Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-idcf-cloudIT/クラウド最終確認 2026-10-18 15:03

IDCFクラウドへのランサムウェア攻撃

公表日

株式会社IDCフロンティア（ソフトバンク株式会社）
調査中ランサムウェア不正アクセスサプライチェーンサプライチェーン：起点

多くの企業や自治体がサーバーを借りて使うクラウド「IDCFクラウド」がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、495の企業・自治体に影響が出ました。10月18日には、バックアップサービスが再開されました。

対象者は？

IDCFクラウドを使う企業・自治体のサービスの利用者です。IDCFは、問題の4つの区画（ゾーン）にあったサーバー内の顧客データの外部流出はなかったと判断しています。ただし、サーバーとは別の管理用ポータルで、48社の登録情報が不正に照会されました。うち2社（各1件）は担当者の個人名を含む可能性があるメールアドレスですが、持ち出された痕跡は確認されていません。利用企業の発表は分かれています。JR東日本（えきねっと等 最大約206万件）とビューカード（約403万件）は、メールアドレスなどが漏えいした「おそれ」があると発表したまま、10月15日夜時点で更新していません。JR九州とJR東海は、IDCFの調査結果を受けて漏えいは確認されなかったと発表しました。マウスコンピューターは、メールアドレス約42万件などに漏えいの可能性があると発表しています（実際の流出は未確認）。氏名・住所・電話番号・カード番号は、JR東日本とビューカードの発表では漏えいの可能性なしとされています。

利用しているサービスの運営会社が個別に公表しています。各社の公式のお知らせを確認してください。

JR東日本のお知らせ ↗ビューカードのお知らせ ↗IDCフロンティアのお知らせ（第4報） ↗IDCフロンティアのお知らせ（第5報） ↗IDCフロンティアのお知らせ（第6報） ↗

いますぐできること

  • JR東日本やビューカードなどを名乗るメール・SMSのリンクは開かず、公式アプリや公式サイトから確認する
  • 利用しているサービスの運営会社の公式のお知らせで、自分が対象かどうかを確認する
  • 身に覚えのないメールやSMSが届いたら、返信せず、運営会社の公式窓口に知らせる

何が起きたのか

2026年10月7日の午前3時40分ごろ、IDCフロンティアのクラウドサービス「IDCFクラウド」で障害が起きました。同日夜、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による攻撃だと発表されました。4つの区画のサーバーが止まって再起動できなくなり、当初は、中のデータの取り出しも復元も難しい見通しとされました。茨城県の公式サイトが見られなくなり、日水物流では17拠点で入出荷が止まるなど、多くのサービスが止まりました。10月14日には、サーバー内の顧客データが外部に流出した形跡はないと発表されました。同時に、スナップショット機能を使っていた194の顧客については、バックアップデータの取り出しが可能と確認されました。ただし、取り出したデータで実際にシステムを戻せるかは確認中です。10月18日には、停止していた「IDCFクラウド バックアップ」が、安全性の確認が終わったとして再開されました。

なぜ起きたのか・なぜ広がったのか

侵入の経路や犯人は、まだ公表されていません。画像で攻撃者が自分の成果を主張していますが、IDCFは確認しておらず、本物かどうかも分かっていません。影響が広がったのは、多くの組織が同じクラウドの上でシステムを動かしていたためです。JR東日本やビューカードのように、IDCFと直接契約せず、メール配信を任せた会社を通じて影響を受けた組織も含まれています。バックアップを同じクラウドの中にしか置いていない場合は、元に戻す手段が限られました。

いまの状況2026-10-18 時点続報待ち

10月18日時点で、侵入の経路、犯人、4つの区画の復旧見通しは、いずれも発表されていません。バックアップサービスは再開しましたが、「スナップショット機能」は提供停止が続いています。被害のなかった区画やリージョンの利用者には、念のためバックアップの取得が呼びかけられています。利用企業は、自社のバックアップから別の環境へシステムを移す作業を進めています。たとえばニッスイは、IDCF以外のサーバに新システムを作り、10月19〜25日の週に全拠点で通常稼働にする見通しです。

