同じことは過去の事件でも起きている。アサヒGHDが後に公表した調査結果では、2025年9月29日にランサムウェアが一斉に実行される約10日前には、すでに攻撃者が社内ネットワークへ侵入していたとされる。攻撃者は管理者権限を奪い、内部を探索し、複数のサーバーへの侵入や偵察を繰り返していた。
利用者から見える「事件発生日」と、実際に攻撃が始まった日は同じとは限らない。ランサムウェアによってシステムが止まった日は、攻撃の始まりではなく、それまで水面下で進んでいた攻撃が表面化した日にすぎない場合がある。
必要なのは「不正アクセスの棚卸し」
ここから企業が得るべき教訓は、セキュリティ製品を導入するだけでは足りないということだ。ウイルス対策ソフトを入れる。ファイアウォールを設置する。UTM（Unified Threat Management：統合脅威管理）やEDR（Endpoint Detection and Response）で防御する、多要素認証を使う。OSを更新する。いずれも必要である。しかし、それとは別に「今、このシステムは本当に正常なのか」を定期的に調べる作業が必要になる。
会計では帳簿と実際の資産が一致しているかを棚卸しする。それと同じように、情報システムについても、見覚えのないアカウントがないか、管理者権限が増えていないか、不審な通信が続いていないか、サーバーに未知のプログラムが置かれていないかを調べる。
いわば「不正アクセスの棚卸し」である。事故が起きてから詳しく調べるのではなく、何も起きていないように見える時こそ調べる。今回の事件は、その必要性を強く印象づけた。
さくらインターネットの事件を、136万アカウントという数字だけで捉えるべきではない。通信、クラウド、データセンター、AI基盤といったサービスは、多くの企業や行政、そして私たちの日常を裏側から支えている。1社への攻撃が、その会社だけの問題では済まなくなっている。
近年にはIIJやKDDIでも不正アクセスが明らかになった。今回のさくらインターネットを含めて考えると、攻撃対象の変化が見えてくる。もはや「どの会社が次に狙われるのか」と考えるだけでは足りない。私たちが毎日使っているサービスのさらに奥にある、社会共通のデジタル基盤が攻撃対象になっているからだ。
さくらインターネットのフォレンジック調査がどのような結論に至るのかは、まだわからない。攻撃経路も、2つの不正アクセスの関係も、情報が実際にどこまで取得されたのかも、現段階では断定できない。
だからこそ、今後の報告が重要になる。そして今回、583アカウントへの不正アクセスを調べた先で、136万を超える会員情報を扱うシステムへの不審なアクセスが見つかったという経過は、それだけでも1つの教訓を残した。
サイバー攻撃で本当に怖いのは、見えている被害だけではない。まだ見つかっていない攻撃が、自分たちのシステムの中にないか。それを疑い、平時から確かめることが必要なのである。
※ログイン後、コメント入力が可能です。