インシデント / INCIDENT / DISCLOSURE
Surfsharkが内部テストサーバへの不正アクセスを公表 — 設定ミスでインターネットに公開、利用者データへの影響はなし
Surfsharkは2026年9月9日、内部テストサーバが設定ミスで公開され第三者にアクセスされたと公表した。利用者データやVPNサービスへの影響は確認されておらず、利用者側の対応は不要だとしている。
要点
- VPNサービスを提供するSurfsharkは2026年9月9日、社内のテストサーバ1台が第三者にアクセスされたとするインシデント報告を公開した。原因は人為ミスによる設定不備で、インターネットから到達できる状態になっていた。
- 同社は、利用者データとVPNサービスへの影響は確認されていないと説明している。対象は本番環境から分離された社内エンジニアリング環境で、利用者データを保存・処理しない設計だった。利用者側の対応は不要だとしている。
- 時系列は、8月31日に監視システムで不審な兆候を検知し、9月2日にインシデントと確定して同日中に封じ込め、9月5日までに復旧対応を実施した。社内ビルド関連の認証情報は利用可能なログを精査し、悪用は検出されなかったが予防的にすべてローテーションまたは廃止した。
何が起きたか
Surfsharkの報告によると、エンジニアリングチームが使う内部テストサーバが、設定ミスでインターネットから到達可能な状態になっていた。そのサーバを通じて、ある環境に保管されていた限定的な社内エンジニアリング資料に第三者がアクセスした。内容は一部サービスのシステムバイナリの一部と内部設定だった。
コード履歴には、ビルド関連の認証情報が過去に書き込まれていた時期があった。同社はこれらの認証情報では利用者データや利用者にサービスを提供する本番システムに到達できないと説明したうえで、利用可能なアクセスログを精査した。悪用は検出されなかったが、予防措置として特定したすべてのシークレットをローテーションまたは廃止した。
あわせて、隔離されたコンテンツ到達性最適化サーバ（VPS）へのアクセスも確認された。このサーバはプロキシとして動作し、利用者の識別情報、IPアドレス、暗号化鍵、閲覧トラフィックに触れないため、利用者のプライバシーと安全に影響はなかったとしている。機密データを扱うシステムの認証情報は別の保管庫（vault）で管理されており、影響を受けなかった。
同社の対応と今後の対策
同社は、対象システムの封じ込めと公開状態の解消、環境全体の調査による範囲特定、関連する内部認証情報のローテーション、他システムへの拡大がないことと利用者データに到達していないことの確認を実施した。検知・監視の改善とシステム基盤の強化も進めている。
反省点として、最初の兆候は8月31日に検知されたが、対象が利用者データや機密データを保持しないテスト環境だったため、当初は機密データを扱うシステム向けの緊急手順ではなく低リスク事案として扱われ、確定・封じ込めが9月2日になったと説明している。同社はテスト・実験環境を本番環境と同等のセキュリティ基準に引き上げるとし、ビルド工程全体のアクセス制御と認証情報管理の改善、テスト基盤の検知・監視の強化、テスト基盤へのセキュリティツール導入とOS・サービスの設定強化を挙げている。基盤全体の姿勢を評価する追加の独立セキュリティ監査も実施する予定だ。
VPNは日本でもテレワークや海外拠点との通信で広く使われている。今回の件で利用者データの流出は報告されていないが、同社の報告は9月9日付で更新が続く可能性があるため、利用者は同社の公開ページで最新情報を確認するとよい。
出典
- Surfshark「Security update: September 2026 incident report」(2026年9月9日)
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。