さくらインターネット不正アクセス第三報。初期パスワードの対象と変更手順

まず、変えるパスワードを間違えない

さくらからの個別通知を、利用中の契約と照合します。レンタルサーバはサーバー用、VPSはOS管理者用。メールの変更は予防措置として推奨されています。

通知が見当たらないときは迷惑メールと登録先も確認を。登録情報の不備で届かない場合があり、未着だけでは会員情報の対象外と判断できません。公式FAQ・相談窓口

レンタルサーバは、右上のメニューから

さくらが対象者のパスワードを変更したため、以前の値では入れない場合があります。入れる人は、初期ドメインでログイン → 右上のドメイン名 →「サーバーパスワード変更」へ。

変更後に再ログインできたら、FTP・SSH（ファイル転送・コマンド接続）のソフトにも新しい値を設定します。画面付きの公式手順

VPSとメールは、それぞれの入口で変更

VPS：OSの管理者用を変える

対象通知のサービスコードを確認し、初期値を今も使っていれば変更を。Linuxのroot、Windows ServerのAdministratorなど、OSの管理者パスワードが対象です。使っているOSの変更手順へ

2022年9月以降の契約にも一部例外があるため、契約日だけで対象外にしないでください。不明な場合は管理担当者に確認を。

メール：スマホ・PCの保存値も更新する

変更後に送受信できなくなったら、Outlookやスマホに古い値が残っていないか確認します。各端末を更新し、送信と受信を確かめるところまで。メールパスワードの公式手順

変更していないのに使えない場合は、障害情報を確認してください。症状だけでは今回の不正アクセスが原因とは判断できません。

初期値から変えてあれば、古い値は一致しない

さくらによると、利用者が変更した後のパスワードは販売管理システムに保存していません。ただし、会員情報・保存ファイルへの影響や、他サービスでの使い回しは別に確認が必要です。

第三報で増えた対象は、レンタルサーバ側

951は会員情報の総数に含まれるため、足しません。全件流出が確認された数字でもありません。初期パスワードの対象件数は第三報に記載がなく、会員IDのハッシュ化パスワード30件とは別です。

9月10日の第三報では、初期値を推測しにくく加工する「ハッシュ化」がされていなかったと説明。調査と封じ込めは完了し、外部持ち出し・二次被害は未確認としています。全機能の復旧完了という意味ではありません。