IDCFクラウドのランサムウェア被害まとめ｜495の企業・自治体が停止、復元は自前のバックアップ頼み

01この記事でわかること

この記事では、次のことを順に説明します。

• 何が起き、どこまで止まったのか（第1報〜第7報の時系列）
• 止まったもの、見られたもの、流出しなかったとされるもの
• クラウドの利用者のさらに先（その会社の顧客）にまで広がった影響
• 自分や自社が関係するかを確かめる方法と、今すぐやること
• 「クラウドに置けば安全」「バックアップは事業者任せ」が通用しない理由と、中小企業の備え方

3行でまとめると、次のとおりです。

1. 管理用のポータルの認証の仕組みに使っていたオープンソースソフトウェアの弱点を突かれ、仮想化基盤の管理者権限まで奪われました。
2. 攻撃を受けた区画の495の利用者は元の環境での復旧が難しく、事業者側から取り出せると確認されたバックアップは206の利用者分です。
3. 仮想サーバー内のデータの外部流出はなかったとされていますが、ポータルの登録情報は最大71社分が不正に照会されました。

02何が起きたのか（全体像）

IDCFクラウドは、ソフトバンクの子会社であるIDCフロンティアが提供しているクラウドサービスです。クラウドサービスとは、事業者の設備の上に、利用者がサーバーやデータの置き場を借りて使う形のサービスです。

第7報によると、攻撃者はまず、利用者が仮想サーバーの起動や請求情報の確認に使う「IDCFクラウドポータル」の認証システムに侵入しました。原因は、その認証システムで使っていたオープンソースソフトウェアの脆弱性（ソフトの設計や作りの弱点）です（用語集：脆弱性）。そのあと管理コンソールを経由して、仮想化基盤の管理者権限を不正に取得しました。仮想化基盤とは、1台の物理サーバーの上で多数の仮想サーバーを動かす土台のことです。そこから、利用者の仮想サーバーを止め、仮想サーバーそのものを暗号化しました。

ここが今回の大事な点です。攻撃されたのは、個々の利用者のサーバーの設定の甘さではありません。事業者側の管理の仕組みが入口になり、その下にある多数の利用者の仮想サーバーがまとめて暗号化されました。利用者の側で、自分のサーバーのパスワードを強くしていても防げない種類の被害です。

ランサムウェアとは、データを使えなくしたり盗んだりして、元に戻すことなどと引き換えにお金を求める攻撃です（用語集：ランサムウェア）。今回、IDCフロンティアは身代金を払っていないと明言しています。

03発表の時系列（第1報〜第7報）

IDCフロンティアの発表と、第7報に載った経緯の表をあわせて並べました。時刻は発表に書かれたものです。

1. 10月7日 午前3時40分頃
   障害が発生し検知。復旧に向けた対応を開始

   第7報の経緯

2. 10月7日 午前6時20分頃
   サイバー攻撃の可能性も含めて調査を開始

   第7報の経緯

3. 10月7日 午前6時48分
   東日本リージョン1のポータルを停止

   第7報の経緯

4. 10月7日 午前7時
   影響のある4ゾーンのストレージ機器を切り離し

   第7報の経緯

5. 10月7日 午前9時
   緊急対策本部を設置。親会社ソフトバンクと連携

   第4報・第7報

6. 10月7日 午前11時42分
   原因をランサムウェア攻撃と特定

   第7報の経緯

7. 10月7日 午後0時15分〜2時5分
   ほかのリージョンのポータルも停止し、全リージョンのポータルと外部をつなぐネットワークを遮断

   第7報の経緯

8. 10月7日 午後4時
   外部のセキュリティ専門企業と調査を開始

   第7報の経緯

9. 10月7日
   不正アクセスを公表（第1報）。同日、ランサムウェア攻撃であることと、495の企業や自治体への影響を公表（第2報）

   第1報・第2報

10. 10月8日
    4ゾーンのデータは取り出しや復元が困難な見通しと公表。緊急対応窓口を設置し、代替環境の案内を開始

    第3報

11. 10月9日
    対応体制を公表。ソフトバンクの法人部門が利用者の窓口に

    第4報

12. 10月10日
    代替環境への移行手順の案内を開始

    第7報の経緯

13. 10月14日
    仮想サーバー内のデータの外部流出はなかったと判断。194の利用者のバックアップを取り出せると判明。48社の登録情報への不正な照会を確認

