Résumé

  • Le 19 août, Sakura Internet a ajouté son système de gestion commerciale au périmètre d'une enquête ouverte après des connexions non autorisées à 583 comptes de Sakura Rental Server.
  • Jusqu'à 1 360 563 comptes figurent dans la population potentiellement concernée, mais Sakura ne présente ni ce total comme un nombre de victimes confirmé, ni l'exfiltration de données comme établie.

Le chiffre de 1,36 million attire l'attention, mais le changement décisif porte sur la couche atteinte. Le premier communiqué décrivait une intrusion dans des environnements accessibles à 583 clients de l'hébergement mutualisé. Le second évoque un accès possible à un système interne qui administre les contrats et les informations des membres.

Sakura avait détecté une anomalie le 9 août dans un environnement serveur qu'elle gérait. L'enquête a ensuite établi des connexions illégitimes aux 583 comptes, l'accès à des zones clientes et l'installation de logiciels malveillants sur certains serveurs. Des courriels, contenus de sites, journaux et autres fichiers auraient pu être consultés ou acquis.

Selon l'entreprise, l'accès au système commercial est antérieur à la détection du 9 août. Le lien entre les deux intrusions reste à déterminer. La voie d'entrée, la durée de présence, la famille du logiciel malveillant et le déplacement éventuel entre systèmes ne sont pas publics.

Le tableau officiel détaille la population désormais examinée. Il cite notamment l'identifiant de membre, l'entreprise, le service, l'adresse, le nom, le téléphone, le courriel, la date de naissance, le sexe, le fax, le service souscrit, la durée du contrat et le montant facturé. Ces champs ont pu être accessibles pour un maximum de 1 360 563 comptes.

Pour 30 comptes, des mots de passe hachés ont aussi pu être atteints. Sakura précise que le système ne conserve pas de données de carte bancaire. L'absence de carte réduit un type de risque, mais n'annule ni l'usurpation fondée sur des données contractuelles, ni la menace liée à un mot de passe réutilisé.

Au moment du deuxième avis, aucune sortie de données hors des systèmes de Sakura n'était confirmée. Cette formulation décrit l'état des preuves. Elle ne signifie pas que l'entreprise a démontré qu'aucune donnée n'a été copiée. L'examen du contenu réellement vu ou acquis se poursuit, ainsi que les notifications individuelles.

Sakura insiste sur une séparation architecturale : le système commercial est distinct des environnements qui fournissent les services, dont Sakura Cloud. Le premier avis ne signalait alors aucun impact confirmé sur Sakura VPS, Sakura Cloud, Dedicated Server PHY ou Koukaryoku PHY. Aucun arrêt de service n'a été rendu public.

Cette limite interdit d'étendre l'incident aux plates-formes cloud sans preuve. Elle n'autorise pas pour autant à conclure que la segmentation a suffi. Les analyses doivent encore montrer quels identifiants ont été utilisés, quelles frontières ont été franchies et si un accès a subsisté.

L'opérateur affirme avoir révoqué les identifiants suspects, bloqué les accès, supprimé le logiciel malveillant, renforcé la surveillance et mobilisé des experts externes. Un porte-parole a confirmé à BleepingComputer le 20 août qu'il ne s'agissait pas d'un rançongiciel et qu'aucune rançon n'avait été demandée.

Sakura exploite des services d'hébergement, de cloud, de centres de données et de calcul GPU, et a été retenue comme fournisseur national du programme Government Cloud japonais. Ce rôle donne du poids à la vérification des contrôles, sans établir que des charges de travail gouvernementales aient été touchées.

Sources