ソフトバンクの子会社でデータセンター事業を手がけるIDCフロンティア（IDCF）は10月18日、ランサムウェア攻撃を受けて提供を止めていたクラウドのバックアップサービス「IDCFクラウド バックアップ」について、安全性の確認が終わったとして提供を再開すると発表した。同社は14日の第5報で、障害の影響を受けた495の企業・自治体のうち194のお客さまについて、バックアップからデータを取り出せることを確認したと公表していた。仮想サーバー内のデータが外部へ持ち出された痕跡は確認されず、外部流出はなかったと判断した一方、利用者向けの管理ポータルで48社の登録情報が不正に照会されていたことも明らかにした。
10月7日未明に発生、495の企業・自治体のサーバーが停止
障害が起きたのは10月7日午前3時40分ごろ。同社の第1報によると、クラウドサービス「IDCFクラウド」の一部システムが第三者から不正アクセスを受け、東日本第1リージョンでサービスの一部に障害が出た。同じ日のうちに出した第2報で、原因がランサムウェア攻撃だと判明したと公表し、影響範囲を「IDCFクラウドを契約している495の企業や自治体」と明らかにした。
8日の第3報で、対象は東日本リージョン1のうち「tesla」「henry」「pascal」「joule」の4つのゾーンだと特定した。起きたのは、クラウド上の仮想サーバーの停止と、再起動ができなくなる事象だった。リージョンはデータセンターが置かれた地域ごとのまとまり、ゾーンはその中をさらに分けた区画を指す。同社は東日本に3つ、西日本に1つのリージョンを持ち、東日本リージョン1には今回の4ゾーンのほか「radian」「newton」の2ゾーンがある。
同社は二次被害やデータ漏えいを防ぐため、7日のうちに東日本リージョン1をネットワークから遮断し、システムを止めた。被害が及んでいない他のリージョンでも、利用者が外部から操作する管理コンソールを安全確認のため停止した。コンソールが使えない間は、利用者の求めに応じて仮想サーバーの起動や停止を同社が代行している。「IDCFクラウド TypeS（旧ホワイトクラウド ASPIRE）」と「IDCF プライベートクラウド」は対象外としている。
第3報の時点で同社は、4ゾーンに保管されていた利用者のデータについて「取り出しや復元が困難な見通し」と説明していた。復元は利用者自身が持つバックアップからのみ可能だとして、別の環境を用意したうえでシステムを作り直すよう案内した。監督官庁と警視庁には報告済みとしている。
ソフトバンクと対策本部、外部の専門企業と調査
9日の第4報では対応体制を公表した。7日午前9時に緊急対策本部を設け、親会社のソフトバンクと連携して対応を進めている。利用者への対応はソフトバンクの法人部門が窓口となり、バックアップ手順の案内や移行先の環境の提案、仮想サーバーの操作の代行を担う。調査と復旧はIDCFの技術部門が中心となり、ソフトバンクの技術部門の支援を受けて計画を立てて実行し、外部のセキュリティ専門企業とも連携している。監督官庁や警察など関係機関への報告と相談も続けているという。
各報の内容を並べると次のようになる。
| 公表日 | 報 | 主な内容 |
|---|---|---|
| 10月7日 | 第1報 | 不正アクセスで東日本第1リージョンに障害 |
| 10月7日 | 第2報 | ランサムウェア攻撃と判明。影響は495の企業・自治体 |
| 10月8日 | 第3報 | 対象は4ゾーン。データの取り出し・復元は困難な見通し |
| 10月9日 | 第4報 | 緊急対策本部とソフトバンクとの連携体制 |
| 10月14日 | 第5報 | 外部流出は無しと判断。194社はバックアップを取り出し可能。48社の登録情報に不正照会 |
| 10月18日 | 第6報 | 「IDCFクラウド バックアップ」の提供を再開 |
「流出なし」と判断、194社はバックアップを取り出せる
