10月7日に発生したIDCフロンティアにおけるクラウドサービス障害は現在も復旧しておらず、500社近い利用企業や自治体に影響が及んでいます。
復旧の可能性はあるのか、また情報漏洩のような問題は起きていないのか、現在分かっていることを運営会社に聞いてみました。
多数の仮想マシンが暗号化されたか
IDCFクラウドでは10月7日の午前3時40分ごろに発生したランサムウェア攻撃の影響で多数の仮想マシンが起動できない状態になり、495の企業や自治体が消費者向けのサービスを停止するなどの対応に追われています。
IDCフロンティアの広報によると、10月10日時点では社内の技術者を総動員して顧客対応や復旧支援にあたっているとのこと。第1報、第2報、第3報に続き、第4報ではソフトバンクの支援を受けていると公表しており、多数の顧客が一斉に被害を受けたことへの対応の難しさがうかがえます。
一方、攻撃者は詳しい情報をメッセージとして残したとみられ、ITmedia NEWSが報じています。この画像が掲載されたこと自体はIDCフロンティア側でも確認しているとのこと。他に情報がないので、これを読んで全体像を把握する人が増えているようです。
ただ、攻撃者は「東日本リージョン1全体」を暗号化したと主張していますが、実際には一部にとどまっています。また対応の遅さへの指摘もありますが、IDCフロンティアでは午前3時40分に障害を検知した後、所定の手順に基づいて対応とエスカレーションを進めたと説明しています。
当然ではありますが、このメッセージはあくまで攻撃者の視点から見えている範囲での主張になっていることから、少なくともそこは差し引いて読んだほうがよさそうです。
その上で、メッセージの内容についてIDCフロンティアの広報に確認したところ、同社がクラウドサービスで運用する「VMware ESXi」上で動く仮想マシンがランサムウェア攻撃の被害に遭ったことは事実のようです。
ESXiとは1台の物理サーバー上で複数の仮想マシンを動かす基盤となるソフトウェア（ハイパーバイザー）です。利用する企業や自治体は必要に応じてWindowsやLinuxの仮想マシンを作成し、さまざまな用途に使っていたと考えられます。
こうすることで1台の物理サーバーにさまざまな用途の仮想マシンを同居させることが可能になり、運用を効率化できます。しかし何らかの手段でESXiの権限を掌握されると、多くの仮想マシンが効率的に「攻撃」されるリスクが生じます。
今回の攻撃者は239のハイパーバイザー（ESXi）に到達し、1万6600以上のVMディスク（仮想マシンが利用するストレージ）を暗号化したと主張しています。IDCフロンティアによれば詳細は調査中とのことですが、被害の大きさから数字を確定するには時間がかかりそうです。
復旧も困難な状況に陥っています。第3報では「データの復元はお客さま自身が保持しているバックアップデータからのみ可能」との見解を示しており、IDCFクラウドが持っているデータでは復旧ができないことを示唆しています。
バックアップはなかったのかとの声もありますが、ランサムウェア攻撃では身代金の交渉を進めるために、復旧につながる手段は念入りに破壊する傾向にあるとされています。今回の攻撃者もバックアップを大量に破壊したことをアピールしています。
なお、IDCFクラウドのバックアップサービスにはランサムウェア対策として「イミュータブルストレージ」のオプションがあります。「現在は管理系クラスタを一時的に停止している」（広報）影響で復旧には使えないようですが、バックアップデータ自体は残っているとしています。
イミュータブルストレージは管理者権限でも編集や削除ができないため、今回のようなランサムウェア攻撃への備えとして注目されます。もちろん、ローカルやオンプレミス環境などネットワーク的に分離された場所でのバックアップも重要といえます。
ところで、攻撃者と交渉するという選択肢はないのでしょうか。攻撃者はクラウド内に復旧手順を示したとみられる「ファイル」を残しており、身代金などの要求が書かれているのか気になるところです。
この点についてIDCフロンティアでは外部のセキュリティ業者と連携し、当該ファイルにアクセスすることの安全性を含めて調査しているとのこと。まずはこれ以上被害を拡大させないことを優先している印象を受けます。
IDCFクラウドからの情報漏洩はあったのか
10月9日にはIDCFクラウドを利用していたJR東日本から、情報漏洩の可能性について発表がありました。あくまで可能性とのことですが、実際のところはどうなのでしょうか。
今回の攻撃者が仮想マシンを暗号化したということは、その中に存在していたデータにアクセスした可能性もゼロではないといえます。この手の攻撃では身代金の支払いに応じないことへの報復としてデータを外部に公開する事例もあるようです。
一方で、攻撃者は3.6ペタバイト（ペタはテラの1000倍）ものストレージを攻撃したと主張しており、その中身を物色するほどの時間はあったのかという疑問はあります。暗号化を実行した日時より前を含めてそうした形跡はあったのか、詳細は続報を待つしかなさそうです。
なお、最近の不正アクセスでは過去に遡って調査をすることで、情報漏洩が「発見」されるケースもあります。しかし今回の事例では調査に必要なデータやログなどが暗号化されてしまい、調査自体が難しいケースも考えられます。
このように、現時点では情報漏洩の可能性を問われると「完全には否定できない」と回答せざるを得ない状況とみられます。今後もIDCFクラウドを利用していた企業や自治体から同様の発表が続くかもしれません。
追記：
10月14日の「第5報」にて、外部へのデータの流出はなかったとの判断や、バックアップデータの存在について言及されています。
（やまぐち けんた）1979年生まれ。10年間のプログラマー経験を経て、2012年にフリーランスのITジャーナリストとして独立。日経クロステック（xTECH）やASCII.jp、ITmedia、マイナビニュースなどの媒体に寄稿し、2021年からは「Yahoo!ニュース エキスパート」として活動しています。
