預けたデータが戻らない、IDCF 障害 — 自社で持つ控えの範囲

何が起きたの? — 預けたデータが戻らない

ソフトバンク子会社の IDC フロンティアが運営する「IDCF クラウド」で、10 月 7 日の午前 3 時 40 分ごろ、ランサムウエア攻撃による障害が起きました。同社は、契約する 495 の企業・自治体が影響を受けたと公表しています。

10 月 8 日の第 3 報で、同社は被害の範囲を東日本の 4 つの区画(ゾーン)に絞り込みました。そのうえで、この区画の顧客データは取り出しも復元も難しい見通しだと示しました。

同社は被害を受けた顧客に対し、それぞれが持つバックアップを使って、安全な別の環境でシステムを作り直すよう案内しています。

翌 9 日、国家サイバー統括室(NCO)は、情報漏えいが相次いでいるとして注意喚起を出しました。背景には、Web システムの弱点を突く攻撃、取引先を経由した侵入、データ管理の不備による漏えいがあります。求めた内容は次のとおりです。

同じ週には、ローソンも「ローソン ID」への不正アクセスで 215 万 5345 件の個人情報が漏れたと発表しました。不審なアクセスは常に監視していましたが、今回は検知できませんでした。見つけたのは、人手による定期調査です。

クラウドなのに、なぜデータが戻らないの?

クラウドは、他社のサーバーを借りて使う仕組みです。借りたサーバーが攻撃で止まれば、そこに置いたデータも一緒に使えなくなります。

ランサムウエアは、データを勝手に暗号化して読めなくし、元に戻す代わりに金銭を求める攻撃です。サーバーの持ち主が被害を受ければ、借りている側のデータも巻き込まれます。

日経クロステックは今回の件について、サービスの基盤とは別の環境にバックアップを置き、復旧できる体制を整える大切さを示したと指摘しています。同じクラウドの中に控えを置いているだけでは、本体と一緒に使えなくなるおそれがあります。

たとえるなら、貸金庫に預けた書類の写しを、同じ貸金庫に入れているようなものです。金庫が開かなくなれば、写しも取り出せません。

預けている会社は、何を変えればいいの?

預け先を選んだ時の確認だけでは足りない、というのが今回の教訓です。政府の注意喚起も、委託先を「続けて」確かめることを求めています。

一方で、制約もあります。すべてのデータを別の場所に二重に持てば、費用も手間も増えます。人手の少ない会社ほど、自前のバックアップは重い負担です。

委託先の確認も、頻度を上げるほど双方の手間が増えます。全部を同じ重さで守るのではなく、止まると困る業務から順に決めるのが現実的です。

SYNCON の視点 — 預けても、責任は預けられない

クラウドに預けると、運用の手間は外に出せます。しかし、データが戻らなかった時に困るのは、預けた側の会社と、その先のお客様です。

経営として決めたいのは 2 つです。1 つ目は、どの業務のデータを、預け先とは別の場所に自社で持つか。2 つ目は、委託先とその先の再委託先を、誰がどの頻度で確かめるかです。

ローソンの例は、自動の仕組みが見逃したものを、人の定期調査が拾えることも示しました。道具を入れて終わりにせず、人が見る日を予定に入れておくことが、守りの最後の一枚になります。

要点まとめ

• IDCF クラウドがランサムウエア攻撃を受け、495 の企業・自治体に影響した
• 4 つの区画の顧客データは、取り出しも復元も難しい見通し
• 運営会社は、各社のバックアップで別の環境に作り直すよう案内した
• 国家サイバー統括室は、委託先・再委託先の管理を続けて確かめるよう求めた
• ローソンでは 215 万 5345 件が漏れ、自動監視ではなく人手の調査で見つかった
• 自社で控えを持つ範囲と、委託先を確かめる頻度を、止まると困る業務から決める