さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存：ログ管理体制も不十分

さくらインターネットは不正アクセスの第三報を公開した。販売管理システムに最大136万563アカウントの情報が影響を受けた可能性があるという。一部のサーバで初期パスワードが平文保存されていたことや、ログ管理体制が不十分であることも分かった。

[＠IT]

　さくらインターネットは2026年9月10日、同社システムへの不正アクセスを巡る調査結果と再発防止策を第三報として公表した。外部のサイバーセキュリティ専門機関と連携して侵入経路や攻撃者の活動、影響範囲を調査した結果、販売管理システムに保存されていた会員情報などについて、第三者による閲覧・取得の可能性がある対象を136万563アカウントとした。

　一方、データが外部へ持ち出されたことを裏付ける明確な事実や、本件に起因する情報の不正利用、金銭被害、フィッシング、なりすましなどの二次被害は、現時点で確認していないとしている。

　今回の調査で明らかになったのは、影響を受けた可能性のあるアカウント数だけではない。販売管理システムへの不正アクセスは2023年4月以降、2026年3月までの間に発生していた。また、一部のレンタルサーバやVPS（仮想専用サーバ）の初期パスワードがハッシュ化されず保存されていたことも判明した。

3年間にわたる不正アクセス被害　一部初期パスワードは平文保存

　発端は2026年8月9日、「さくらのレンタルサーバ」のメンテナンス用サーバで検知した異常だった。調査の結果、同サービスの一部サーバへの不正アクセスとマルウェアの設置に加え、顧客の契約情報などを管理する販売管理システムのデータベースへの不正アクセスも確認した。

　同社は不審な通信を遮断し、対象環境を隔離。マルウェアの除去や認証情報の無効化、見直しなどの封じ込め措置を実施した。その後、外部のサイバーセキュリティ専門機関と連携して、関連するサーバやログなどを調査した。

　第三報では、さくらのレンタルサーバにおける第三者による閲覧・取得の可能性がある対象は951アカウントとされている。2026年8月17日の公表時点では583アカウントだったが、追加調査で368アカウントが加わった。

　追加された368アカウントについては、先に確認された583アカウントの事案との関連を示す明確な根拠は確認されなかった。ただし、影響を完全には否定できないことから対象に含めたという。

　さらに調査では、2025年7月以降とみられる不審な活動の痕跡も確認された。継続的な侵害や情報の不正利用、二次被害は確認されなかった一方、今回の事案との同一性、具体的な侵入経路、顧客情報への影響を客観的に確定できなかった。

　販売管理システムについては、会員情報や契約情報などが第三者によって閲覧・取得された可能性のある対象を136万563アカウントとした。この総数には、レンタルサーバの対象者も含まれる。

　対象となる可能性がある情報は、会員IDや会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額など。クレジットカード情報は同社が保持しておらず、入力画面の改ざんも確認していないため、カード番号が漏えいする恐れはないとしている。

　ただし、136万563アカウントという数字は、該当する情報が実際に第三者によって閲覧・取得されたことを意味するものではない。同社が「閲覧・取得の可能性がある」と判断した対象の総数だ。

　この他、販売管理システムへの不正アクセスは2023年4月以降、2026年3月までの間に発生していた。レンタルサーバの事案との関連についても調査したが、両者を結び付ける明確な根拠は確認されなかった。

初期パスワードはハッシュ化せず、長期侵害で問われる認証情報とログ

　今回の事案で開発者やインフラ担当者が注目したいのが、販売管理システムに一部のさくらのレンタルサーバの初期サーバパスワードと、一部の「さくらのVPS」の管理者初期パスワードが保存されていたことだ。

　これらの初期パスワードはハッシュ化されていなかった。

　一方、初期パスワードから変更した後のパスワードは販売管理システムには保存されていない。このため、初期値から変更済みのパスワードについては、今回の情報を利用して不正ログインされるリスクはないとしている。

　同社は、現在も初期パスワードを利用しているレンタルサーバの契約についてパスワードを変更し、対象顧客に個別に案内した。VPSについても、初期パスワードを使い続けている顧客に変更を求めている。

　また、販売管理システムに保存されていた情報のうち、30アカウントについては、ハッシュ化された会員IDのパスワード情報が閲覧された可能性がある。これは、ハッシュ化されていなかった初期サーバパスワードやVPSの初期パスワードとは別の情報だ。

　今回の事案では、認証情報の管理だけでなく、「攻撃者がいつ、どこから侵入し、何をしたのか」を後から検証できる状態を維持できていたかどうかも問われている。

　同社は、2025年7月以降に発生したとみられる不審な活動の痕跡を確認したが、時間の経過に伴う記録上の制約などから、今回の事案との同一性や具体的な侵入経路、顧客情報への影響を客観的に確定できなかったとしている。

　セキュリティ対策では、攻撃を検知して止めることが重視されがちだ。しかし侵害が発生した後に原因や影響範囲を特定し、何が起きたのかを説明するには、十分なログを取得し、適切な期間にわたって保管・分析できる仕組みも必要になる。

　同社は再発防止策として、管理者権限とアクセス権限の総点検、接続経路や通信制限の見直し、認証管理の改善、EDRの適用範囲拡大、管理用サーバの設定強化などを実施した。

　今後は、多層的なアクセス制御や監視・検知機能を強化する他、ログの取得と保管、分析体制も強化する。また、「さくらのレンタルサーバ」全台の再構築、外部監査、第三者評価、教育・訓練、情報セキュリティガバナンスの強化などにも取り組むとしている。

　緊急点検では、さくらのレンタルサーバを除くサービス提供環境や、販売管理システム以外の関連社内システムについて、不正アクセスの兆候は確認されなかったという。

本記事のテーマを動画でも解説

　アイティメディアのYouTubeチャンネル「TechLIVE」の番組『攻撃者の目』の最新回では、第三報公開前の時点での公開情報から、日本ハッカー協会代表理事の杉浦隆幸氏と共に、さくらインターネットによる最大136万アカウントに影響が及ぶ不正アクセス被害の全貌に迫っている。ぜひチェックしてほしい。

信頼崩壊　“政府公認”さくらインターネット　最大136万件情報漏れの穴を分析