企業として考えたいこと

自社のシステムやデータは、どの会社のどの設備で動いているでしょうか。また、預け先の会社が止まったとき、別の事業者にあるバックアップから何日で戻せるでしょうか。確認しておきましょう。

技術的な要約

2026年10月7日3時40分頃、IDCフロンティアのIaaS「IDCFクラウド」東日本リージョン1（福島白河データセンター）で第三者の不正アクセスによる障害が発生し、同日20時18分の第2報でランサムウェア攻撃と公表された。tesla・henry・pascal・jouleの4ゾーンで仮想サーバが停止・再起動不能となり、第3報では顧客データは「取り出しや復元が困難な見通し」とされたが、10月14日の第5報で、スナップショット機能を利用していた194顧客についてバックアップデータの取り出しが可能と確認された（取り出したデータから実際にシステムを復元できるかは確認中）。10月18日の第6報では、停止していた「IDCFクラウド バックアップ」が安全性確認の完了により提供再開となり、「スナップショット機能」は提供停止が続いている。影響を受けた契約者は495の企業・自治体で、日水物流の17拠点の入出荷停止、茨城県公式サイトの閲覧不能、Movable Type クラウド版31台の停止などに波及した。IDCFは第5報で4ゾーンの仮想サーバ内の顧客データの外部流出はなかったと判断した一方、仮想サーバとは別のIDCFクラウドポータルで48社の登録情報への不正な照会を確認している（持ち出しの痕跡は確認されていない）。JR東日本（えきねっと等 最大約206万件）とビューカード（約403万件）は漏えいの「おそれ」を公表したまま10月15日時点で告知を更新しておらず、JR九州とJR東海は同日、IDCFの調査結果を受けて漏えいは確認されなかったと公表した。侵入経路・攻撃グループは10月14日時点で未公表。

侵入
—
被害発生
2026-10-07 03:40
検知
2026-10-07
第1報公表
2026-10-07 13:52
最新続報
2026-10-18
侵入 → 検知
—
侵入日が非公表
検知 → 公表
0日
データ（上限）
—
確定 —
波及先
495
社・自治体

攻撃の分類

侵入口
不明
IDCFは第2報〜第4報を通じて「侵入経路の特定と遮断」を対応中としており、外部セキュリティ専門企業と東日本・西日本リージョンのネットワーク・サーバ・ストレージを調査中。経路・悪用脆弱性・侵害された認証情報はいずれも未公表。なお全リージョンで「外部からアクセス可能な管理コンソール」を予防停止しているが、これが侵入経路であるとは公表されていない。
脆弱性
判明している脆弱性はありません
攻撃者
特定・主張なし
ATT&CK
T1486 Data Encrypted for ImpactT1490 Inhibit System RecoveryT1529 System Shutdown/Reboot

