ソフトバンク子会社のIDCフロンティアは2026年10月14日、クラウドサービス「IDCFクラウド」への不正アクセスによる障害について第5報を公表した。被害を受けたゾーンの仮想サーバ内に保存されていたデータについて、外部へ持ち出された痕跡は確認されず、「外部へのデータの流出はなかったと判断している」とした。続く10月18日の第6報では、安全性の確認が完了したとして、停止していたバックアップサービスの提供を再開した。
障害の経緯と影響範囲
10月7日午前3時40分ごろから続くシステム障害について、同社は同日の第2報で原因を「ランサムウェア攻撃」と公表し、影響範囲は同サービスを契約する495の企業や団体に及ぶとした。10月8日の第3報では、顧客データの取り出しや復元は困難な見通しだと説明していた。第5報では、第3報で困難としていたデータの取り出しの見通しと、仮想サーバとは別の領域で見つかった不正な痕跡についても明らかにした。
一方、IDCFクラウドを直接、または委託先を通じて利用していたJR東日本や高島屋などの企業も、顧客情報の漏えいの可能性や業務への影響を相次いで公表した。利用企業の業種は鉄道や航空、自動車、百貨店、小売、物流、EC、不動産、教育、医療情報、競馬関連グッズの通販など幅広い。この中にはメール配信を外部のサービスに委ね、そのサービスがIDCFクラウドで稼働していた企業が多く含まれる。
第5報で判明した3つの論点
第5報は流出の有無、バックアップの取り出しや復元、仮想サーバとは別の領域で行われた不正な痕跡の3つについて明らかにし、第6報はバックアップサービスの再開を伝えた。まずIDCFクラウドの障害の影響を公表した各社の状況を表に整理し、続いて第5報で判明した3点と第6報の内容を順に見る。
IDCフロンティアは、今回のシステム障害によって影響を受けた企業の名前を公表していないため、利用企業が公表した情報を以下の表に整理した。
流出の有無
IDCフロンティアは10月7日午前9時に緊急対策本部を設置し、親会社のソフトバンクの技術支援を受けながら、外部のセキュリティ専門企業と連絡して調査を進めてきた（第4報）。調査したのは、攻撃者の侵入経路、各種ログ（アクセス、認証、操作）、攻撃者が設置したファイルや実行した処理、仮想サーバ内のデータが外部へ持ち出された痕跡の有無の4点だ。その結果、東日本リージョン1のうち障害の影響を受けた4つのゾーン（tesla、henry、pascal、joule）について、仮想サーバ内のデータが勝手に外部へ持ち出されたりした痕跡も、それを裏付ける事実も確認されなかった。情報の不正利用やその他の二次被害も第5報の時点で確認されていないことから、同社は外部へのデータの流出はなかったと判断した。障害の影響がなかった同リージョンの他の2つのゾーン（radian、newton）と東日本リージョン2、東日本リージョン3、西日本リージョン1については、安全性を確認する目的で調査を継続している。なお、「IDCFクラウド TypeS」（旧ホワイトクラウド ASPIRE）と「IDCF プライベートクラウド」は今回の事象の対象外だ。
バックアップの取り出しや復元
IDCフロンティアは第3報でデータの取り出しや復元は困難と見込んでいたが、外部のセキュリティ専門企業と連絡してバックアップデータの安全性を確認できたとした。これにより、影響を受けた495の企業や団体のうち、仮想サーバのデータ保存領域の状態をある時点で保存する「スナップショット機能」を利用していた194の契約者について、バックアップデータを取り出せることを確認した。取り出したデータを復元できるかどうかと、データの提供方法については、対象の契約者に個別に連絡している。
なお、スナップショット機能を利用していなかった契約者について、第5報は触れていない。障害の影響がなかったゾーンとリージョンの契約者には、予防措置として自身でバックアップを取得するよう依頼していたが、より簡便に取得する方法の準備も進めているとしていた。
仮想サーバとは別の領域で見つかった不正な痕跡
契約者が仮想サーバの起動や請求情報の確認に使う「IDCFクラウドポータル」で、48社の登録情報が不正に閲覧されていた。閲覧されたのは契約時に設定した企業名、ポータルのログインID、復元困難かつランダムなハッシュ値として保存されたログイン用パスワード、契約に関する連絡とサーバの稼働状況の通知先となる企業メールアドレス、サービスの月額利用料金の合計額だ。
このうち2社の情報には、担当者の個人名を含む可能性があるメールアドレスが各1件含まれていた。閲覧された情報が外部へ持ち出された痕跡は確認されておらず、IDCフロンティアは対象の契約者には個別に連絡したとしている。同社の説明によると、ポータルは仮想サーバが稼働する領域とは分離した領域に設置している。
