さくらインターネットは、8月に公表したレンタルサーバーへの不正アクセスについて、調査の結果、契約情報を管理する販売管理システムにも侵入された可能性があると発表した。影響を受けた可能性のある会員情報は約136万アカウントに上る。クラウドやAI関連サービスを提供する国内インフラ企業のセキュリティ管理体制に疑問を投げかける事案である。

販売管理システムへの侵入が新たに判明

さくらインターネットは8月17日に「さくらのレンタルサーバ」の一部環境に対する不正アクセスを公表していたが、その後の調査で、顧客の契約情報等を管理する販売管理システムへの不正アクセスの可能性を確認した。このアクセスはレンタルサーバーへの不正アクセスを検知した8月9日以前に発生しており、両者の関連性は現在調査中である。販売管理システムは「さくらのクラウド」などのサービス提供環境とは分離された別システムだが、会員情報やハッシュ化されたパスワード情報へのアクセスの可能性があるという。現時点でデータの外部持ち出しは確認されていない。

影響範囲は136万アカウント、業界への波及も

影響を受けた可能性のある会員情報は1,360,563アカウントに達する。これは既に公表済みのレンタルサーバー利用者583アカウントを含む数字であり、事実上、さくらインターネットの全会員基盤が影響範囲に含まれることになる。同社はクレジットカード情報を保存していないとしているが、ハッシュ化されたパスワード情報へのアクセスの可能性が確認されており、利用者にはパスワード変更などの対応が求められる。国内のクラウド・AIインフラを担う事業者への不正アクセスが、ここまで広範な顧客情報に及ぶ事例は珍しく、同業他社のセキュリティ投資にも影響を与える可能性がある。

AI・クラウド時代のインシデント対応の試金石

さくらインターネットは国産クラウド事業者として、政府系システムやAIスタートアップへの基盤提供を進めてきた。今回の事案は、AIモデルや学習データを扱う顧客にとって、インフラ事業者のセキュリティガバナンスが契約判断の重要な要素になることを示している。特に、生成AIの利用拡大に伴い、企業が外部に預けるデータの範囲と機微性は以前より高まっている。今回のインシデント対応の透明性と再発防止策の実効性は、国内クラウド事業者の信頼性を測る試金石となるだろう。

今後見るべきは調査の進展と再発防止の具体策

現時点では不正アクセスの経路や原因、レンタルサーバーへの攻撃との関連性は明らかにされていない。さくらインターネットは外部専門機関によるフォレンジック調査を進めており、今後、攻撃手法や侵入経路が判明すれば、国内の他のクラウド事業者やSaaS事業者にも波及する可能性がある。また、136万アカウントという規模の個人情報に対するリスク通知の完了状況や、ハッシュ化方式の強度についての説明も問われることになる。企業利用者は、自社のデータ管理責任とインフラ事業者への依存度を再評価する契機となるだろう。