インシデントレビュー第2回 AIGIS Cyber Lab

さくらインターネットの公表事例から考える、外部サービスの認証情報管理と利用者の備え

2026年9月18日監修・作成：AIGIS編集部難度：入門

※本稿は公開資料をもとに、外部サービスを利用する組織に共通する課題を考えるものです。本事案による医療機関や医療機器への被害を示すものではありません。

外部サービスから通知が届いたとき、動けるか

Webサイト、メール、ファイル共有、システムの保守など、医療機関や医療機器メーカーの業務にも、外部サービスを利用する場面があります。

その提供元から「不正アクセスが発生したため、パスワードを変更してください」と通知が届いたとき、自組織のどの契約が対象で、誰が対応し、何を確認すればよいか、すぐに分かるでしょうか。

今回の事例では、提供元の公表内容を確認したうえで、利用者側の認証情報管理と初動対応を考えます。

公表された事実

さくらインターネットは、2026年8月9日の異常検知後、8月17日・19日に公表し、9月10日に調査結果と再発防止策を発表しました。レンタルサーバと販売管理システムへの不正アクセスを確認していますが、両事象の関連性を示す明確な根拠は確認されていません。外部へのデータ持ち出しを裏付ける明確な事実や、本件に起因する二次被害も未確認としています。公式第三報

同報告では、販売管理システムに一部のサーバー用初期パスワードがハッシュ化されず保存されていたことも説明されています。ここでいう初期パスワードは、会員IDのパスワードとは別の情報です。公式第三報・パスワード情報に関する調査結果

利用組織による対応も参考になる

利用者側の対応例として、東京大学情報基盤センターのWEB PARKに関する案内があります。同センターは、対象者への個別連絡に加え、パスワードの強制変更でサーバーへのログインに影響することと、データベースなど別管理のパスワードが変更対象ではないことを説明しています。東京大学情報基盤センター・9月11日更新

以下は、この事例を踏まえたAIGISの見解です。

組織内で通知を受け取る人と、サーバーを操作できる人は、同じとは限りません。契約を総務部門が管理し、Web制作会社が設定を担当し、日常の更新を別の職員が行っている場合もあります。

そのため、提供元の通知を、自組織で実行できる作業へ落とし込む準備が必要です。「どの認証情報を、誰が、いつ変更し、どこまで動作確認するか」が分かる状態を目指します。

AIGISとして確認したい5つのこと

1. 契約と管理担当者がつながっているか

利用サービス、契約番号、用途、組織内の責任者、実際の操作担当者を一覧にしているでしょうか。委託している場合は、委託先の連絡先と対応範囲も確認します。

台帳にはパスワードそのものを記載せず、安全な保管先と、必要時に取り出せる担当者を記録します。

2. 重要な通知を受け取り、対応につなげられるか

契約時の連絡先が退職者のメールアドレスのままになっていないでしょうか。担当者が不在でも確認できる窓口と、対応を引き継ぐ相手を決めておきます。

通知を確認する際は、普段利用している公式サイトや管理画面から案内を確かめます。さくらインターネットも、本件に便乗したフィッシングなどへの注意を案内しています。利用者向けFAQ

3. 初期パスワードの変更状況を把握しているか

契約時や引き継ぎ時に発行されたパスワードについて、変更済みか、誰が管理しているかを確認できるでしょうか。

会員メニュー、サーバー、メール、データベース、Webサイトの管理画面は、それぞれ別の認証情報を使う場合があります。提供元の案内と照合し、変更が必要な対象を特定します。

4. 認証情報の変更が、どの業務に影響するか分かるか

人がログインするとき以外にも、自動バックアップ、ファイル転送、通知メールなどで認証情報を使っていないでしょうか。

変更対象の認証情報を利用する処理があれば、設定更新と動作確認も必要になります。緊急時に速やかに変更・失効できるよう、平時から利用箇所を整理しておくことが大切です。

5. 対応の完了を確認し、記録できるか

パスワードを変更した後、必要なログインや自動処理が正常に動くことまで確認しているでしょうか。

対応日時、担当者、変更した対象、確認結果、残っている作業を記録します。不正アクセスの疑いがある場合は、認証情報の変更だけで安全を確認したことにはなりません。関連するログを保全し、提供元や保守担当者と調査の要否を確認することも必要です。

委託先の対策と、自組織の備えをつなぐ

外部サービスを利用する組織は、提供元の内部環境を直接管理できません。それでも、自組織の契約、連絡先、認証情報、業務とのつながりを把握し、必要な対応を実行できる体制は整えられます。

医療機関や医療機器メーカーでは、そのサービスが止まった場合に、患者への案内、取引先との連絡、保守業務などへどう影響するかも確認しておきたいところです。

まずは、利用中の外部サービスを一つ選び、「今日、緊急の変更通知が届いたら誰が動くか」を確認してみてください。担当者の把握から、変更、動作確認、記録までの流れを確かめることが、具体的な備えになります。

参照情報

情報確認日：2026年9月18日。公表内容は今後更新される可能性があります。