    第5報

14. 10月17日
    バックアップデータの取り出しと引き渡しを開始

    第7報の経緯

15. 10月18日
    「IDCFクラウド バックアップ」の提供を再開

    第6報

16. 10月20日
    取り出せる利用者が206に増えたと判明

    第7報の経緯

17. 10月27日
    登録情報への不正な照会は最大71社と判明。一連の調査が完了し、原因と再発防止策を公表（10月28日に更新）

    第7報

午前3時40分の発生から、ポータルの停止まで約3時間、原因の特定まで約8時間です。早い段階でストレージ機器を切り離し、全リージョンのポータルを外部から遮断しています。一方で、攻撃を受けた4ゾーンの仮想サーバーは、障害を検知した午前3時40分頃の時点で、すでに止まり再起動できない状態でした。

04何が止まり、何が見られたのか

止まったもの：4ゾーンの仮想サーバー

攻撃を受けたのは、東日本リージョン1のうち、tesla、henry、pascal、jouleの4つのゾーンです。ゾーンとは、リージョン（地域ごとの設備のまとまり）の中を、さらに分けた区画のことです。この4ゾーンの仮想サーバーは止まり、再起動もできなくなりました。第7報では、495の利用者について「従来の環境での復旧が困難な見通し」としています。IDCフロンティアは、別の環境を用意して作り直すよう案内しています。

同じ東日本リージョン1のradianゾーンとnewtonゾーン、東日本リージョン2、東日本リージョン3、西日本リージョン1は、障害によるサービスへの影響はないとされています。仮想サーバーは引き続き使えます。ただし、利用者が自分で操作するためのポータル（管理コンソール）は、全リージョンで止まったままです。そのため、仮想サーバーの起動や停止などは、利用者の依頼を受けてIDCフロンティアが代わりに操作しています。

戻せたもの・戻せないもの：バックアップ

第3報（10月8日）の時点では、4ゾーンのデータは取り出しも復元も難しく、復元は利用者自身のバックアップからのみ可能という見方でした。その後、第5報（10月14日）で、外部の専門企業とバックアップの安全性を確かめた結果、IDCFクラウドの「スナップショット機能」を使っていた194の利用者は、バックアップを取り出せると分かりました。スナップショットとは、ある時点のデータの保存領域の状態をまるごと保存しておく機能です。第7報では、この数は206に増えています。

つまり、495の利用者のうち、事業者側から取り出せると確認されたのは206の利用者分です。それ以外の利用者について、事業者側から取り出せるという発表はありません。またスナップショット機能そのものは、第6報（10月18日）の時点でも安全確認のため提供を止めています。

見られたもの：ポータルの登録情報

仮想サーバーの中のデータとは別に、IDCFクラウドポータルに登録された利用者の情報が、不正に照会（のぞき見）されていました。第5報では48社でしたが、第7報では最大71社に増えています。照会された情報の種類は、第5報によると次のとおりです。

• 契約時に設定した企業名
• ポータルのログインID
• ポータルのログインパスワード（元に戻すのが難しいハッシュ値という形で保存されたもの）
• 契約やサーバーの稼働状況の通知先（企業のメールアドレス）
• 月額利用料金の合計額

第7報によると、この中には個人名や、個人名を含む可能性があるメールアドレスなどが最大31社（31件）含まれています。また、最大4件のログインパスワードが不正に変更されていました。該当するパスワードはすでにリセットされ、対象の利用者には個別に連絡したとしています。照会された情報について、外部へ持ち出された痕跡は確認されていません。

流出しなかったとされるもの：仮想サーバーの中のデータ

IDCフロンティアは、アクセスログ、認証ログ、操作ログの解析や、攻撃者が置いた不正なプログラムの調査などを行いました。その結果、利用者の仮想サーバー内のデータを照会したり外部へ持ち出したりした痕跡は確認されず、流出はなかったと判断しています。影響を受けていないゾーンやリージョンも調べ、同じく流出を示す事実は確認されていないとしています（用語集：ログ）。

05利用者の先まで広がった影響

今回の被害は、IDCFクラウドと直接契約している会社だけにとどまりませんでした。IDCフロンティアの鈴木勝久社長は第7報で、今回の障害は利用者に「とどまらず、その先のお客さまの事業活動にも影響を及ぼす、極めて重大な事態」だと述べています。

公式発表で確かめられた例として、九州旅客鉄道（JR九州）があります。JR九州は10月9日、IDCフロンティアで起きた不正アクセスに伴い、「JR九州Web会員」向けのメール配信用の外部サービスが一部使えなくなったと発表しました。メールマガジンが配信できない状態になり、あわせて最大約130万件の会員の電子メールアドレスが漏えいした可能性があるとしました。氏名、住所、電話番号、クレジットカード番号や、メールマガジンの件名・本文は対象外としています。

その後JR九州は10月15日、IDCフロンティアの調査結果に基づき「漏えいの事実は確認されませんでした」と続報を出しました。ただしメールマガジンは、この時点でも配信できない状況が続いていました。

