第三報で数字が変わった部分もある。第一報で583アカウントとされていた「さくらのレンタルサーバー」について、その後の調査で新たに368アカウントが確認された。第三者に閲覧または取得された可能性を否定できない対象は、合計951アカウントとなった。
しかも、追加された368アカウントについては、最初に確認された583アカウントへの不正アクセスとの関連を示す明確な根拠が確認できなかったという。
レンタルサーバー環境からは、さらに25年7月以降のものと考えられる不審な活動の痕跡も見つかっている。ただし、当時の記録が十分に残っていないことなどから、今回確認された不正アクセスとの関係、具体的な侵入経路、顧客情報への影響までは確認できなかった。したがって、「583→951→136万」と、1つの攻撃による被害が順番に拡大したと考えるのは適切ではない。
ハッシュ化されていなかった「初期パスワード」
前稿を書いた時点で残っていた疑問の1つが、レンタルサーバーへの不正アクセスと、136万563アカウントの会員情報を扱う販売管理システムへの不正アクセスとの関係だった。
第三報によると、両者について調査したものの、関連性を示す明確な根拠は確認されなかった。これは「別の攻撃者による別の攻撃だった」と断定できることを意味しない。逆に、一連の攻撃だったとも断定できない。
現段階で確実に言えるのは、8月9日の異常検知をきっかけとして調査範囲を広げた結果、発生時期や対象の異なる複数の不審な事象が明らかになったということである。不明な部分を無理につないで、1つの攻撃として説明することは避けるべきだろう。
第三報では、パスワードに関する新たな事実も公表された。販売管理システムには、「さくらのレンタルサーバー」の一部の初期サーバーパスワードと、「さくらのVPS」の一部の管理者初期パスワードが保存されていた。
そして、これらの初期パスワードはハッシュ化されていなかった。ここは、136万563アカウントのうち30アカウントについて閲覧された可能性がある「ハッシュ化された会員IDのパスワード情報」と分けて考える必要がある。
一般に、認証に使うパスワードは、そのままの文字列を保存せず、一方向のハッシュ関数などを利用して保存する。データベースが侵害された場合でも、元のパスワードを容易に知ることができないようにするためだ。
※ログイン後、コメント入力が可能です。