国内大手のクラウド・データセンター事業者、さくらインターネットは、営業管理システムが不正アクセスを受け、最大で約136万件の顧客アカウント情報が影響を受けた可能性があると公表しました。氏名やメールアドレス、契約・請求情報が含まれるとみられ、国内のIT基盤を担う企業でのインシデントとして波紋を広げています。
営業管理システムが標的に
さくらインターネットの発表によると、攻撃者が同社のITシステムに不正アクセスしたのは8月9日でした。顧客の契約情報や会員情報が保管された営業管理システムが対象となり、影響を受けた可能性があるアカウントは最大で136万563件に上ります。流出したおそれのある情報には、氏名、メールアドレス、契約内容、請求情報などが含まれるとされています。
レンタルサーバ調査中に発覚
この問題は、別に発生していた「さくらのレンタルサーバ」サービスへの不正侵入を調査する過程で発覚しました。レンタルサーバ側の被害は583アカウントへの不正ログインにとどまったものの、顧客向けシステムや顧客データへのアクセス、そして同社システムへのマルウェア（悪意あるソフトウェア）の設置が確認されており、より深刻な二次被害の端緒となりました。
現時点で、大規模なデータの持ち出し（外部への流出）は確認されていないと同社は説明しており、最終的な影響範囲は調査中です。とはいえ、クラウドやレンタルサーバは多くの企業や個人サイトの土台を支えるだけに、基盤事業者が狙われる意味は重大です。利用者は不審なメールへの警戒や、パスワードの使い回しを避けるといった基本的な対策を、あらためて徹底する必要があります。
日本への影響
さくらインターネットは、国内の中小企業から個人事業主、官公庁まで幅広い顧客を抱える日本の重要なITインフラ企業です。今回のインシデントは、私たちが日々利用するウェブサービスやメールの多くが、こうした基盤事業者の上に成り立っている現実を突きつけます。契約情報や請求情報が悪用されれば、取引先や当局を装った巧妙な詐欺メールの材料にされる恐れがあり、利用者一人ひとりが警戒を強める必要があります。
企業のシステム担当者にとっては、委託先や利用するクラウド事業者のセキュリティ体制を点検し直す契機になります。日本では個人情報保護法により、一定規模の漏えいは個人情報保護委員会への報告と本人への通知が義務づけられており、今回も同社の対応が問われます。読者としては、さくらのサービスを利用している場合は同社の公式発表を確認し、心当たりのないログイン通知や不審な連絡には安易に応じない慎重さが求められます。
まとめ：便利なクラウドの裏側には、常に守るべき情報があります。基盤を支える企業の一報を、自分ごととして受け止めていきましょう。
出典：
BleepingComputer – Sakura Internet hack exposes data of up to 1.36 million accounts
MLex – Japan’s Sakura Internet says 1.36m customer accounts potentially affected
Photo: Zulfugar Karimov / Unsplash