影響

業務停止
あり 東日本リージョン1の4ゾーン（tesla/henry/pascal/joule）で仮想サーバ停止・再起動不能。同リージョンはネットワーク遮断・システム停止。他ゾーン・リージョン（東日本リージョン1のradian・newton、東日本リージョン2・3、西日本リージョン1）は第5報で障害によるサービスの影響はないとされ、安全性確認のため調査を継続しており、仮想サーバは引き続き利用できている（IDCFは予防措置としてデータのバックアップ取得を依頼）。これらのリージョンでは第2報以降、外部からアクセス可能な管理コンソールを停止し、VMの起動・停止はIDCFが顧客依頼に応じ代行していた。4ゾーンの顧客データは第3報で取り出し・復元困難の見通しとされ、顧客には別環境での再構築を案内。第5報でスナップショット機能を利用していた194顧客はバックアップデータの取り出しが可能と確認されたが、取り出したデータから実際にシステムを復元できるかは確認中。第6報（10/18）で「IDCFクラウド バックアップ」は安全性確認が完了し提供再開（他クラウド・オンプレミスへの復元も可能）、「スナップショット機能」は提供停止が継続。IDCFクラウド TypeS（旧ホワイトクラウド ASPIRE）とIDCFプライベートクラウドは対象外。
期間：継続中（2026-10-07 03:40頃〜、10/14 20時時点でも障害は継続。4ゾーンの復旧見通しは未公表。10/18にバックアップサービスのみ提供再開）
データ
調査中上限 —確定 —件
業務データメール生年月日
IDCFは第5報（10/14）で、4ゾーンの仮想サーバ内の顧客データの外部流出はなかったと判断した。一方、仮想サーバとは別のIDCFクラウドポータルで48社の登録情報への不正な照会を確認しており、うち2社（各1件）は担当者の個人名を含む可能性があるメールアドレスが対象だったが、外部への持ち出しの痕跡は確認されていない。IDCF自身は件数を公表していない。利用企業側では漏えいの「おそれ」が公表されている：JR東日本 えきねっと会員 最大約167万件（メールアドレス）、大人の休日倶楽部会員 最大約39万件（メールアドレス・会員番号・クレジットカード有効期限・生年月日）、ビューカード VIEW's NET登録者 約403万件（メールアドレスのみ、対象者特定は調査中）。いずれも氏名・住所・電話番号・カード番号は漏えいの可能性なしとしており、JR東日本とビューカードは10/15時点で告知を更新していない。JR九州（Web会員 約130万件のメールアドレス）とJR東海（約15,000件）は10/15、IDCFの調査結果を受けて漏えいは確認されなかったと公表した。マウスコンピューターはメールアドレス約42万件と2026-09-05〜10-06のメール配信記録に漏えいの可能性があると公表（実際の流出は未確認）。ジュンは顧客メールアドレスの外部流出はなかったと判断し、フューチャーショップはfuture Scenario CastとfutureCartRecoveryからデータは漏えいしていないと公表した。報道ではPeach Aviation（約189万件を調査中、外部流出は未確認）も挙がる。各組織の件数は重複がありうるため合算不可。小平市は住民情報（氏名・住所等）の漏えいのおそれ、焼津市は図書館問い合わせフォームの約50件のおそれを公表（piyolog整理）。
波及先
495 社・自治体
  • ニッスイ（日水物流：17拠点で入出荷停止、取引先約1200社に影響、10/9一部再開）
  • 茨城県（公式サイト閲覧不能、10/8暫定版サイト開設）
  • JR東日本（えきねっと・大人の休日倶楽部の会員向けメール配信停止、漏えいのおそれ）
  • ビューカード（VIEW's NETのメール配信、漏えいのおそれ）
  • シックス・アパート（Movable Type クラウド版31台停止、さくらのクラウドへ暫定移行）
  • UDトーク、グリニッジ（らくらく在庫）、ポピンズ、ソリトンシステムズ（Soliton SecureDesktop、バックアップサーバも被災）、ルートインホテルズ、ファイバーゲート、フューチャーショップ、フーバーブレイン
  • 小平市、焼津市、湖西市、栃木県、滋賀県
  • はてな（MackerelのIDCFクラウド連携を予防停止）
金銭影響
—
サプライチェーン
単一IaaSリージョンの侵害が、そのうえで稼働するSaaS・Webサイト・メール配信基盤を通じて495の契約者、さらにその先の顧客（えきねっと会員、日水物流の取引先約1200社、自治体住民など）へ多段に波及。JR東日本・ビューカードはIDCFを直接契約先とせず「メール配信用外部サービス」経由で影響を受けており、4次的な依存関係が可視化された。