14日の第5報は、外部の専門企業と進めてきた調査の結果を示した。同社は攻撃者の侵入経路、アクセスログ・認証ログ・操作ログ、攻撃者が置いた不正なプログラムや設定、利用者の仮想サーバー内のデータが外へ持ち出された痕跡の有無を調べた。その結果、4ゾーンの仮想サーバー内に保存されていたデータについて、照会されたり外部へ持ち出されたりしたことを示す痕跡や、それを裏付ける事実は確認されなかったという。情報の不正利用などの二次被害も現時点で確認されていないとして、同社は「外部へのデータの流出はなかった」と判断した。
一方で、障害が出なかった東日本リージョン1の残る2ゾーン、東日本リージョン2・3、西日本リージョン1については、安全を確かめるため調査を続けている。
第3報で困難としていたデータの取り出しについても、見通しが変わった。外部の専門企業と連携してバックアップデータの安全性を確認できたため、495の企業・自治体のうち、IDCFクラウドの「スナップショット機能」を使っていた194のお客さまについて、バックアップデータを取り出せることを確認した。スナップショットは、仮想サーバーのデータ保存領域をある時点の状態のまま保存しておく機能。取り出したデータを元どおり使えるかどうかや、具体的な提供方法は、対象の利用者に個別に連絡しているという。残る301の企業・自治体については、第5報で取り出しの見通しに触れていない。
管理ポータルでは48社の登録情報を不正照会
第5報は、利用者がサーバーの起動や請求の確認に使う「IDCFクラウドポータル」で、48社の登録情報が不正に照会されていたことも明らかにした。照会された情報は、契約時に設定した企業名、ポータルのログインIDとパスワード、契約やサーバーの稼働状況を知らせる通知先の企業メールアドレス、月額利用料金の合計額。パスワードは元に戻すのが難しいランダムなハッシュ値で保存されていたとしている。
照会された情報には、担当者の個人名を含む可能性があるメールアドレスが2社分（各1件）含まれていた。ただし、照会された情報が外部へ持ち出された痕跡は確認されなかったという。対象の48社には個別に連絡している。
仮想サーバーの中身とは別に、利用者の契約情報を扱う管理ポータルでも不正な照会が行われていたことになる。同社は侵入経路の詳細をまだ公表していない。
バックアップ再開、無事だった領域のデータを外へ退避
18日の第6報で提供を再開した「IDCFクラウド バックアップ」は、主に被害が及ばなかった領域の利用者に向けたものだ。同社は、仮想サーバーを引き続き使える東日本リージョン1の2ゾーン、東日本リージョン2・3、西日本リージョン1の利用者に対し、予防措置としてデータのバックアップを自分で取るよう求め、より簡単に取れる方法を準備していると案内してきた。サービスの再開で、利用者はバックアップデータをすぐに取得できるようになり、IDCFクラウド以外のクラウドや自社設備（オンプレミス）などにデータを復元することもできるという。
一方、スナップショット機能は安全性の確認のため、現在も提供を止めている。同社は利用者のデータの保全とサービスの安全確保に向けた対応を続け、新たな事実が分かれば速やかに知らせるとしている。
ランサムウェアは、システムに侵入してデータを暗号化するなどして使えなくし、元に戻すことと引き換えに金銭を要求する不正プログラム。今回は、多くの企業や自治体が共同で使うクラウド基盤が狙われ、1つの事業者への攻撃が495の契約先へ一度に波及した。被害を受けた領域で、同社のサービス上に残っていたバックアップを取り出せたのは、スナップショット機能を使っていた利用者に限られた。国内のランサムウェア被害の動向や侵入経路は「サイバー攻撃と情報漏えいの全体像 ランサム被害は最多123件、入口はVPNと委託先」にまとめている。被害を受けた企業向けには、情報処理推進機構（IPA）が10月16日に相談窓口を開いた（「IPA、不正アクセス被害の企業向けに特別相談窓口 初動対応を電話で助言、専門業者も紹介」）。