概要
日本のクラウド・データセンター大手さくらインターネットは8月19日、同社の販売管理システムへの不正アクセスにより、最大136万563アカウントの会員契約情報が第三者に閲覧・取得された可能性があると発表した。同社はすでに8月17日、「さくらのレンタルサーバ」において583アカウントへの不正ログインを公表していたが、その後の調査で別の基幹システムである販売管理システムにも被害が及んでいたことが新たに判明した形だ。攻撃者は8月9日の時点でシステムへの侵入を果たしていたとみられ、公表までに10日ほどのタイムラグがあったことになる。
被害の詳細と時系列
同社の説明によれば、まずレンタルサーバのアカウントに対する不正ログインが確認され、8月17日に第一報として公表された。その後の調査過程で、顧客の契約情報を管理する販売管理システムにも不正アクセスの痕跡が見つかった。なお、マルウェアの設置が確認されたのは8月17日に公表されたレンタルサーバ側のサーバーであり、両事案の関連性については引き続き調査中とされている。この販売管理システムへの不正アクセスの詳細は、8月19日から20日にかけて第二報として公表された。
流出した可能性がある情報は、会員ID、会社名、住所、氏名、メールアドレス、生年月日など多岐にわたる。加えて、30アカウントについてはハッシュ化されたパスワード情報にもアクセスされた可能性があるという。同社はクレジットカード情報についてはシステム上に保存しておらず、流出の対象には含まれないと説明している。現時点でランサムウェア集団など特定の攻撃者グループによる犯行声明は出ておらず、実際にデータが外部に持ち出された(exfiltration)ことも確認されていない。
さくらインターネットの対応と今後の影響
同社は侵害が判明した認証情報の失効、検出されたマルウェアの除去、システムの緊急点検と監視強化を実施したと説明している。また外部の専門機関と連携して調査を進めるとともに、関係当局への報告や対象となる可能性のある顧客への個別連絡を進めている。ただし影響範囲の全容は依然として調査中であり、今後さらに情報が更新される可能性がある。
さくらインターネットは日本政府のクラウド調達プログラム「ガバメントクラウド」において国内事業者として採用されている数少ない企業の一つであり、今回の事案は一企業の情報漏えいにとどまらず、国内のデジタルインフラの信頼性という観点からも注目されている。今後、同社がどのように再発防止策を講じ、影響を受けた顧客への補償や説明責任を果たしていくかが焦点となる。