時系列

  1. 2026-10-07 03:40
    IDCFクラウド東日本リージョン1で障害発生（以後継続）13
  2. 2026-10-07 04:15
    茨城県ホームページが閲覧不能に8
  3. 2026-10-07 04:50
    日水物流がシステム障害を確認（頃）8
  4. 2026-10-07 09:00
    IDCFが緊急対策本部を設置、親会社ソフトバンクと連携4
  5. 2026-10-07 09:32
    UDトークがIDCFクラウドを名指しで障害を公表8
  6. 2026-10-07 13:52
    IDCF第1報：第三者からの不正アクセスにより東日本第1リージョンで障害と公表18
  7. 2026-10-07
    ニッスイが日水物流のシステム障害（委託先データセンターへの不正アクセスとみられる、入出荷不能）を公表6
  8. 2026-10-07 17:30
    はてながMackerelのIDCFクラウド連携を予防的に一時停止（頃）8
  9. 2026-10-07 18:28
    NHKがソフトバンク子会社へのランサムウェア攻撃として報道10
  10. 2026-10-07 18:39
    UDトークが「データの復元は難しい」との連絡を受けたと投稿8
  11. 2026-10-07 20:18
    IDCF第2報：ランサムウェア攻撃と判明、影響495の企業・自治体、東日本リージョン1をネットワーク遮断・停止、他リージョンの外部向け管理コンソールを一時停止28
  12. 2026-10-08 08:30
    小平市が委託事業者のクラウド基盤へのランサムウェア攻撃を公表8
  13. 2026-10-08 09:00
    シックス・アパートがMovable Type クラウド版31台は復旧見込みなしと公表、バックアップから「さくらのクラウド」へ移行811
  14. 2026-10-08
    茨城県が暫定版ホームページを開設8
  15. 2026-10-08 21:02
    IDCF第3報：影響はtesla/henry/pascal/jouleの4ゾーン、VM停止・再起動不可、データは取り出し・復元困難の見通しで顧客バックアップからのみ復元可能。監督省庁・警視庁へ報告済み38
  16. 2026-10-09
    JR東日本がえきねっと（最大約167万件）・大人の休日倶楽部（最大約39万件）のメールアドレス等漏えいの可能性を公表5
  17. 2026-10-09
    ビューカードがVIEW's NET登録者 約403万件のメールアドレス漏えいの可能性を公表7
  18. 2026-10-09
    IDCF第4報：対応体制を公表（緊急対策本部、ソフトバンク法人部門が顧客窓口・移行環境提案、技術部門が調査・復旧支援、外部専門企業と詳細調査）48
  19. 2026-10-09
    日水物流が一部入出荷業務を再開815
  20. 2026-10-11 20:05
    IDCFのFAQが変更され、全リージョンがESXi 8.0.3で稼働と表示された（変更理由や侵入経路との関係は説明されていない）17
  21. 2026-10-12
    SKIMAが国内版サービスを再開し、購入履歴ややり取り等のデータを破損なく復旧したと公表8
  22. 2026-10-13
    JR東海が、メール配信を担う外部事業者経由でJR東海MARKET等の約15,000件が漏えいした可能性を個人情報保護委員会へ報告818
  23. 2026-10-13
    クロスランゲージが、システムを一から再構築する必要があり再開まで数か月にわたる可能性があると公表8
  24. 2026-10-14
    IDCF第5報：4ゾーンの仮想サーバ内データの外部流出はなかったと判断。スナップショット利用の194顧客はバックアップデータの取り出しが可能と確認。IDCFクラウドポータルで48社の登録情報への不正な照会を確認（持ち出しの痕跡なし）1718
  25. 2026-10-14
    ニッスイが第3報で、IDCF以外のサーバに新システムを構築し10月19〜25日の週に全拠点で通常稼働の見通しと公表18
  26. 2026-10-09
    東京酒粋（日本酒類販売）が、メールマガジン配信（future Scenario Cast経由）の氏名・メールアドレス・誕生月に漏えいの可能性があると公表19
  27. 2026-10-09
    高島屋が、メールマガジン配信の委託先が使うIDCFクラウドの障害に伴い、3つのEC関連サイトのメールマガジン配信を停止（会員情報の流出は未確認）19
