さくらインターネットは8月19日、同社の販売管理システムが不正アクセスを受けた可能性があると発表した。影響を受ける恐れがある会員情報は、最大136万563アカウントに上った。現時点でデータが外部へ持ち出された事実は確認されておらず、外部の専門機関と調査を続けている。

同社では8月9日、「さくらのレンタルサーバ」の一部環境で不正ログインを検知した。対象は583アカウントで、攻撃者がアカウント領域へ侵入し、マルウェアを設置していたことが確認された。

同社は17日、レンタルサーバ環境への不正アクセスと、個人データが流出した可能性を公表した。その後の調査で、9日以前に販売管理システムにも不正アクセスがあった可能性が新たに判明し、19日に第二報を発表した。

氏名や住所、ハッシュ化パスワードが対象

販売管理システムは、同社の契約情報を一括して管理する中枢システムである。影響を受ける可能性がある情報には、会員情報と、ハッシュ化されたパスワード情報が含まれる。パスワードは復元が困難な状態で保存されていた。

対象は「さくらのレンタルサーバ」の利用者を含む最大136万563アカウントと推定されている。一方、同社はクレジットカード情報を一切保持していないとしている。

同社は、不正アクセスに利用された認証情報を失効させ、外部からのアクセスを遮断した。設置されたマルウェアも除去したほか、販売管理システムを含む全システムの監視を強化している。

外部専門機関によるフォレンジック調査も実施し、関係行政機関への報告や情報共有、対象となる顧客への個別通知を進めている。

ガバメントクラウドへの侵害は確認されず

さくらインターネットは、デジタル庁が推進するガバメントクラウドの提供事業者である。国内事業者として唯一、「さくらのクラウド」がAWS、Google Cloud、Microsoft Azure、OCIと並んで選定されている。

同サービスは、最新かつ最高水準の情報セキュリティやデータ保存の安全性など、デジタル庁が求める厳格なすべての技術要件を満たすよう開発された。デジタル庁は3月27日、すべての要件を満たしたことを確認し、本番環境を提供できる段階へ移行したと公表した。

今回、不正アクセスを受けた可能性がある販売管理システムと、ガバメントクラウドを提供する「さくらのクラウド」は、物理的、論理的に分離された別のシステムである。現時点で、政府や自治体向けのクラウド基盤自体が侵害された事実は確認されていない。

システム間の分離が被害の波及を防ぐ防衛線として機能した形である。ただし、販売管理システムなどの周辺基盤が侵害されれば、クラウドサービスを含む企業全体への信頼に影響する可能性がある。

国産クラウドの信頼性に課題

「さくらのクラウド」には、国内法が適用されるデータ管理基盤を確保し、日本の行政インフラを自律的に管理する「デジタル主権」の担い手として期待が寄せられている。

今回の不正アクセスは、ガバメントクラウドが本番提供の段階に移行した後に発生した。ガバメントクラウドへの直接的な侵害は確認されていないものの、地方自治体などが国産クラウドを採用する際の判断に影響を与える可能性がある。

今後は、クラウド基盤が技術要件を満たすだけでなく、販売管理などのバックオフィスや周辺システムを含めた全社的なセキュリティ対策が課題となる。透明性のある情報公開とフォレンジック調査を通じ、侵入経路や影響範囲を明らかにできるかが、国産ガバメントクラウドへの信頼を左右することになる。