1. 10月9日

   メール配信用の外部サービスが一部使えない。最大約130万件のメールアドレスが漏えいした可能性

2. 10月15日

   IDCフロンティアの調査結果に基づき、漏えいの事実は確認されず。メールマガジンは配信できない状況が続く

JR九州はIDCFクラウドを直接使っていたとは書いていません。「メール配信用外部サービス」が影響を受けた、という書き方です。つまり、委託先のさらに先にある設備が止まると、自社のサービスが止まることがあります。自社がクラウドを契約していなくても、使っているサービスの裏側がどこで動いているかで影響が決まります。ほかにも影響を受けたと発表した会社はありますが、この記事では公式発表で中身を確かめられたものだけを載せています。

06自分が関係するか確かめる方法

立場によって、確かめることが違います。

IDCFクラウドを直接契約している会社

影響を受けた495の利用者には、IDCフロンティアから個別に連絡が届いています。登録情報が不正に照会された利用者や、パスワードが不正に変更された利用者にも個別に連絡するとしています。連絡が見当たらないときは、IDCフロンティアの公式サイトにある問い合わせフォームから確かめてください。使っているリージョンとゾーンは、契約書類や、これまでのポータルの画面の記録で確認できます。

業者にシステムやサイトの運用を任せている会社

自社では契約していなくても、ホームページ、予約システム、メール配信、業務システムなどを任せている業者が、IDCFクラウドを使っていることがあります。10月7日以降に止まったり、遅れたりしたサービスがあれば、業者に「どこのクラウドで動いているか」「今回の件の影響はあるか」を聞いてください。

個人の利用者

利用しているサービスから、IDCフロンティアの件に関するお知らせやお詫びのメールが届いていないかを確認します。ただし、お詫びや確認をうたう偽のメールにも注意が必要です。メールのリンクから開かず、公式サイトやアプリを自分で開いて確かめてください（用語集：フィッシング）。

07今すぐやること（立場別）

4ゾーンを使っていた会社

• 手元や別の場所にあるバックアップの、いちばん新しい日付を確かめます。どこまでのデータが戻るかが、復旧計画の前提になります。
• IDCフロンティアから届いている、バックアップの取り出しや代替環境への移行の案内に沿って進めます。第7報では、ソフトバンクと連携して具体的な手順を提案するとしています。
• 作り直すときは、元の環境の弱点をそのまま持ち込まないよう、OSやソフトの更新、不要なアカウントの削除もあわせて行います（用語集：パッチ）。
• 取引先や顧客に、止まっているサービスと再開の見通しを伝えます。分からないことは「分からない」と書くほうが信頼を保てます。

ほかのゾーン・リージョンを使っている会社

• IDCフロンティアは予防措置として、利用者自身でバックアップを取るよう案内しています。10月18日に再開した「IDCFクラウド バックアップ」を使うと、IDCFクラウド以外のクラウドやオンプレミス（自社設備）にも復元できるとされています。
• ポータルは止まっているため、設定の変更などはIDCフロンティアに代行を頼む形になります。急ぎの変更は早めに依頼してください。
• ポータルのログインに使っていたパスワードを、ほかのサービスでも使い回していないか確かめます。使い回していれば、ほかのサービス側を変えます（用語集：多要素認証）。

個人の利用者

• 関係するサービスからのお知らせを、公式サイトで確かめます。
• お詫びをうたうメールやSMSのリンクから、IDやパスワードを入れないようにします。

08IDCフロンティアの対応と再発防止策

第7報で示された対応は、大きく3つに分かれます。

利用者の復旧の支援

ソフトバンクの法人部門を窓口に、バックアップの手順の案内、移行先の環境の提案、仮想サーバーの起動や停止の代行を行っています。10月17日からは、取り出したバックアップデータの引き渡しを始めました。

再発防止策

• 外部の専門家を招き、社内のセキュリティ人材を集めた、セキュリティを専門に管理する独立組織を設置（対応済み）
• 脆弱性診断の計画と頻度を社内規程で明確にし、ソフトバンクの「Patching as a Service（PaaS）」などを使った診断の対象をオープンソースソフトウェアにも広げる
• 部署ごとに管理していたソフトウェアの部品やバージョンの一覧を全社でまとめ（SBOM化）、脆弱性情報との突き合わせを自動にする

ポータルの再開

ポータルは、新しい環境で作り直し、すべてのサーバーの認証情報を変えます。入口になった認証システムは、外部のIdP（ログインの仕組みを専門に提供する事業者）のものに切り替えます。さらに、ポータルへの接続を利用者のIPアドレスに限り、多要素認証を必須にするとしています。再開は3段階で進めます。

