「IDCFクラウド」が不正アクセスの調査結果公開、データ流出は「ありませんでした」

　株式会社IDCフロンティアは10月27日、クラウドサービス「IDCFクラウド」が受けたランサムウェア攻撃について、一連の調査結果および今後の対応をまとめた第7報を発表した。

　同サービスでは、10月7日3時40分頃より、東日本リージョン1の一部（teslaゾーン／henryゾーン／pascalゾーン／jouleゾーン）で障害が発生している。第2報ではランサムウェア攻撃が原因であり、495の契約企業および自治体に影響が発生していることが判明した。

　第3報、第4報では調査および対応に関する報告が主で、第5報では利用者の仮想サーバー内のデータ流出に関する調査結果やバックアップによるデータの取り出しなどに関する情報が公開されていた。第6報ではバックアップサービスの提供再開について報告されている。

　今回公開された第7報では、一連の調査が終了し、これまで確認した事実や影響範囲、再発防止など今後の対応について公開されている。

原因はオープンソースソフトの脆弱性悪用、データ流出は確認されず

　外部のセキュリティ専門企業と連携し、影響範囲や侵入経路などについて調査を行った結果、原因は同サービスで採用しているオープンソースソフトウェア（利用者が仮想サーバーの起動や請求情報の確認などに利用する「IDCFクラウドポータル」の認証システムで使用していたもの）の脆弱性を悪用されたことだとしている。また、利用者の仮想サーバー内に保存されていたデータが外部に持ち出された痕跡や、それを裏付ける事実は確認されず「お客さまの仮想サーバー内のデータの外部への流出はありませんでした」と結論づけている。同件に起因する情報の不正利用や二次被害に関しても確認されていないという。

　第5報では、報告した一部の利用者情報に対する不正な照会に関して、48社の利用者の情報と、2社の担当者の個人名を含む可能性があるメールアドレスが対象となっていた。調査を進めた結果、同サービスにおいて最大71社の利用者の情報が不正に照会されたことを確認したという。

　情報の中には個人名または個人名を含む可能性があるメールアドレスなどが最大31社（31件）含まれているとしている。なお、外部への持ち出しを示す痕跡は確認されていないものの、不正な照会が確認された情報のうち、利用者のログインパスワードが最大4件不正に変更されていたことを確認したという。該当パスワードはすでにリセットしており、対象者には個別に連絡済みだとしている。

　再発防止策として、セキュリティを専門に管理する独立組織を設置する「全社のセキュリティガバナンスの強化」と「ソフトウェアの脆弱性に早期に対応するための仕組みの強化」の2点を挙げている。セキュリティを専門に管理する組織はすでに設置済みとし、今後は脆弱性診断および攻撃診断の対象範囲をオープンソースソフトウェアにも拡大し、継続的に実施していくとしている。また、部署ごとに管理していたソフトウェア構成情報を全社で一元管理し、脆弱性情報との突合を自動化するとしている。

被害拡大防止および利用者への対応

　障害発生日の午前9時には緊急対策本部を設置して対応を進めてきたとし、監督省庁や警察などの関係機関への報告および相談を進めているという。また、同社は攻撃者と接触しておらず、身代金の支払いや交渉を一切行っていないとしている。

　障害発生後、被害拡大防止のため、攻撃を受けた4ゾーンを含む東日本リージョン1において同サービスを停止し、東日本リージョン1で影響のある4ゾーンのストレージ機器を切り離したとしている。安全のため、その他のリージョンについても同様にサービスを停止したとし、全リージョンの「IDCFクラウドポータル」と外部をつなぐネットワークを遮断したという。

　第5報において、「スナップショット機能」を利用していた194の利用者はバックアップデータの取り出しが可能としていたが、調査の継続により206の利用者のバックアップデータが取り出し可能と判明したとしている。引き続きソフトバンク株式会社と連携し、代替環境への移行やバックアップデータの取り出しについて具体的な手順を提案するなど、支援を続けていくとしている。

サービスは段階的に再開、現在は主要な機能の操作を同社が代行

　同サービスの提供を安全に再開するため、3段階に分けた対応を発表している。第1段階では主要な機能の操作を同社が代行するもので、現在実施中としている。第2段階では全ての機能を同社が代行し、第3段階で同サービスの提供再開としている。

• 第1段階：主要な機能の操作を代行
  
  • 仮想サーバーの起動・停止
  • セキュリティ設定の変更
  • ネットワークや通信に関する設定変更
  • データベースの起動・停止、設定変更
• 第2段階：全ての機能の操作を代行
  
  • 仮想サーバーの作成・削除、性能や容量の変更
  • データ保存領域の追加・削除、容量の変更
  • スナップショット機能の利用
  • データベースの作成・設定変更
• 第3段階：「IDCFクラウドポータル」の提供再開
  
  • 「IDCFクラウドポータル」の全機能を、利用者自身で操作できる状態で提供再開

　第7報では、同社代表の鈴木勝久氏のコメントを掲載している。利用者が一日も早くシステムを復旧し、事業活動への影響を解消できるよう、引き続き全社を挙げて支援していくとし、「今回の事態を真摯に受け止め、当社のこれまでの取り組みを改めて検証し、改善を図って再発防止に取り組んでいくとともに、AIの進化に伴い高度化・巧妙化するサイバー攻撃に対応するためのさらなるセキュリティ対策とガバナンスの強化にも取り組んでいきます」としている。