INCIDENT / 2026-10-07
IDCFクラウド 東日本リージョン1へのランサムウェア攻撃
IDCフロンティアのクラウド基盤がランサムウェア攻撃を受け、東日本リージョン1の4ゾーンで仮想サーバーが停止・暗号化された。495の企業・自治体に影響した。
基本情報
概要
2026年10月7日午前3時40分頃、東日本リージョン1の一部ゾーンで仮想サーバーが停止し再起動できなくなった。同日中に第三者によるランサムウェア攻撃と特定され、管理ポータルの停止とネットワーク遮断が行われた。基盤事業者の被害が、その上でサービスを運用する多数の企業・自治体に一度に波及した事例。
経緯
- 2026-10-07
障害発生・検知[1]
午前3時40分頃、東日本リージョン1の一部で仮想サーバーが停止。
- 2026-10-07
ランサムウェア攻撃と特定[1]
午前11時42分に原因をランサムウェア攻撃と特定。午後に全リージョンのポータルを停止し外部ネットワークを遮断。
- 2026-10-09
影響範囲の報道[2]
495の企業・自治体に影響、一部データは復旧困難と報じられる。
- 2026-10-14
データ流出なしと判断[1]
仮想サーバー内データの外部流出はなかったと判断。ポータルで48社分の登録情報への不正照会が判明。
- 2026-10-18
バックアップサービス再開[1]
「IDCFクラウド バックアップ」の提供を再開。
- 2026-10-27
調査完了・原因公表（第7報）[1]
OSSの脆弱性を突いた認証システムへの侵入が原因と公表。不正照会は最大71社に拡大。
原因
顧客向け管理ポータル「IDCFクラウドポータル」の認証システムで使用していたオープンソースソフトウェアの脆弱性を悪用され、第三者が認証システムに侵入した。その後、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得し、仮想サーバーを停止・暗号化した（第7報）。悪用されたソフトウェア名・CVEは公表されていない。
攻撃手法
影響範囲
漏洩した情報
- 確認済みポータル登録情報（最大71社。企業名・ログインID・パスワードハッシュ等）の不正照会
- 不明仮想サーバー内データの外部流出
影響を受けた契約者は495の企業・自治体。第7報で、仮想サーバー内データの外部持ち出しの痕跡は確認されなかったと公表。ポータルでは最大71社分の登録情報が不正に照会された（持ち出しの痕跡なし）。バックアップデータを取り出せた契約者は206。
対応
攻撃特定後に全リージョンの管理ポータルを停止し、外部とのネットワークを遮断。外部セキュリティ専門企業と調査し、ソフトバンクと連携して代替環境への移行とバックアップの取り出しを支援した。
- 全リージョンのIDCFクラウドポータル停止・外部ネットワーク遮断
- 影響ゾーンのストレージ機器切り離し
- 緊急対策本部・顧客向け緊急対応窓口の設置
- 代替環境の案内とバックアップデータの引き渡し
- セキュリティを専門に管理する独立組織の設置
- 脆弱性診断・修正対応の自動化、不正アクセス早期検知の拡充（再発防止策）
技術的解説
公表内容から読み取れる攻撃の流れは「外部公開された管理ポータルの認証基盤 → 管理コンソール → 仮想化基盤の管理者権限 → 仮想マシン単位の停止・暗号化」。個々のゲストOSではなく基盤側の権限で暗号化されたため、利用者側のOS内対策では防げず、基盤内に置いたスナップショットの可用性も基盤の安全性に依存した。
教訓・対策
- 管理ポータル・認証基盤など外部公開された管理系コンポーネントのOSS依存関係を棚卸しし、脆弱性情報を継続的に追跡する
- 管理プレーンへの到達経路を限定し（IP制限・専用ネットワーク）、多要素認証を必須にする
- クラウド利用者側も、提供事業者の基盤とは独立した場所にバックアップを保持する
- 単一リージョン・単一事業者障害時の事業継続計画を確認する
参考資料
- 【第7報】不正アクセスに関する調査結果および今後の対応についてIDCフロンティア公開日: 2026-10-27公式発表一次情報取得日: 2026-10-31
- 一部顧客のデータは復旧困難 IDCフロンティアにランサムウェア、495社・自治体に影響@IT公開日: 2026-10-09報道二次情報取得日: 2026-10-31
関連情報
関連するCVE
関連付けられたCVEはありません。
関連組織
関連するインシデント
関連付けられたインシデントはありません。