補償について

第1報から第7報までの発表には、利用料金の減額や損害の補償についての記載はありません。補償の有無や内容は、2026年10月29日時点で公表されていません。

09まだ分かっていないこと

公式発表では、次のことはまだ明らかになっていません。

• ポータルの再開時期：3段階の進め方は示されましたが、第2段階・第3段階の日付は書かれていません。
• スナップショット機能の再開時期：第6報で停止中とされ、その後の再開の発表はありません。
• 悪用されたソフトウェアの名前：オープンソースソフトウェアの脆弱性とされていますが、製品名や脆弱性の番号は公表されていません。
• 攻撃者が誰か：公表されていません。この記事でも推測はしません。
• 206以外の利用者のデータ：事業者側から取り出せるかどうかの、新しい発表はありません。
• 補償：前の節のとおり、公表されていません。

10「クラウドなら安全」「バックアップは事業者任せ」が通用しない理由

クラウドに移せば、機器の故障や停電の心配は減ります。ただ今回の件は、それとは別の危険を示しました。

1．事業者の管理の仕組みが破られると、まとめて止まる

今回の入口は、事業者のポータルの認証システムでした。そこから仮想化基盤の管理者権限が奪われ、多数の利用者の仮想サーバーがまとめて暗号化されました。利用者がどれだけ自分のサーバーを固めていても、土台の側から止められると防げません。

2．同じ事業者の中のバックアップは、同じ権限で消される危険がある

今回、スナップショットを使っていた利用者の一部は、データを取り出せました。これは、あとから安全性が確かめられた結果です。第3報の時点では、事業者側のデータは取り出しが困難という見通しでした。結果として取り出せた利用者もいますが、確かめられるまでの約1週間は、戻せるかどうか分からない状態でした。管理者権限を握った攻撃者は、同じ権限の範囲にあるバックアップも消したり暗号化したりできるおそれがあります。

3．「事業者がバックアップしてくれている」は思い込みのことがある

IDCフロンティアは第3報で、復元は「お客さま自身が保持しているバックアップデータからのみ可能」と書きました。クラウドでは一般に、設備は事業者が守り、データの保全は利用者が自分で設定する、という分担が多くあります。バックアップを取る機能があっても、使うかどうかは利用者に任されていることがよくあります。契約しているサービスで、どこまでが事業者の責任かを一度確かめておく必要があります（用語集：バックアップ）。

11中小企業のバックアップと事業継続の備え

専任の担当者がいない会社でもできる順に並べました。キーワードは「別の場所」「別の権限」「戻す練習」の3つです。

1．別の場所に置く

本番のサーバーと同じクラウドの中だけにバックアップを置かないようにします。別の事業者のクラウドや、社内の外付けの機器など、少なくとももう1か所に置きます。今回IDCフロンティアが再開した「IDCFクラウド バックアップ」も、ほかのクラウドや自社設備に戻せることを特長として挙げています。

2．別の権限で守る

本番を管理するアカウントで、バックアップも消せる状態にしないことが大切です。バックアップ先のアカウントは分け、多要素認証をかけます。一定期間は消せない設定（書き換え防止）を使えるサービスなら使います。管理者のアカウントの数も最小限にします（用語集：管理者権限）。

3．戻す練習をする

バックアップは、戻せて初めて役に立ちます。年に1回でよいので、実際に別の環境へ戻してみて、何時間かかるか、何が足りないかを確かめます。設定ファイルやドメインの設定、外部サービスとの連携など、データ以外に必要なものも書き出しておきます。

4．委託先が止まったときの手順を決める

自社のサービスがどの業者の、どのクラウドで動いているかを一覧にします。止まったときに、紙や電話で業務を続ける方法、顧客への連絡文、問い合わせの窓口を先に決めておきます。こうした計画を事業継続計画（BCP）と呼びます（用語集：BCP）。

5．契約のときに確かめる

新しくクラウドや委託先を選ぶときは、次のことを聞いておきます。

• バックアップは誰が取り、どこに保管し、どの権限で消せるのか
• 止まったとき、何日で戻る目安か。補償の決まりはあるか
• 管理画面に多要素認証や接続元の制限をかけられるか

クラウドの設定を専門家に見てもらう方法もあります（クラウド設定診断を頼める会社）。被害に遭ったときの費用に備えるなら、サイバー保険も比べておくと安心です。ランサムウェアへの備えはランサムウェア対策のページに、事故が起きたときの備えは事故への備えのページにまとめています。

12よくある質問

13今後の予定と更新方針

IDCフロンティアは第7報で一連の調査が完了したとしています。今後は、ポータルの第2段階・第3段階の再開、スナップショット機能の再開、補償の有無などの発表が考えられます。この記事は、IDCフロンティアや影響を受けた会社の公式発表に新しい内容が出たときに更新します。ほかの事件の情報は事件・被害のニュース一覧にまとめています。