  28. 2026-10-12
    森のスパリゾート北海道ホテルが、撮影委託先のクラウド基盤に関連し、2017年8月〜2026年9月受注分の画像・氏名・住所・電話番号等に漏えいの可能性があると公表（メールアドレス・決済情報は対象外）19
  29. 2026-10-13
    NTT ExCパートナーが「LStep」のメールアドレス最大約9万件に漏えいの可能性があると公表（実際の流出は未確認）19
  30. 2026-10-13
    スカパーJSAT（スカパー！メンバーズ）が、一部プロモーションメールのアドレスに漏えいの可能性があるとして送信を停止（視聴サービスへの影響なし）19
  31. 2026-10-14
    イズミが、メールマガジン配信の委託先クラウドへの不正アクセスに伴い、「ゆめオンライン」「ゆめデリバリー」の氏名・メールアドレス最大約40万件に漏えいの可能性があると公表（外部流出・不正利用は未確認）19
  32. 2026-10-14
    ピーチ・ジョンが、メールマガジン配信事業者が利用するIDCフロンティアの基盤での不正アクセスにより、一部顧客のメールアドレスが漏えいした可能性を公表（件数の記載なし、配信は停止中）19
  33. 2026-10-07
    IDCFクラウドの障害により、時事通信社や東武動物公園など多数のサイトで閲覧・更新ができなくなった20
  34. 2026-07-16
    IDCF FAQ（2026年7月更新）に、東日本リージョン1〜3のホストはVMware ESXi 6.7または8.0.3で稼働と記載されていた（どのバージョンが被害ゾーンかは不明）18
  35. 2026-10-07
    茨城県警察の公式サイトが約10時から閲覧不能になり、運転免許更新の情報が利用できなくなった（共同通信によるとソフトバンクがIDCFクラウドとの関連を認めた）18
  36. 2026-10-07 20:00
    茨城県は、ソフトバンクから障害原因を「データセンターの停電」と説明され、ランサムウェアかどうかは知らされていないと説明（朝日新聞報道）18
  37. 2026-10-07
    メディアリンクのクラウド電話サービス（DX電話、MediaVoice Cloud、MediaCalls、MediaOffice）で外線通話と管理画面ログインが不能に。ソフトバンクで復旧作業中だが見通しは立っていない18
  38. 2026-10-08
    ピーチ・アビエーションが、遅延していた予約メールを代替サーバーから送信開始18
  39. 2026-10-13
    メール配信SaaS「さぶみっと！メール配信」が別環境へ移行中で、10月16日の再開を目標と更新19
  40. 2026-10-14
    マウスコンピューターが、メール配信委託事業者が利用していたIDCF基盤の不正アクセスにより、メールアドレス約42万件と2026-09-05〜10-06のメール配信記録に漏えいの可能性があると公表（実際の流出は未確認、配信は一時停止中）19
  41. 2026-10-14
    ジュンが第3報で、IDCFと委託事業者の調査結果を受け、対象クラウドに預託していた顧客メールアドレスの外部流出はなかったと判断（10/13の第2報では流出未確認としていた）19
  42. 2026-10-14
    ノバシステムが第2報で、顔認証入退室管理システム「アイウェルコトール」と受付端末「オーダーレボリューション」への影響が続いていると公表し、別環境での再構築を進めるとした19
  43. 2026-10-15
    JR九州（Web会員 約130万件のメールアドレス）とJR東海（約15,000件）が、IDCFの調査結果を受けて漏えいは確認されなかったと公表。JR東日本とビューカードは同日夜時点で告知を更新していない18
  44. 2026-10-15
    フューチャーショップが第3報で、IDCFの調査結果に基づき、future Scenario CastとfutureCartRecoveryの2サービスからデータは漏えいしていないと公表18
  45. 2026-10-18
    IDCF第6報：安全性の確認が完了したとして、提供を停止していた「IDCFクラウド バックアップ」を再開（IDCFクラウド以外のクラウド・オンプレミスへの復元も可能）。「スナップショット機能」は安全性確認のため提供停止が継続。影響のない東日本リージョン1のradian・newtonゾーン、東日本リージョン2・3、西日本リージョン1の顧客には、予防措置としてバックアップ取得を依頼23

