、会員メニューから変える。VPSの管理者パスワードも同じ
2. サーバーのファイル、WordPressの管理者アカウント、プラグインに心当たりのない追加や変更がないか確かめる
3. 心当たりのないログインやメール送信がないか、ログを見る
4. 同社からの個別案内が届いていれば、内容に沿って対応する。同社は電話でパスワードやカード情報を尋ねないとしています
5. 会員IDのパスワードを他で使い回していれば変え、パスワード管理ソフトで別々にする

サイトの改ざんを防ぐ方法は図鑑の「Webサイトへの攻撃」と「WAF」、自社サイトの弱点を調べる会社は「脆弱性診断」で探せます。

04今後の予定

同社は「さくらのレンタルサーバ」の全サーバーの再構築、監視とログの体制の見直し、定期的な外部監査などを今後実施するとしています。