第6報：バックアップサービスの提供再開
IDCフロンティアは10月18日の第6報で、不正アクセスを受けて提供を停止していた「IDCFクラウド バックアップ」について、安全性の確認が完了したとして提供を再開した。対象は、仮想サーバを引き続き利用できている東日本リージョン1のradianゾーンとnewtonゾーン、東日本リージョン2、東日本リージョン3、西日本リージョン1の契約者だ。第5報で「準備を進めている」としていた、バックアップを簡便に取得する方法がこれに当たる。
同社によると、再開によって契約者はバックアップデータを速やかに取得できるようになる他、IDCFクラウド以外のクラウド環境やオンプレミス環境にデータを復元できる。一方、スナップショット機能は安全性の確認のため、第6報の時点でも提供を停止している。第5報で194の契約者について取り出せるとしたのは既存のスナップショットのバックアップデータであり、スナップショット機能そのものの再開とは別だ。
IDCFクラウド障害で分かった各社の対応を3つの観点で比較する。今回のシステム障害からIT部門が学ぶべき点は何か。各社の発表と第5報、第6報を突き合わせると、状況を分けたのは次の3点だ。
委託先が利用している基盤
JR東日本や高島屋、スカパーJSAT、マウスコンピューター、イズミ、中国競馬ピーアール・センターは、配信を委ねた外部サービスがIDCFクラウドを利用していたと説明している。一方、Peach Aviationは自社のメール配信システムをIDCFクラウドで稼働させており、レックも撮影商品の製作管理にIDCFクラウドを使っていた。ケアネットはCareNet.comなど自社のWebサービスを、シックス・アパートは「Movable Type クラウド版」のIaaS基盤を、グリーニッジは「らくらく在庫」などのサーバを、ダイハツ工業は「ダイハツポート」など自社サービスの一部機能を、それぞれIDCFクラウドに置いていた。ニッスイのグループ会社である日水物流は、システム運用をIDCフロンティアに委託していた。フューチャーショップは、ECサイト構築プラットフォーム「futureshop」の本体は別の基盤で稼働させ、メール配信オプションの送信用サーバだけをIDCFクラウドに置いていた。委託先経由の各社は、自社がIDCFクラウドと直接契約していなくても、直接の利用者と同じ障害の影響を受けたことになる。SecurityScorecardの筒本大士（日本法人代表取締役社長）は「サプライチェーンのセキュリティ評価で注意したい15の項目」で、委託先のセキュリティ評価で確認すべき項目を紹介している。
漏えいの可能性があるデータの範囲と保管期間
ビューカードとスカパーJSATが情報漏えいの可能性がある対象としたのはメールアドレス、JR九州はメールアドレスを含むログデータだった。マウスコンピューターはメールアドレスに加えて2026年9月5日から10月6日までのメール送信記録を対象に含めた。JR東海はメール本文に記載した住所や注文内容を、高島屋は氏名や生年月日を、イズミは氏名を、それぞれ漏えいの可能性がある対象に含めた。イズミは対象の情報が暗号化されていると説明している。フューチャーショップの場合、IDCFクラウドにあったのはメール送信用サーバだけで、宛先メールアドレスとメール本文中の氏名・誕生日・会員IDが暗号化された状態で保管され、送信から14日で自動的に削除される仕組みだった。同社は、不正アクセスの侵入開始時期が公表されていないため、影響を受けた可能性のあるデータの対象期間は特定していないとしていた。中国競馬ピーアール・センターが「ターフィーショップオンライン」について対象としたのは、9月25日または10月2日に配信したメールマガジンの受信者のメールアドレスと、9月24日から10月7日までに再入会通知を受信した利用者の氏名とメールアドレスで、送信用サーバに記録されていたのは直近の配信分に限られていた。メール配信以外では、2017年8月以降の受注分の撮影データを保持していたレックのように、保持期間の長さも対象の範囲を左右する。ニッスイは、被害を受けたサーバにグループが管理する個人情報や顧客情報は含まれていないとしている。
停止時の再開手段
