さくらインターネット不正アクセス、2023年から侵入確認

さくらインターネットのニュースリリース

　さくらインターネットは9月10日、同社システムへの不正アクセスに関する調査結果を公開。一部事案では2023年4月から侵入を受けていたことを明らかにした。

　本件は大きくわけて2つの不正アクセス事案で構成されている。1つ目は「さくらのレンタルサーバー」に対するもの、2つ目は「販売管理システム」に対するものだ。

レンタルサーバー事案は対象が951アカウントに拡大

　さくらのレンタルサーバーに対する不正アクセスでは、最終的に951アカウントで、第三者による情報の取得または閲覧の可能性があることが判明。8月17日の第2報で公表した583アカウントから368アカウント増えたことになる。

　本件の影響を受けた可能性のある情報は以下のとおり。

●流出の可能性がある情報（さくらのレンタルサーバー）

さくらのレンタルサーバーのユーザー利用領域に保存されていた情報

・利用者識別子
・メールデータ
・ウェブサイトデータ
・ログ情報
など

　さらに調査中、2025年7月以降のものとみられる不審な活動の痕跡を発見し、追加調査を実施。こちらは継続的な侵害や情報の不正利用、その他の二次被害がないことを確認できたとしている。

販売管理システムでは2023年4月から侵入の痕跡を確認

　同社が顧客情報管理に利用する「販売管理システム」では、2023年4月から2026年3月までの約2年間にわたり不正アクセスを受けていたことを確認。

　会員情報等が第三者に閲覧または取得されていた可能性があるのは136万563アカウントで、うち30アカウントについては、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があるとしている。

　レンタルサーバー側の事案との関連性については、明確な根拠は発見されていない。

　本件の影響を受けた可能性がある情報は以下のとおり。クレジットカード番号については同社で保持しておらず、漏えいの心配はないという。

●流出の可能性がある情報（販売管理システム）

販売管理システムに保存されていた会員情報および契約情報

・会員ID
・会社名
・部署名
・住所
・氏名
・性別
・生年月日
・電話番号
・FAX番号
・メールアドレス
・契約サービス
・契約期間
・請求金額
・ハッシュ化された会員IDのパスワード情報（30アカウントのみ）
など

データの外部持ち出しや二次被害は確認されず

　9月10日現在、情報流出はいずれも可能性の段階であり、一連の事案に起因する情報の不正利用や二次被害は確認されていない。

　同社は影響を受けた可能性のあるユーザーにメールで個別に案内したほか、管理者権限の厳格化や重要システムの接続経路の見直しなど、複数の再発防止策を実施済み。

　今後もアクセス制御の強化や監視対象・検知機能の拡充など、さまざまな改善を進める方針だ。

■関連サイト

• ニュースリリース
• さくらインターネット