「さくらのレンタルサーバ」不正ログイン583件　通知・履歴・変更を確認

さくらインターネットは8月17日、自社が管理する環境への不正アクセスを起点に、「さくらのレンタルサーバ」の一部へ第三者が不正にログインしたと公表した。これまでに確認した対象は583アカウント。影響を受けた可能性がある利用者への個別メールを始め、第三者機関を交えた調査を続けている。

数字は重い。一方で、「583アカウントで不正ログインを確認した」ことと、「すべての利用者で情報流出やサイト改ざんが確定した」ことは同じではない。公表時点で、同社は顧客環境の改ざんや被害の報告は確認していないとしており、アクセスされた情報の範囲も調査中だ。利用者に必要なのは、慌ててメール内のリンクを押すことではなく、対象確認と痕跡確認を分けて進めることだ。

まず確認するのは「対象か」「何が起きたか」

同社は侵入経路となった通信を遮断し、不正ログインに使われた疑いのある認証情報を無効化した。影響の可能性がある顧客には、登録メールアドレスへ順次案内する。メールが届いた場合は、記載された対象サービスや初期ドメインを確認し、案内に沿って対応する。

逆に、現時点でメールが届いていないことだけを「対象外の確定」とは扱わない。調査と通知は継続中で、登録メールアドレスが古い可能性もある。契約情報を公式の会員メニューで確認し、会社発表の更新日時と追加案内を見ておく。問い合わせが集中する局面では、根拠のない一斉変更より、対象サービスと確認した時刻を整理してから相談する方が話を進めやすい。

ただし、セキュリティ事故の直後は便乗フィッシングにも注意したい。さくらインターネットの注意喚起は、本文中の不審なリンクを開かず、会員メニューをブックマークから開くか、URLが公式の secure.sakura.ad.jp で始まることを確かめるよう勧めている。今回の通知を装ってパスワードやカード情報を入力させる画面には進まない。

次に、公式サイトからサーバーコントロールパネルへ入り、「セキュリティ」内のログイン履歴を確認する。履歴にはユーザー、認証方式、日時、接続元IPアドレスなどが表示され、CSVでは過去3カ月分を取得できる。見覚えのない履歴があれば、変更作業の前に日時とIPアドレスを記録し、問い合わせ時に示せるようにする。

見覚えのないIPアドレスが一つあるだけで、不正と断定もしない。携帯回線、VPN、社外の保守担当、定期実行ツールなどで接続元が変わる場合がある。運用担当者、作業予定、デプロイ記録と照合し、説明できない履歴を切り分ける。複数人で管理しているサーバーなら、各担当者が自分の作業時刻を確認し、記録を上書きしない形で共有する。

ファイル、管理者、サイト、送信を別々に見る

公表資料が利用者に求める点検項目は具体的だ。次の順で確認すると、単なる不安と実際の異常を切り分けやすい。

• 覚えのないファイルが設置されていないか。
• 身に覚えのない管理者や追加ユーザーが作られていないか。
• 公開サイトの文章、リンク、フォーム、転送先が変わっていないか。
• 見覚えのないログインやメール送信がないか。

異常を見つけても、証拠になり得る履歴や時刻を記録せずに一括削除するのは避けたい。まず対象を記録し、さくらインターネットの窓口へ相談する。不正ファイルの設置について同社から個別連絡を受けた場合は、公式の復旧手順に従い、必要に応じてバックアップを取ったうえで公開領域を再構築する。一般の全利用者が、確認前にサーバー内容を初期化する必要はない。

パスワード変更と2要素認証は「公式導線」で

個別通知で指示された場合や、不審な操作が見つかった場合は、メールのリンクではなく公式ページから認証情報を変更する。使い回していた同じパスワードが他サービスに残っていれば、そちらも別の強いパスワードへ替える。

もう一つの注意点は、会員メニューとサーバーコントロールパネルの2要素認証が別設定だということだ。さくらのサポート情報は、会員メニュー側で2要素認証が必須でも、サーバーコントロールパネルは自動的に保護されないと説明している。未設定なら、コントロールパネル側でもTOTP方式を有効にし、バックアップコードは認証端末と分けて保管する。

追加ユーザーやメールアドレスを使っている場合は、それぞれの設定範囲も確認する。サーバーコントロールパネルの2要素認証はログイン画面とウェブメールを保護するが、既存のメールソフトの認証には適用されない。使っていないアカウントを残さず、メール用パスワードの管理も別に点検する。

調査中の事故では、初報の数字だけで結論を急がないことも防御の一部になる。公式発表の更新を確認しながら、「通知の真偽」「ログイン履歴」「環境内の変更」「認証の再設定」を一つずつ処理したい。