使えるねっとに不正アクセス、戻った共有サーバーで消えたメールの埋め方

使えるねっとの共有サーバーの一部では、11月2日から7日の早朝までに届いたメールと、その間のサイトの更新が、消えたままです。使えるねっと株式会社（長野県長野市）は11月7日、自社のシステムへの第三者の不正アクセスと、顧客情報の漏えいを速報で発表しました。共有サーバーの一部を、11月2日時点のバックアップから戻したためです。

契約者には、もう一つ手間が残っています。契約管理の「使えるポータル」のログインパスワードを同社がリセットしたので、再設定しないとログインできません。

11月6日の夜から、管理画面が順に止まった

最初に出たお知らせは、不正アクセスではなくVPSの障害でした。速報の前に、障害と停止のお知らせが続けて出ました。

速報によると、同社がサーバーの異常に気づいたのは11月6日です。

Tsukaeru Control Panelについては、7日9時50分の案内のあと、9日の朝まで更新がありません。サーバーの再起動のように管理画面で済ませていた操作は、しばらくサポートメールで頼むことになります。

消えたのは、11月2日のバックアップのあとの更新

同社の説明では、11月2日のバックアップを取ってから7日の早朝までに更新されたWebサイトなどのデータと、送受信されたメールが失われました。2日のうちでも、バックアップのあとに届いたメールは、この中に入ります。

サイトのデータといっても、記事や画像だけではありません。同社の共有サーバーはWordPressやEC-CUBEに対応しており、こうしたアプリはフォームの送信内容や会員登録、受けた注文をデータベースに残します。サーバーごと戻ったのなら、その期間の分も一緒に消えた計算です。

見落としやすいのは、期間中に当てた更新でしょう。

米CISAは11月3日、WordPressの本体の脆弱性CVE-2026-119977を、悪用を確認した脆弱性の一覧（KEV）に加えました。修正版の7.1.4は10月28日（米国時間）に出ており、自動更新に任せていたサイトの多くは、戻った時点のファイルでもう上がっていたでしょう。気をつけたいのは、自動更新を止めていて、KEV入りを見て手で上げたサイトです。ファイルが戻った分、上げる前の版に戻っているはずです。

上げ直すときは、順番に気をつけます。7.1.4へ上げるその1回も狙われうるので、先にwp-content/upgradeへの外からのアクセスを閉じておきます。閉じ方は7.1.4の記事で確かめられます。

では、メールはどこかに残っているのでしょうか。答えは受け方で違います。POPでパソコンに取り込んでいた分は、手元のメールソフトに残ります。IMAPやWebメールだけで読んでいた分は、サーバーと一緒に消えたと考えたほうがよさそうです。IMAPのメールソフトはサーバーに合わせて表示をそろえるため、復元のあとに一度もつないでいない端末にだけ、消えた期間のメールが表示されたまま残っていることがあります。

しかも、送った側は消えたことに気づけません。受け取ったあとで消えたメールなので、送り主にエラーは返っていないはずです。11月2日から7日にかけて請求書や発注書を送ってきた取引先は、届いたつもりのままです。

影響を受けるかは、契約しているサービスで分かれる

使えるポータルにアカウントを持つ契約者は、どのサービスを使っていても関係があります。ポータルに保存されていたパスワードについて、同社は「暗号化されておりますが、第三者によって解読されている可能性があります」と認めました。つまり、漏れたパスワードとして扱うのが筋です。同じものをほかでも使っていれば、そちらも替える必要があります。同社は特に、メールアカウントのパスワードの変更を求めました。なお、クレジットカード情報はポータルに保管しておらず、ポータルからの漏えいはないと同社は説明します。

使えるポータル自体も、不正アクセスの前のバックアップから戻されました。最近ポータルで申し込んだ変更が残っているかも、ログインし直したときに見ておきます。

共有サーバーで不正アクセスが見つかったのは「一部」です。自社が戻された側かの目安は、Webメールの送信済みと受信箱に11月3日から6日の分があるかと、2日以降に載せた記事がサイトに残っているかです。ただ、POPで受けるたびにサーバーから消している会社や、その間サイトを触っていない会社は、これでは分かりません。サポート窓口（support@tsukaeru.net）に、契約のサーバーが戻されたかを聞くのが確実です。

