ソフトバンク子会社のIDCフロンティアは2026年10月27日、クラウドサービス「IDCFクラウド」がランサムウェア攻撃を受けた問題について、調査結果をまとめた第7報を公表した。攻撃者は、クラウド管理ポータル「IDCFクラウドポータル」の認証システムで採用していたオープンソースソフトウェア（OSS）の脆弱性を悪用して侵入し、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得していた。影響を受けたのは東日本リージョン1の一部ゾーンを利用する495の企業・自治体。
事案の詳細
障害は10月7日午前3時40分ごろ、東日本リージョン1の一部ゾーン（tesla、henry、pascal、joule）で、仮想サーバーの停止や再起動ができなくなる形で発生した。同社は同日中に東日本リージョン1のポータルを停止し、第三者によるランサムウェア攻撃と特定した。
日経クロステックの取材に対し同社は、悪用された脆弱性の修正版は障害発生の数週間前に公開されていたが、適用する前に攻撃を受けたと回答している。脆弱性があったOSSの名称は公表されていない。
調査では、ポータルの登録情報について最大71社分の不正な照会を確認した。このうち最大31社・31件に、個人名や個人名を含む可能性のあるメールアドレスなどが含まれていた。最大4件ではログインパスワードが不正に変更されており、同社はリセットしたうえで対象の顧客に個別に連絡した。
情報流出については、「お客さまの仮想サーバー内のデータの外部への流出はありませんでした」と結論づけた。不正に照会された登録情報についても、外部への持ち出しを示す痕跡は確認されていないとしている。バックアップデータは206の顧客分で取り出しが可能だと確認した。ポータルは停止を続けており、同社による代行操作から3段階で提供を再開する方針だ。
影響と背景
今回の攻撃は、クラウド事業者の管理基盤が侵害されると、利用する多数の企業・自治体のシステムが一斉に止まることを示した。当サイトの第5報の記事で伝えたように、IDCFクラウドを利用する事業者の委託元にも影響が広がっていた。
修正版が公開されてから適用するまでの数週間に攻撃を受けた点は、多くの組織に共通する課題だ。自社で開発したものではないOSSが製品やサービスの中に組み込まれていると、どこに何が使われているかを把握しきれず、更新が遅れやすい。同社は再発防止策として、ソフトウェアの構成情報を一覧化する「SBOM」を全社で一元管理し、脆弱性情報との照合を自動化するとしている。
対策・今後の展望
IDCフロンティアは、セキュリティを専門に管理する独立組織を設置したほか、次の対策を進めるとしている。
- OSSを含めた脆弱性管理：脆弱性診断や攻撃を想定した診断の対象をOSSにも広げ、継続的に実施する。
- SBOMによる構成管理：ソフトウェアの構成情報を全社で一元管理し、脆弱性情報との突き合わせを自動化する。
- 管理ポータルの作り直し：ポータルを新しい環境で再構築し、全サーバーの認証情報を変更する。認証の仕組みは外部の認証事業者のシステムに切り替える。
- 接続制限と多要素認証：ポータルへの接続を顧客のIPアドレスに制限し、多要素認証を必須にする。
CSRIからの現場アドバイス
【現場で何が起きているか】中小企業の脆弱性診断では、OSやWindowsの更新は回っていても、業務システムや機器に組み込まれたOSS、VPN装置、管理画面のソフトウェアが古いまま残っている例が少なくない。「どこで何を使っているか」の一覧がないため、修正版が出ても自社が対象だと気づけないことが多い。
【平易な解説】マンションの管理人室の合鍵が、メーカーから「交換してください」と連絡が来ていたのに数週間そのままになっていて、その間に合鍵を使われ全戸の玄関が開けられてしまったようなものだ。各部屋の住人がどれだけ注意していても、管理側の鍵が破られると全体が被害を受ける。
【中小企業が今週中にできること】外部に公開しているサーバー、VPN装置、管理画面など、インターネットから直接つながる機器とソフトウェアの一覧を作り、それぞれの最新版と自社のバージョンを照らし合わせる。利用しているクラウドやホスティング事業者については、障害時の連絡手段と、バックアップを自社でも取得できるかを確認しておく。