ニュース
IDCFクラウド障害、データ復元は「顧客のバックアップ頼み」という現実
クラウド基盤を外部に委託していても、障害時にデータを取り戻せるかどうかは自社の備え次第です。IDCフロンティアのクラウドサービスで起きたランサムウェア被害は、委託先任せのデータ管理が抱えるリスクを改めて示しています。
何が起きたか
IDCフロンティアが提供するクラウドサービス「IDCFクラウド」で、10月7日午前3時40分ごろからランサムウェア攻撃による障害が発生しました。対象となったのは東日本リージョン1の4ゾーンで、影響を受けた企業や自治体は495に上ります[2]。
同社は10月8日の発表で、対象サーバに保管されていた顧客データの取り出しや復元が「困難な見通し」であることを明らかにしました。データを復元できるのは、顧客自身が保持しているバックアップデータからのみとしています[2]。仮想サーバは停止したまま再起動もできない状態が続いており、管理コンソールも停止しているため、サーバの起動や停止といった操作は同社が利用者の要望に応じて代行しています[2]。
攻撃者を名乗る人物のメッセージとされる画像もX上で拡散しました。管理コンソールの画面とされる画像には「お前たちのクラウドは我々のものだ」などの英語メッセージとともに、239台のハイパーバイザーへの侵入、225個のデータストアの暗号化、1万6600以上の仮想マシンディスクの利用不能、3.6PBのプライマリストレージの暗号化、55万4153件のスナップショットの破壊、41.5PB分のバックアップ容量の喪失を主張する数値が記載されていました。IDCフロンティアは画像の表示自体は複数確認したとしつつ、具体的な数字については調査中としています[3]。
10月9日には、親会社であるソフトバンクの法人部門を顧客対応の窓口とする体制が発表されました。バックアップ手順の案内や移行環境の提案、顧客の要望に応じた仮想サーバの操作代行を進めるほか、復旧作業自体はIDCフロンティアの技術部門が中心となり、ソフトバンクの技術部門や外部のセキュリティ専門企業と連携して進めているといいます[1]。
背景・解説
IDCFクラウドは、企業が自前のサーバーを持たずに仮想サーバーやストレージを利用できる、いわゆるIaaS型のクラウドサービスです。利用企業は自社のシステムやデータをこの基盤の上に置き、物理的な機器の管理をクラウド事業者に任せる形で運用します。
ランサムウェアとは、感染したシステム内のデータを暗号化し、復号と引き換えに金銭を要求する攻撃手法です。今回の攻撃では、仮想サーバーの基盤となるハイパーバイザーやデータストアそのものが暗号化の対象になったとみられる内容が、攻撃者メッセージとして報じられています[3]。
クラウド事業者の多くは、顧客データの消失に備えてスナップショットと呼ばれる時点ごとの複製を保持しています。しかし、攻撃者がこのスナップショットの破壊まで主張している点は、事業者側のバックアップだけに頼る運用の弱さを示す事例といえます[3]。IDCフロンティアが「復元は顧客が保持するバックアップからのみ」と案内している背景には、こうした事業者側の保全策が機能しなかった可能性があります[2]。
仕事や業務への影響 — AI Topicaの見方
クラウドにデータを預けている企業は、委託先の障害対応力とは別に、自社でのバックアップ保有を点検すべきです。例えば、従業員80人の卸売業がIDCFクラウド上に受発注システムを構築し、売上データや取引先情報を同サービスの仮想サーバーだけに置いていた場合、今回のような障害では事業者からの復元を待てず、業務の再開自体が難しくなります。
今回の事例が示すのは、クラウド事業者のバックアップ体制が万全であっても、攻撃がその保全機構自体を破壊する可能性があるという点です。495の企業・自治体が影響を受けた規模からすれば、同様の委託形態を取る企業は少なくありません[2]。自社の基幹データについては、クラウド事業者とは別の場所に、週1回など定期的な頻度でコピーを保存する運用を持つべきです。
情報システム担当者が1人しかいない中小企業であっても、重要な契約書データや顧客台帳だけは外部ストレージやオフラインの媒体に定期的に複製しておくことで、復旧の選択肢を自社の手に残せます。委託先に任せきりにする運用は、障害発生時には業務停止に直結する弱点になります。
不確かな点・注意
今回の障害で、攻撃者がどの経路から侵入したのかはIDCフロンティアによる調査が続いており、詳細は明らかになっていません[2]。攻撃者メッセージに記載されたハイパーバイザー台数やデータストア数、暗号化されたストレージ容量などの具体的な数値について、IDCフロンティアは表示自体を確認したものの、内容の真偽には回答していないのが現状です[3]。
495の企業・自治体がどのような業種・規模であり、どの程度のバックアップを自社で保有していたかについても出典からは分かりません。対象の4ゾーン以外のリージョンでは不正アクセスが確認されていないとされていますが、調査が進むことで影響範囲が変わる余地も残っています[2]。今後の続報を踏まえた判断が必要です。