技術解説

公表された事実の骨格 事実

IDCフロンティアの公表と報道で確認できる点は次のとおり。2026年10月7日3時40分頃、IDCFクラウド東日本リージョン1（福島白河データセンター）で障害が発生した。第1報（同日13:52）は「不正アクセス」と表現し、第2報（同日20:18）で第三者のランサムウェア攻撃と明言した。影響を受けたのは495の企業・自治体である。第3報（10月8日）で、被害ゾーンはtesla・henry・pascal・jouleの4つとされ、仮想サーバは停止・再起動不能になった。顧客データは当初「取り出しや復元が困難な見通し」とされた。監督省庁と警視庁には報告済みである。第5報（10月14日）で、スナップショット機能を利用していた194顧客のバックアップデータの取り出しが可能と確認された。ただし、取り出したデータから実際にシステムを復元できるかは確認中である。第6報（10月18日）では「IDCFクラウド バックアップ」が提供再開となり、「スナップショット機能」は停止が続いている。侵入経路、悪用された脆弱性、攻撃グループ、侵入日時は公表されていない。

データ流出に関する公表の変遷 事実

第5報（10月14日）で、IDCFは4ゾーンの仮想サーバ内の顧客データの外部流出はなかったと判断した。一方、仮想サーバとは別のIDCFクラウドポータルで、48社の登録情報への不正な照会を確認している。うち2社（各1件）は、担当者の個人名を含む可能性があるメールアドレスが対象だった。外部への持ち出しの痕跡は確認されていない。IDCF自身は件数を公表していない。利用企業側の発表は分かれている。JR東日本（えきねっと等、最大約206万件）とビューカード（約403万件）は、漏えいの「おそれ」を公表したまま10月15日夜時点で告知を更新していない。JR九州（約130万件）とJR東海（約15,000件）は10月15日、IDCFの調査結果を受けて漏えいは確認されなかったと公表した。ジュンは10月13日の第2報で「流出未確認」としていたが、10月14日の第3報で「外部流出はなかった」と判断した。マウスコンピューターは、メールアドレス約42万件と2026年9月5日〜10月6日のメール配信記録に漏えいの可能性があると公表している（実際の流出は未確認）。

波及の構造：直接契約でない組織まで影響 事実

495という数は影響を受けた契約者の数である。その先にも影響が及んだ。日水物流は17拠点で入出荷が止まり、取引先は約1200社に影響した。茨城県の公式サイトは閲覧不能になった。シックス・アパートのMovable Type クラウド版31台は停止した。JR東日本、ビューカード、JR東海は、IDCFを直接契約先とせず、メール配信用の外部サービスを経由して影響を受けた。イズミ、高島屋、ピーチ・ジョン、東京酒粋なども、メール配信の委託先を通じて影響を公表した。ニッスイの第1報は委託先名を出さず「委託先データセンターへの不正アクセスとみられる」と記した。また茨城県は、ソフトバンクから障害原因を「データセンターの停電」と説明され、ランサムウェアかどうかは知らされていなかったと述べている（朝日新聞報道）。なお、7日にサイトが閲覧不能になった足立区、清水エスパルス、京都サンガF.C.などは、IDCFクラウド利用が確認されていない。

