IDCフロンティアは10月27日、10月7日に発生した「IDCFクラウド」への不正アクセスについて、調査結果と今後の対応を公表した。外部のセキュリティ専門企業と連携して調査した結果、クラウド管理ポータルの認証システムに存在したOSSの脆弱性が侵入の原因だったことが明らかになった。

今回の攻撃では、東日本リージョン1の一部で仮想サーバが停止し、暗号化される被害が発生した。影響を受けたのは、同リージョンのtesla、henry、pascal、jouleの4ゾーンを利用する495の企業・自治体。IDCフロンティアは、対象顧客に対して代替環境への移行やバックアップデータの取り出しなどの復旧支援を進めている。

OSSの脆弱性を悪用、仮想化基盤の管理者権限を奪取

調査により、攻撃者は、顧客が仮想サーバの起動や請求情報の確認などに利用する「IDCFクラウドポータル」の認証システムに侵入したことが判明した。その後、攻撃者は管理コンソールを経由して仮想化基盤の管理者権限を不正に取得し、顧客の仮想サーバを停止させるとともに、仮想サーバ自体を暗号化した。

侵入の原因は、IDCFクラウドポータルで採用していたOSSの脆弱性が悪用されたことだった。今回の発表では、悪用されたOSSの名称や脆弱性の識別番号（CVE番号）などは明らかにされていない。

  • IDCFクラウドへのランサムウェア攻撃の概要。東日本リージョン1の4ゾーンで495の企業・自治体が影響を受けた（出典：IDCフロンティア）

    IDCFクラウドへのランサムウェア攻撃の概要。東日本リージョン1の4ゾーンで495の企業・自治体が影響を受けた（出典：IDCフロンティア）

障害は10月7日午前3時40分ごろに発生。同社は午前6時20分ごろからサイバー攻撃の可能性を含めた調査を開始し、午前6時48分に東日本リージョン1のIDCFクラウドポータルを停止。午前11時42分には、障害の原因を第三者によるランサムウェア攻撃と特定した。

その後、ほかのリージョンでも管理ポータルを停止し、外部ネットワークとの接続を遮断した。現在もIDCFクラウドポータルは外部から遮断されており、安全性を確認した上で提供を再開する方針だ。

最大71社の登録情報を不正照会、パスワード4件を変更

情報流出については、攻撃を受けた仮想サーバ内のデータが外部に持ち出された痕跡、それを裏付ける事実は確認されなかった。同社は、顧客の仮想サーバ内のデータの外部流出はなかったと判断している。

一方、IDCFクラウドポータルに登録されていた顧客情報については、最大71社の情報に対する不正な照会が確認された。このうち、個人名や個人名を含む可能性のあるメールアドレスなどが最大31社、31件含まれていた。

さらに、顧客のログインパスワードが最大4件、不正に変更されていたことも判明した。該当するパスワードはすでにリセットし、対象顧客には個別に連絡している。

不正に照会された登録情報についても、外部への持ち出しを示す痕跡は確認されていない。また、今回の事案に起因する情報の不正利用や二次被害についても、現時点では確認されていないという。

復旧に向けては、10月17日からバックアップデータの取り出しと引き渡しを開始し、10月18日には「IDCFクラウド バックアップ」サービスの提供を再開した。10月20日時点で206の顧客についてバックアップデータの取り出しが可能であることを確認している。

認証システムを刷新、OSSの脆弱性管理も強化

IDCフロンティアは再発防止策として、セキュリティを専門に管理する独立組織を設置し、全社的なセキュリティガバナンスを強化した。

ソフトウェアの脆弱性管理については、脆弱性診断や攻撃診断の対象範囲をOSSにも拡大する。また、従来は部署ごとに管理していたソフトウェアの構成情報を、SBOM（Software Bill of Materials）として全社で一元管理し、脆弱性情報との照合を自動化する。

侵入の起点となったIDCFクラウドポータルについては、新たな環境で再構築するとともに、認証システムを外部のIdP（Identity Provider）事業者のシステムに刷新する。ポータルへの接続を顧客のIPアドレスに制限し、多要素認証も必須化する方針だ。

ポータルの提供再開は3段階で進める。第1段階では仮想サーバの起動・停止など主要機能の操作を同社が代行し、第2段階では仮想サーバの作成・削除や容量変更など、代行する操作の範囲を拡大する。第3段階で、顧客自身が全機能を操作できる状態でポータルの提供を再開する。