システムに侵入されても気付けない…さくらインターネットへの不正アクセス｢3年以上前からの可能性が判明｣の重み

今回保存されていたのは、利用者が変更した後の現在のパスワードではなく、サービス提供時に発行された初期パスワードだった。利用者が変更した後のパスワードは販売管理システムには保存されていないという。

問題になるのは、発行された初期パスワードを利用者が変更せず、そのまま使い続けていた場合である。さくらインターネットは、「さくらのレンタルサーバー」で現在も該当する初期パスワードが使われていた契約についてパスワードを変更した。

「さくらのVPS」についても対象となる利用者に個別に連絡し、初期パスワードを使い続けている場合には変更するよう求めている。この事実は、今回新たに判明した問題として注目しておきたい。

第二報から第三報まで約3週間

第二報が発表されたのは8月19日、第三報は9月10日である。約3週間が経過している。第三報を見ると、実際の調査範囲は広い。

不正アクセスが確認されたサーバーだけでなく、接続、認証、操作などのログ、マルウェアや不正ファイル、不正な設定、データが持ち出された痕跡、販売管理システムで行われた操作、他のサービスへの影響などを調査した。インターネットやダークウェブで情報が公開されていないかについても確認し、調査結果について外部の専門機関による検証も受けている。

サイバー攻撃の調査では、原因だけでなく、侵入した時期、影響を受けた範囲、情報が持ち出された可能性、他のシステムへの波及などを一つずつ確認しなければならない。まして今回、調査対象は3年以上前まで遡った。第二報から第三報まで時間を要したことには、それだけの理由があったと考えるべきだろう。

第三報を読んでも、攻撃に利用された具体的なコード、接続元のIPアドレス、詳細なネットワーク構成、認証方式、具体的な侵入経路などは明らかにされていない。技術者やセキュリティ研究者であれば、当然知りたい情報である。

一方、さくらインターネットは現在も多数の利用者にサービスを提供している。ネットワーク構成や認証方式、攻撃に利用できる技術情報を詳細に公開すれば、別の攻撃者に利用されるおそれもある。同社も、セキュリティ保護と模倣攻撃の防止を理由として、こうした情報の公表を控えるとしている。この判断は理解できる。

ただし、技術的な情報を公表しないことと、事故について説明しないことは同じではない。何が起きたのか、どの範囲に影響した可能性があるのか、どのような調査を行ったのか、今後どう対策するのかは説明する。

その一方で、現在のサービスを新たな危険にさらす可能性のある情報については公開しない。今回の第三報は、そのような線引きで書かれていると見ることができる。