「復元困難」の意味と攻撃の構造（解釈） 解釈

事業者が「取り出しも困難」と述べた点は、テナントの仮想サーバ停止にとどまらず、基盤側の保護機構にも影響が及んだ可能性を示す。これは推測である。SNSの犯行声明様画像は、ハイパーバイザー239台、データストア225、VMディスク16,600超、スナップショット554,153件の暗号化・破壊を主張する。これは仮想化基盤を直接狙う手口と整合する。ただし数値は攻撃者側の自己申告で、IDCFは確認しておらず、画像の真偽も不明である。第5報で、スナップショット機能利用の194顧客のデータが取り出せると分かった。このため、画像の主張がそのまま実態とは限らない。MITREのT1490（復旧妨害）は、「復元困難」という公表からの推定対応である。IDCFのFAQ（2026年7月）にはESXi 6.7または8.0.3の記載があり、10月11日に8.0.3のみの表示に変わった。ただし、被害ゾーンのバージョンや侵入経路との関係は不明で、関連づけは根拠がない。

管理プレーンの予防停止と復旧の差（解釈） 解釈

IDCFは被害のない全リージョンでも、外部からアクセス可能な管理コンソールを予防的に停止し、VMの起動・停止を代行した。顧客の利便を大きく損なう措置であり、管理系統を侵入経路の候補から排除し切れていなかった可能性がある。ただし公表上、侵入経路との関係は示されていない。また、ポータルで48社の登録情報への不正照会が確認されたことは、仮想サーバとは別の管理系統にも攻撃者が到達した可能性を示す。ここも推測である。復旧の差は、バックアップの置き場所で説明できる。シックス・アパートは、バックアップから「さくらのクラウド」へ10月8日に暫定移行した。グリニッジは8月30日時点のバックアップで復旧した。ニッスイはIDCF以外のサーバに新システムを構築した。ソリトンシステムズはバックアップサーバも被災した。クロスランゲージは再構築に数か月かかる可能性を公表した。事業者内のスナップショットは、事業者自身が侵害された場合の保護にならない。第5報で一部は取り出せたが、復元できるかは未確認である。

対応

封じ込め
10/7 9:00 緊急対策本部設置。東日本リージョン1をネットワークから遮断しシステム・管理コンソールを停止（10/7完了）。他リージョンでも外部からアクセス可能な管理コンソールを一時停止し、VM起動・停止をIDCFが代行。外部セキュリティ専門企業と東日本・西日本リージョンのネットワーク・サーバ・ストレージを調査。親会社ソフトバンクの法人部門が顧客窓口（バックアップ手順案内・移行環境提案）、技術部門が調査・復旧を支援。第5報（10/14）でスナップショット機能利用の194顧客のバックアップデータ取り出し可能を確認、他ゾーン・リージョンは安全性確認のため調査継続。第6報（10/18）で「IDCFクラウド バックアップ」を安全性確認完了により提供再開、「スナップショット機能」は提供停止を継続。影響のないゾーン・リージョンの顧客には予防措置としてデータのバックアップ取得を依頼。
公表の仕方
第1報（10/7 13:52、不正アクセス・東日本第1リージョン）→第2報（10/7 20:18、ランサムウェアと明言、495社・自治体）→第3報（10/8 21:02、4ゾーン名、復元困難、当局報告）→第4報（10/9、対応体制）→第5報（10/14、4ゾーンの仮想サーバ内データの外部流出なしと判断、194顧客のバックアップ取り出し可能、ポータル48社の登録情報への不正照会）→第6報（10/18、バックアップサービス提供再開）。障害発生から約10時間後に初報、初報から約6.5時間後にランサムウェアと明言。対象顧客へは個別連絡。復旧見通し・侵入経路は未公表。
当局対応
  • 監督省庁へ報告済み（第3報）
  • 警視庁へ報告済み（第3報）
  • 個人情報保護委員会への報告：IDCFとしては未公表。JR東日本・ビューカード等の利用組織側の対応は各社公表を参照

