Resumen

  • La segunda comunicación de Sakura añade a la investigación el sistema que administra contratos e información de miembros, después de los accesos no autorizados a 583 cuentas de Rental Server.
  • El máximo de 1.360.563 describe una población potencial, no víctimas confirmadas. Tampoco se ha confirmado extracción de datos ni afectación de la plataforma Sakura Cloud.

La escala del incidente cambió el 19 de agosto, pero conviene precisar cómo. Sakura Internet no dijo que 1,36 millones de cuentas hubieran sido robadas. Dijo que su investigación encontró la posibilidad de acceso a otro sistema: la plataforma interna que almacena datos de miembros y contratos.

El punto de partida era más acotado. La compañía detectó una anomalía el 9 de agosto y posteriormente confirmó inicios de sesión no autorizados en 583 cuentas de Sakura Rental Server. El atacante alcanzó zonas disponibles para esos clientes e instaló malware en algunos servidores.

En esas zonas podían encontrarse identificadores, correo, archivos de sitios web, registros y otros contenidos alojados por el cliente. Sakura afirmó que esa información pudo haber sido vista u obtenida, aunque al cierre de la primera comunicación no había recibido avisos de alteración de páginas u otros daños semejantes.

El acceso posible al sistema comercial habría ocurrido antes de la detección del 9 de agosto. Sakura sigue evaluando si ambos sucesos están relacionados. No se conocen públicamente el vector inicial, el tiempo de permanencia, el tipo de malware ni una ruta de movimiento lateral.

La tabla incluida en la segunda comunicación enumera los datos que podrían estar en alcance: ID de miembro, empresa, departamento, dirección, nombre, teléfono, correo electrónico, fecha de nacimiento, sexo, fax, servicio contratado, periodo contractual e importe facturado, entre otros. La población posible llega a 1.360.563 cuentas.

En 30 de esas cuentas también pudo estar accesible información de contraseñas cifradas mediante hash. Sakura asegura que el sistema de ventas no almacena tarjetas de crédito. Es una frontera útil, pero los datos contractuales aún podrían alimentar suplantaciones y una credencial reutilizada mantendría valor para un atacante.

La empresa no había confirmado que información alguna hubiese sido extraída al exterior. No es lo mismo que demostrar que no ocurrió. Los trabajos forenses aún deben separar registros presentes, registros vistos y registros copiados, además de identificar a quién debe notificarse.

Sakura afirma que el sistema comercial está separado de los entornos de prestación, incluido Sakura Cloud. El aviso inicial no había confirmado impacto sobre Sakura VPS, Sakura Cloud, Dedicated Server PHY o Koukaryoku PHY. Tampoco se comunicó una interrupción operativa.

Por eso no hay base para describir una caída o intrusión de la nube de Sakura. La separación, sin embargo, es un control pendiente de verificación: hace falta probar qué identidades tenían alcance, qué límites se cruzaron y si quedó algún mecanismo de persistencia.

Las medidas publicadas incluyen invalidar credenciales, bloquear accesos, retirar malware, reforzar la vigilancia, realizar análisis con especialistas externos y avisar a las autoridades. El 20 de agosto un portavoz añadió que no fue ransomware y que no hubo demanda de rescate.

Sakura es un operador japonés de alojamiento, nube, centros de datos y capacidad GPU, y fue seleccionado como proveedor nacional de Government Cloud. Esa relevancia justifica examinar la segmentación con rigor; no vincula el incidente con cargas gubernamentales.

Fuentes