さくらインターネットの不正アクセスで、契約者は何をしておくべきか

私はこのサイトを、さくらインターネットの VPS で動かしています。そのさくらインターネットで、8 月から不正アクセスの発表が続いていて、対象がレンタルサーバの 583 件から、会員情報の 136 万件へと広がりました。

一契約者として、公式の発表とサポートの FAQ を読み直して、何が起きたのか、自分は対象なのか、今のうちに何をしておくかを整理しました。続報が出たら、この記事を更新していきます。

何が起きたのか（公式発表の範囲で）

時系列は次のとおりです。日付はさくらインターネットの発表にあるものです。

• 8 月 9 日：自社の管理環境で異常を検知し、調査を開始
• 8 月 17 日：第一報。「さくらのレンタルサーバ」の一部で不正アクセス。第三者が管理環境を経由して顧客環境に入り、583 アカウントで不正ログイン、一部のサーバーにマルウェアが置かれていた
• 8 月 19 日：第二報。契約情報を管理する「販売管理システム」にも不正アクセスの可能性。影響を受けた可能性がある会員情報は 1,360,563 アカウント（583 件を含む）
• 8 月 26 日：専用の電話窓口を追加。9 月 2 日には FAQ が更新され、次の発表は 9 月中旬の予定

一番気になるのは、入られ方です。個々のユーザーのパスワードが弱かった、という話ではなく、さくら側の管理環境を通って顧客の環境に到達した、と説明されています。これは利用者の側では防ぎようがない層なんです。

対象は「ほぼ全員」と考えたほうがいい

136 万という数は、販売管理システムに保存されている会員情報の総数です。さくらは「現時点で影響が確定した数ではない」と明記していて、全件が漏えいしたと確認されたわけではありません。

ただ、裏を返すと、会員登録している人は基本的に全員が「可能性あり」の枠に入っている、と私は読んでいます。X で見かける報告の幅を見ても、レンタルサーバの利用者に限った話ではなさそうです。

漏れた可能性がある項目は、会員 ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX 番号と、契約しているサービスや期間、請求額です。パスワードはハッシュ化されたものが 30 アカウント分で、クレジットカード情報はさくらが保持していないため対象外です。

私が使っている VPS については、「さくらの VPS」「さくらのクラウド」「専用サーバ PHY」のサービス提供環境そのものへの影響は確認されていない、というのが公式の説明です。販売管理システムは各サービスの環境とは別のシステムだと書かれています。つまりサーバーの中身ではなく、契約者としての情報のほうが対象になりうる、という理解です。

契約者として、やっておくこと

FAQ に書かれていることと、私が自分の環境で見直すことを混ぜて並べます。

• 会員メニューのパスワードを変えて、2 要素認証が有効になっているかを確認する（会員メニューのログインは 2 要素認証が必須になっています）
• レンタルサーバを使っている人は、FTP とメールアカウントのパスワードを変える
• さくらを名乗る電話やメールに注意する。さくらは電話でパスワードやクレジットカード情報を聞くことはない、と明言しています
• 対象になった人には個別に案内が届くので、届いたら内容を確認する。問い合わせは support@sakura.ad.jp か、専用窓口の 0120-378-719
• 自分のサーバーのログイン履歴と、見覚えのないファイルやユーザーを点検する

私の VPS は環境への影響が確認されていない側ですが、契約情報は対象になりうる前提で、会員メニューの設定と、サーバー側の不審なアクセスの点検を進めます。

正直に言うと、怖い

怖いのは、規模より入られ方です。自分の設定をどれだけ固めても、事業者の管理環境から入られたら守れません。しかも発表から 3 週間たった今も、続報を待っている状態です。

とはいえ、乗り換えれば安全になる、という話でもないと思います。どの事業者でも起こりうることなので、見るべきなのは、何かあったときに早く正直に知らせてくれるか、2 要素認証や監査の仕組みがあるか、そのうえで費用が見合うか、あたりですね。

このサイトのインフラをどこに置くかは、この基準で比べて、別の記事にまとめようと思っています。さくらの次の発表は 9 月中旬の予定なので、出たらこの記事に追記します。