「さくらインターネット」不正アクセス、136万件へ拡大 通知メール続々

583件から136万件へ、二段階で拡大した公表 #

さくらインターネットは8月17日、「さくらのレンタルサーバ」で583アカウントへの不正ログインを公表した。調査を進める過程で、侵入経路は同社の販売管理システムそのものに及んでいたことが判明し、8月19日の第二報で被害規模は一変する。影響を受けた可能性がある契約情報は最大136万563アカウント分。会員ID・氏名・住所・電話番号・メールアドレス・生年月日・契約サービス・請求金額などが対象で、一部ではハッシュ化パスワードへのアクセス痕跡も確認されたという。クレジットカード情報は対象外とされる。漏えい情報には会社名・部署名も含まれており、個人だけでなく契約企業自体が標的リストに載った点も見逃せない。

通知メールで「自分ごと」になった被害 #

8月31日から対象者への個別通知メールが順次発送され、SNSでは「当選した」と自虐する投稿が相次いだ。「12年前に使ったきりのアカウント」「存在すら忘れていた」という声も多く、休眠アカウントの情報がいつまでも標的になり得る現実を浮き彫りにした。同社は会員メニューの二要素認証が必須である点を理由に「パスワード変更の必要性は高くない」と説明するが、漏れたのは住所・電話番号・契約内容という「なりすまし材料」だ。

次に警戒すべきは二次攻撃 #

契約情報の漏えいは、それ自体よりフィッシングや詐欺電話の踏み台になる点が本質的な脅威になる。氏名・住所・契約サービスが分かれば、事業者を装った偽の請求メールや「サポートを装う電話」の説得力は格段に上がる。通知メール自体を装った偽メールにも注意が必要で、リンクは踏まず公式サイトから直接ログインして確認すべきだ。被害の全容はまだ固まっておらず、次回報告を待つ間も油断はできない。