さくらインターネットは、8月に公表した不正アクセスに関する調査を終了した。最終的な被害規模は当初の発表よりも大きく、発生時期も古いことが判明した。調査は、レンタルサーバ事業で8月9日に検知されたメンテナンスサーバの異常から始まったが、その後の調査で、約3年間にわたり発覚しなかった顧客データベースへの別の侵入も見つかった。同社は、両事案を結び付ける明確な証拠は見つかっていないとしている。
同社のレンタルサーバ事業「さくらのレンタルサーバ」では、影響を受けた可能性のあるアカウント数が、8月17日発表時点の583件から951件に増加した。追加調査で同様の被害を受けた可能性のあるアカウントが368件新たに見つかったためだ。さくらインターネットは、この追加の368件が同一の侵入によるものかは確認できなかったものの、影響を排除できないとして対象に含めた。また調査では、レンタルサーバ環境において2025年7月頃に遡る不審な挙動の痕跡も見つかったが、同社は、これが継続的な侵害や二次被害を示すものではないとしつつ、今回の主要な事案との関連は明確には判断できなかったとしている。
より規模の大きい被害は、同社の各サービスにまたがる顧客の契約・請求情報を管理するデータベースである販売管理システムで発生した。これは実際にサービスを稼働させる環境とは別のシステムだ。最大136万563件の会員アカウントについて、第三者に情報を閲覧または取得された可能性があり、同システムへの侵入は2023年4月から2026年3月まで続いていた。このうち30件のアカウントでは、ハッシュ化された会員IDのパスワードデータが外部から閲覧可能な状態にあった。同システムには、レンタルサーバ利用者向けのハッシュ化されていない初期サーバーパスワードや、さくらのVPS利用者向けのハッシュ化されていない初期管理者パスワードといった、より露出度の高い別の認証情報も保存されていた。
| システム | 影響を受けた可能性のあるアカウント数 | 閲覧された可能性のある情報 |
|---|---|---|
| さくらのレンタルサーバ（顧客環境） | 951件 | ユーザー識別子および顧客が保存したコンテンツ（メールデータ、ウェブサイトデータ、ログファイルなど） |
| 販売管理システム（影響を受けた全会員） | 最大136万563件 | 会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、FAX番号、契約サービス、契約期間、請求金額 |
| 販売管理システムのアカウントの一部 | 30件 | ハッシュ化された会員IDのパスワードデータ |
さくらインターネットは、影響を受けた初期パスワードを現在も使用していることが確認されたレンタルサーバ利用者についてはパスワードをリセットしたとしている。また、同様のパスワードを使用している可能性があるVPS利用者に対しては個別に連絡し、変更を呼びかけているという。同社はクレジットカード情報を保有していないため、今回の事案によるカード情報流出のリスクはないとしている。
核心的な論点について、さくらインターネットは、データが社外に持ち出された明確な証拠は見つかっておらず、報告時点で流出情報の悪用や他の二次被害も確認されていないとしている。同社は、データが流出していないか、インターネットおよびダークウェブの監視を継続している。同社は2027年3月期の連結業績への影響は限定的とみており、現時点で業績予想の修正は予定していない。再発防止策としては、「さくらのレンタルサーバ」の全機器の再構築、EDRによる監視範囲の拡大、定期的な外部監査や第三者評価の追加のほか、情報セキュリティガバナンスを経営レベルに引き上げる方針を表明している。