ランサムウェア攻撃を受けた「IDCFクラウド」の管理コンソールに、攻撃者によるものとみられるメッセージが表示されていることが判明しました。運営元のIDCフロンティアは、同様の画像が複数確認されていることを認め、現在調査を進めています。本件は10月7日未明に発生し、495の企業や自治体に影響が及んでいます。
管理コンソールに表示された攻撃者のメッセージ
IDCFクラウドの利用者が公開したスクリーンショットによると、同サービスの東日本リージョン向け管理コンソールに、攻撃者によるものとみられる英語のメッセージが表示されました。ITmedia NEWSによると、ブラウザのアドレス欄には正規の管理コンソールURLが確認でき、画面内には「インフラを掌握した」「お前たちのクラウドは我々のものだ」といった文言が記されていました。
メッセージは10月7日付で、「東日本リージョン1全体をわずか7分で暗号化した」と主張しています。攻撃者は、侵入から7時間が経過しても運営側がメッセージに気付かなかったと指摘し、「ここまでひどい対応は予想していなかった」などと挑発的な姿勢を見せています。
攻撃者が主張する被害の規模と詳細
拡散された画像には、被害規模を示す具体的な数値が赤字で並んでいます。攻撃者の主張によれば、侵入を受けたハイパーバイザーは239台に上り、225個のデータストアが暗号化されました。さらに、1万6600以上の仮想マシンディスクや3.6PBのプライマリストレージが利用不能になったと記されています。
また、攻撃者はスナップショットについても言及しており、55万4153件を破壊したほか、41.5PB分のバックアップ容量が失われたと主張しました。画像内には、IDCフロンティアの運用担当者に対し、仮想化基盤「VMware ESXi」のホストに接続して「攻撃者が残したファイル」を確認するよう指示する記述も含まれています。
IDCフロンティアによる現状と調査状況
IDCフロンティアはITmedia NEWSの取材に対し、管理コンソールに表示されたものと同様の画像が複数確認されている事実を認めました。一方で、メッセージ内に記載された被害規模の具体的な数値については、「書かれている内容を含め、ランサムウェア攻撃については現在調査継続中である」として、現時点での詳細な回答を避けています。
今回の障害は10月7日午前3時40分ごろに発生しました。影響範囲は東日本第1リージョンの4ゾーンに及び、495の企業・自治体が利用する仮想サーバーが停止したまま再起動できない状態が続いています。
- 障害発生日時：10月7日午前3時40分ごろ
- 影響を受けた企業・自治体数：495
- 被害状況：仮想サーバーの停止、データ復旧の困難化
- 対応状況：親会社のソフトバンクおよび外部セキュリティ専門企業と連携して調査中
今後の復旧見通しとデータの取り扱い
IDCフロンティアは8日に公表した第3報において、対象ゾーンに保存されたデータの取り出しや復元が難しくなる見通しを示しました。9日に公開された第4報では、親会社のソフトバンクや外部のセキュリティ専門企業と連携し、引き続き調査と復旧対応を進めていると説明しています。
攻撃者が主張するスナップショットの破壊と、実際のデータ復旧の困難さとの関連性について、同社は明確な言及を避けています。多くの利用者がシステム停止の影響を受ける中、今後、具体的な被害内容の全容解明と、データの復旧に向けた対応が焦点となります。