■ 1. IDCFクラウド障害の概要
- 障害の発生と影響範囲:
- 10月7日午前3時40分ごろ、IDCFクラウドでランサムウェア攻撃による障害が発生
- 多数の仮想マシンが起動できない状態となり、現在も復旧していない
- 495の企業や自治体が消費者向けサービスの停止などの対応に追われている
- IDCフロンティアの対応体制:
- 10月10日時点で社内の技術者を総動員し、顧客対応や復旧支援にあたっている
- 第4報ではソフトバンクの支援を受けていると公表
- 多数の顧客が一斉に被害を受けたことへの対応の難しさがうかがえる
■ 2. 攻撃者のメッセージと実際の被害
- 攻撃者が残したメッセージ:
- 攻撃者は詳しい情報をメッセージとして残したとみられ、ITmedia NEWSが報道
- 画像が掲載されたこと自体はIDCフロンティア側も確認済み
- 他に情報がないため、これを読んで全体像を把握する人が増えている
- 攻撃者の主張と実態の差:
- 攻撃者は「東日本リージョン1全体」を暗号化したと主張するが、実際の被害は一部にとどまる
- メッセージは攻撃者の視点から見えている範囲での主張であり、差し引いて読む必要がある
- 対応の遅さへの指摘:
- IDCフロンティアは午前3時40分の障害検知後、所定の手順に基づき対応とエスカレーションを進めたと説明
- 被害の対象:
- 同社がクラウドサービスで運用する「VMware ESXi」上の仮想マシンがランサムウェア攻撃の被害に遭ったことは事実
■ 3. ESXiが狙われるリスク
- ESXiとは:
- 1台の物理サーバー上で複数の仮想マシンを動かす基盤ソフトウェア（ハイパーバイザー）
- 利用企業や自治体はWindowsやLinuxの仮想マシンを作成し、さまざまな用途に使っていたと考えられる
- 仮想化の利点と弱点:
- 1台の物理サーバーに多様な用途の仮想マシンを同居させ、運用を効率化できる
- 一方でESXiの権限を掌握されると、多くの仮想マシンが効率的に攻撃されるリスクが生じる
- 攻撃者が主張する被害規模:
- 239のハイパーバイザー（ESXi）に到達したと主張
- 1万6600以上のVMディスクを暗号化したと主張
- IDCフロンティアによれば詳細は調査中で、被害の大きさから数字の確定には時間がかかる見込み
■ 4. 復旧の困難さとバックアップ
- 復旧手段の制約:
- 第3報では、データの復元は顧客自身が保持するバックアップからのみ可能との見解を提示
- IDCFクラウドが持つデータでは復旧できないことを示唆
- バックアップが機能しない理由:
- ランサムウェア攻撃では身代金交渉を進めるため、復旧につながる手段を念入りに破壊する傾向がある
- 今回の攻撃者もバックアップを大量に破壊したことをアピールしている
- イミュータブルストレージ:
- IDCFクラウドのバックアップサービスにはランサムウェア対策として「イミュータブルストレージ」のオプションがある
- 管理系クラスタを一時停止している影響で復旧には使えないが、バックアップデータ自体は残っている
- 管理者権限でも編集や削除ができないため、ランサムウェア攻撃への備えとして注目される
- 分離されたバックアップの重要性:
- ローカルやオンプレミス環境など、ネットワーク的に分離された場所でのバックアップも重要
■ 5. 攻撃者との交渉の可能性
- 攻撃者が残したファイル:
- 攻撃者はクラウド内に復旧手順を示したとみられる「ファイル」を残している
- 身代金などの要求が書かれているのかが注目される
- IDCフロンティアの姿勢:
- 外部のセキュリティ業者と連携し、当該ファイルへのアクセスの安全性を含めて調査中
- まずはこれ以上被害を拡大させないことを優先している印象
■ 6. 情報漏洩の可能性
- JR東日本の発表:
- 10月9日、IDCFクラウドを利用していたJR東日本が情報漏洩の可能性について発表
- あくまで可能性の段階にとどまる
- 漏洩を否定できない根拠:
- 仮想マシンを暗号化した以上、内部のデータにアクセスした可能性もゼロではない
- この種の攻撃では、身代金の不払いへの報復としてデータを外部公開する事例もある
- 漏洩への疑問点:
- 攻撃者は3.6ペタバイトものストレージを攻撃したと主張しており、中身を物色する時間があったかは疑問
- 暗号化実行より前を含めて物色の形跡があったかは続報待ち
- 調査の難しさ:
- 最近の不正アクセスでは、過去に遡る調査で情報漏洩が「発見」されるケースもある
- 今回は調査に必要なデータやログも暗号化され、調査自体が難しい可能性がある
- 現時点の結論:
- 情報漏洩の可能性は「完全には否定できない」と回答せざるを得ない状況
- 今後もIDCFクラウド利用企業や自治体から同様の発表が続く可能性がある