教訓と対策

教訓具体的な対策
IaaS事業者内のスナップショットやバックアップは、事業者そのものの侵害で本番と一緒に失われうる最低1系統を別事業者のオブジェクトストレージにObject Lock（Compliance mode）付きで保存する。バックアップ用の認証情報は本番クラウドと別アカウント・別IdPで管理する。四半期ごとにリストア演習を行い、RPO/RTOを実測する。
単一リージョン・単一事業者への依存は、事業者障害で全面停止を招くTerraform等のIaCとコンテナイメージをIaaS外のGitとレジストリに保持する。別クラウドへ再構築する手順書を作り、年1回以上コールドスタンバイ起動を訓練する。DNSのTTLは短く保つ。静的サイトはCDNなど別ホスティングにミラーを置く。
委託先のさらに先の基盤事故でも、利用組織は自社データの所在を即答できない委託先・SaaSごとに再委託先、基盤事業者、リージョンを記載した依存台帳を整備する。契約に再委託先変更の通知義務を入れる。メール配信用リストには生年月日やカード有効期限などを渡さない、というデータ最小化のルールを設ける。
仮想化基盤と管理プレーンが侵害されると、テナント側の対策では防げない事業者側は、ハイパーバイザーとvCenterの管理ネットワークを分離し、管理者アクセスをPAM、FIDO2によるMFA、JIT権限に限定する。スナップショット削除は複数人承認とし、ストレージ側に不変スナップショットを置く。利用者側は、選定時にこれらの統制の証跡（ISMAP等）を確認する。
漏えいの「おそれ」の公表後に調査結果が変わりうるため、更新と訂正の運用が要る「おそれ」段階の告知には、更新担当と更新条件（基盤事業者の調査結果を受けた再判定の期限）を決める。ログ保全範囲と判断根拠を記録する。訂正時は旧告知へのリンクと変更点を明記する。

自組織などでの確認項目

  1. 自社サービスの本番データとバックアップは、同じ事業者・同じ認証基盤の上にないか。確認する方法は、バックアップの保存先アカウントとIdPを一覧にして突き合わせることである。事業者が侵害された場合、何時間で、どの時点のデータで再開できるか。
  2. 委託先や再委託先（メール配信、ホスティング等）が使う基盤事業者とリージョンを、自社の台帳から5分以内に答えられるか。台帳がなければ、まず個人データを渡している委託先から洗い出す。
  3. 委託先が障害を「停電」など別の理由で説明してきた場合、自社はどの情報源（契約上の通知義務、基盤事業者の公表、報道）で事実を確認するか。連絡窓口と確認手順は決まっているか。
  4. 自社が公表した「漏えいのおそれ」を、基盤事業者の調査結果で更新・訂正する手順はあるか。誰が、いつまでに再判定するかを決めてあるか。

未解明点

  • 初期侵入経路（境界機器、管理コンソール・API、運用者の認証情報など）と侵入日時
  • 悪用された脆弱性（CVE）の有無。被害ゾーンのESXiバージョンと、FAQが10月11日に変更された理由
  • 攻撃グループ名、身代金要求の有無、犯行声明様画像の真偽、リークサイト掲載の有無
  • ポータルで不正照会された48社の登録情報の詳細と、不正照会の経路。IDCFが示した「外部流出なし」の判断根拠
  • 194顧客のバックアップデータから実際にシステムを復元できるか。残りの顧客のデータの扱い
  • 4ゾーンの復旧見通しと、スナップショット機能の再開時期
  • JR東日本とビューカードの告知が更新されるか。495の企業・自治体の内訳
  • 攻撃が4ゾーンに限定された理由と、事業者側のスナップショットが失われた経緯

出典

  1. 1
  2. 2
  3. 3
  4. 4
    【第4報】不正アクセスによる障害への対応体制について
    IDCフロンティア2026-10-09公式本文確認済
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14
  15. 15
  16. 16
  17. 17
  18. 18
  19. 19
  20. 20
  21. 21
  22. 22
  23. 23
    【第6報】バックアップサービスの提供再開について
    IDCフロンティア2026-10-18公式本文確認済
  24. 24
  25. 25
  26. 26
  27. 27