VPSでは、不正アクセスが見つかった収容機に関係する127件を、同社が調べています。この数は調べている台数で、中まで入られた件数ではない、と同社は断りました。対象の契約者には個別に連絡があります。

使えるファイル箱や使えるOfficeのように、ほかのサービスだけを契約している会社はどうでしょうか。各サービスの提供環境では、今のところ、VPSと共有サーバーのほかに不正アクセスは確認されていません。ポータルにログインしているなら、パスワードの再設定だけは同じく要ります。

契約していない会社にも、関係する場面があります。取引先が使えるねっとでメールを受けていれば、11月2日から7日に自社から送ったメールが、先方で消えているかもしれません。その間に請求書や見積を送った相手には、届いているかを一言確かめておくと安心です。

速報では、まだ分からないこと

速報は「まずは現時点の状況」を伝えるものとされ、次の点は分かっていません。

• 使えるポータルから漏れた情報の項目と、実際に見られたり取られたりした範囲
• 侵入の経路と、不正アクセスが続いた期間
• 不正アクセスが見つかった共有サーバーの範囲と、利用者のデータが見られたかどうか
• 127件のVPSの中まで入られたかどうか
• 11月6日の夜のVPSの障害と、不正アクセスとの関係
• 11月2日のバックアップを取った時刻

気になるのは、発生期間が分かっていない点です。入られたのが11月2日のバックアップより前なら、戻した先のファイルにも手が入っていたおそれがあります。だから、戻ったサイトのファイルを、自社の手元のファイルと一度は見比べておきたいところです。

消えた期間を手元から埋める段取り

1. 自社が戻された側かを確かめます。Webメールの送信済みと受信箱に11月3日から6日の分があるか、2日以降に載せた記事がサイトに残っているかを見て、判断がつかなければサポート窓口に聞きます。
2. POPで受けていたパソコンと、復元のあとに一度もつないでいない端末を探し、期間中のメールを書き出します。IMAPのスマホやパソコンは、機内モードにするか、ネットにつながない状態でメールソフトを開いて書き出します。開いた途端に、サーバーと同期してしまうからです。
3. 取引先と顧客に、11月2日から7日の早朝に送ってもらったメールが届いていないおそれを伝え、請求書や注文、見積の再送を頼みます。フォームやECの注文は、決済サービスの管理画面や、別のアドレスに転送していた通知から拾い直します。
4. サイトは、2日以降に載せた記事やファイルを手元の原稿から入れ直します。WordPressの版が7.1.4より古ければ、wp-content/upgradeへの外からのアクセスを閉じてから更新し、プラグインの版も管理画面で確かめます。見覚えのない管理者のアカウントやファイルがないかも、このときに見ます。
5. 使えるポータルのログイン画面の「パスワードを忘れた」から再設定し、二要素認証も設定し直します。同じパスワードをメールやFTP、WordPressの管理画面に使っていたなら、それぞれ別のものに替えます。

事業者のバックアップでは、最後の数日が埋まらない

10月のIDCFクラウドの件で、IDCフロンティアは第3報（10月8日）に、復元は「お客さま自身が保持しているバックアップデータからのみ可能」との見解を載せました。その後の報では、スナップショット機能で取っていた206の利用者の分は取り出せると分かっています。どちらの件も、戻せたのは最後にバックアップを取った時点までです。

事業者のバックアップは、事業者がサービスを元に戻すためのものです。どこまで戻るかは事業者が最後に取った日で決まり、今回はそれが11月2日でした。

メールをサーバーに置いたまま読む会社は、少なくないはずです。POPで写しを取る端末を1台決めるか、別のサービスへ転送しておくだけでも、次に同じことが起きた日の数日分は手元に残ります。

11月3日に届いた請求書は、今どこにありますか。