IDCフロンティアは第3報で、被害を受けたゾーンのデータの復元は顧客自身が保持するバックアップからのみ可能だとの見解を示していた。スナップショット機能を利用していた194の契約者のバックアップを取り出せることが公表されたのは、第5報を出した10月14日だった。これに対し、Peach Aviationは障害発生の翌日に当たる10月8日から代替サーバでメール送信を再開し、JR東海は不正アクセスを受けたクラウド環境の使用を停止して別の環境に切り替え、10月9日午前0時30分ごろにシステムを復旧させた。フューチャーショップも10月9日午前0時30分に、IDCFクラウドとは別のデータセンターに構築した環境へ切り替えてメール配信を再開している。シックス・アパートは10月7日午前1時時点のバックアップを用い、10月8日午後9時までにサーバ31台を「さくらのクラウド」環境へ移行した。ケアネットはIDCFクラウド側での復旧が見込めないと判断し、自社で保存していた攻撃前の最新のバックアップデータを用いて別会社の環境にシステムを再構築し、障害発生から4日後の10月11日にCareNet.comなどを再開した。日水物流は10月9日に一部の入出荷業務を再開し、IDCフロンティア以外のサーバで新システムを構築して10月19日の週に全拠点で通常稼働する見通しとしている。いずれも、基盤側のバックアップを取り出せると公表される前に、別の環境で再開に動いたことになる。
ただし、別の環境で再開できても、戻せるデータの新しさは手元のバックアップの取得時点で決まる。グリーニッジは「らくらく在庫」について、従来の環境からデータを取得できなかったため、2026年8月30日午前時点のバックアップデータでIDCFクラウド以外の国内クラウドに再構築し、10月9日に復旧させた。同社は利用店舗に対し、停止期間中の受注は取り込まれないこと、在庫連動を始める前に在庫数を更新する必要があることを案内している。一方、高島屋とJR九州は10月15日時点でメールマガジンの配信を再開しておらず、スカパーJSATも10月13日時点でプロモーションメールを配信できない状態としている。マウスコンピューターは10月14日時点でメールマガジンの配信を一時停止し、ダイハツ工業は10月19日時点でサービス再開の時期は未定としている。メール配信以外では、レックは撮影データのバックアップを別の環境に保管しており、進行中の注文の製作・納品に影響はないとしている。
IDCフロンティアが第6報でバックアップサービスを再開したのは、障害の影響を受けていないゾーンとリージョンの契約者に向けたものだ。被害を受けた4つのゾーンの契約者にとって、基盤側から得られるのは第5報で示したスナップショットのバックアップデータに限られる。
停止を余儀なくされた業務は会社ごとに異なった。JR東日本は会員向けのメール配信、JR九州はメールマガジン、Peach Aviationは新規予約時の旅程表メールが止まった。JR東海MARKETでは認証メールが届かないことがそのままログインと購入の停止につながった。日水物流では全拠点の入出荷業務が止まり、ケアネットでは医師向けサイトのCareNet.comを含むWebサービスが停止した。グリーニッジのサービスを使うEC店舗では、モール間の在庫連動と価格更新が止まった。ダイハツ工業では「ダイハツポート」の新規会員登録や車検・点検案内の配信に加え、「ダイハツコネクト」のリコール通知も止まっている。マウスコンピューターは、注文や決済の情報を障害の対象となった基盤に保存していなかったため、メールマガジンを止めた一方でオンラインショップの運営は続けている。中国競馬ピーアール・センターも、止まったのはメールマガジンと再入会通知の配信で、注文・出荷完了メールを含む買い物機能は通常通り使えるとしている。フューチャーショップも、本体のECサイトと管理画面は別の基盤で稼働していたため影響を受けていないとしている。
ITコンサルティングと調査を手掛けるアイ・ティ・アール（ITR）の入谷光浩（取締役 プリンシパル・アナリスト）は、「復元できない『7割の企業』で何が起きている？ ランサムウェア被害からの『復元力』を考える」の中で、ITRが2025年3月に実施した調査で、ランサムウェアに感染した企業の47％はバックアップデータまで暗号化されていたと述べている。その上で、復元は被害の拡大から安全の確認、再稼働の判断までの一連のプロセスだと指摘している。
JR東海は、今回の事案に便乗して同社や関係事業者を装った不審なメールやSMSの送信、電話が行われる恐れがあるとして注意を呼び掛けている。高島屋やビューカードも同様の注意喚起を出した。IDCフロンティアは、障害の影響を受けなかったゾーンとリージョンの調査を継続しており、新たに公表すべき事実が判明した場合は速やかに報告するとしている。
IT部門は日頃から、自社のメール配信がどの委託先のどの基盤で動いているのか、そこに何をいつまで預けているのか、委託先のシステムが止まったときに翌日には自社サービスを再開できる体制が整っているかどうかをチェックしておきたい。
