Zusammenfassung

  • Sakuras zweite Mitteilung nahm das System für Mitglieds- und Vertragsdaten in die Untersuchung auf. Zuvor waren unbefugte Anmeldungen bei 583 Konten des Rental Server bestätigt worden.
  • 1.360.563 bezeichnet eine möglicherweise betroffene Grundgesamtheit, nicht bestätigte Opfer. Das Vertriebssystem ist laut Sakura von den Dienstumgebungen einschließlich Sakura Cloud getrennt; eine externe Datenentnahme ist nicht bestätigt.

Die neue Größenordnung darf nicht den Systemwechsel verdecken. Sakuras erste Meldung beschrieb Zugriff auf 583 Kundenkonten eines Hosting-Dienstes. Die Meldung vom 19. August betrifft zusätzlich ein internes System, in dem Mitgliedschaft, Verträge und Abrechnung verwaltet werden.

Am 9. August bemerkte das Unternehmen eine Anomalie in einer von ihm verwalteten Serverumgebung. Die Untersuchung bestätigte unbefugte Anmeldungen bei den 583 Konten, den Zugriff auf kundennahe Bereiche und Schadsoftware auf einzelnen Servern. E-Mails, Website-Daten, Protokolle und weitere Kundendateien könnten eingesehen oder erlangt worden sein.

Der mögliche Zugriff auf das Vertriebssystem soll bereits vor der Erkennung am 9. August stattgefunden haben. Ob beide Vorgänge zusammenhängen, ist offen. Einstieg, Verweildauer, Malware-Familie und ein möglicher seitlicher Wechsel zwischen Systemen wurden nicht veröffentlicht.

Die offizielle Tabelle nennt die Datenfelder im möglichen Umfang: Mitglieds-ID, Unternehmen, Abteilung, Anschrift, Name, Telefon, E-Mail, Geburtsdatum, Geschlecht, Fax, gebuchter Dienst, Vertragslaufzeit und Rechnungsbetrag. Bis zu 1.360.563 Konten könnten solche Datensätze enthalten.

Bei 30 dieser Konten könnten außerdem gehashte Passwortinformationen erreichbar gewesen sein. Kreditkartendaten speichere das Vertriebssystem nicht. Das begrenzt den Zahlungsdatenumfang, verhindert aber weder gezielte Täuschung mit Vertragsdaten noch Risiken durch wiederverwendete Zugangsdaten.

Zum Zeitpunkt der zweiten Mitteilung hatte Sakura keinen Abtransport von Daten aus den eigenen Systemen bestätigt. Das ist kein Nachweis, dass nichts kopiert wurde. Die Forensik muss noch zwischen vorhandenen, eingesehenen, erlangten und exportierten Datensätzen unterscheiden.

Für die Dienstebene setzt Sakura eine klare Grenze: Das Vertriebssystem sei von den Umgebungen zur Leistungserbringung, darunter Sakura Cloud, getrennt. In der ersten Meldung waren auch für Sakura VPS, Sakura Cloud, Dedicated Server PHY und Koukaryoku PHY keine Auswirkungen bestätigt. Eine Betriebsunterbrechung wurde nicht gemeldet.

Damit fehlt die Grundlage für die Aussage, Sakuras Cloud sei kompromittiert oder ausgefallen. Die Trennung ist dennoch erst dann belastbar, wenn die Untersuchung zeigt, welche Identitäten und Berechtigungen genutzt wurden und ob eine Persistenz über die Grenze hinaus bestand.

Sakura nennt gesperrte Zugangsdaten, blockierten Zugriff, entfernte Schadsoftware, verstärkte Überwachung, externe Forensik und Meldungen an Behörden als Maßnahmen. Ein Sprecher erklärte am 20. August, es habe sich nicht um Ransomware gehandelt und keine Lösegeldforderung gegeben.

Das Unternehmen betreibt Hosting, Cloud-, Rechenzentrums- und GPU-Angebote und wurde als inländischer Anbieter für Japans Government Cloud ausgewählt. Diese Rolle macht die Prüfung der Kontrollgrenzen relevant; sie ist kein Hinweis auf betroffene Regierungs-Workloads.

Quellen