基盤を提供するIDCフロンティアは「外部へのデータの流出はなかったと判断」と公表しました。同じころ、その基盤の上で動くメール配信サービスを使っていた企業は「漏えいの可能性」を公表しています。同じ事案をめぐって、二つの公表はなぜ並んでいるのでしょうか。発生から1週間で出そろった公表を読み比べます。
IDCフロンティアは10月14日の第5報で、ランサムウェア攻撃を受けた「IDCFクラウド」の東日本リージョン1の4ゾーンについて、仮想サーバー内のデータが外部へ流出した痕跡は確認されず、流出はなかったと判断したと公表した。一方、同社の基盤を間接的に使っていた委託元は、10月13日から14日にかけて、メールアドレスなどが漏えいした可能性を相次いで公表している。マウスコンピューターは約42万件、イズミは最大約40万件、JR東海は約1万5000件である。委託元の多くは、メールマガジンの配信を委託した事業者がIDCFの基盤を使っていたと説明している。
10月7日に始まったIDCFクラウドの障害は、発生から1週間で新しい段階に入りました。基盤を提供するIDCフロンティアが「外部へのデータの流出はなかったと判断」と公表したのと前後して、その基盤を間接的に使っていた企業が「漏えいの可能性がある」と公表しています。
IDCFクラウドの障害と、JR東日本、ビューカード、JR九州などの公表は、innovaTopiaでも伝えてきました（関連記事1、関連記事2、関連記事3）。10月13日には、委託先の侵害が委託元の公表として連鎖する構図を【解説】で整理しています（関連記事）。本稿では、その後に出たIDCFの第5報と、13日から14日に公表した委託元を並べ、基盤の事業者と委託元の公表が、なぜ違って見えるのかを読み解きます。
10月7日からの流れ
| 時期 | 出来事 | 関連記事・出典 |
|---|---|---|
| 10月7日 3時40分頃 | IDCFクラウドで障害が発生。同日、ランサムウェア攻撃によるものと公表 | 関連記事 |
| 10月8日 | 第3報。対象のゾーンのデータは取り出しや復元が難しい見通しとした | IDCフロンティア |
| 10月9日 | 第4報。ソフトバンクと連携した対応体制と、外部のセキュリティ会社による調査を示す。JR東日本、ビューカード、JR九州がメールアドレス漏えいの可能性を公表 | 関連記事1、関連記事2 |
| 10月13日 | NTT ExCパートナー（LStep）、スカパーJSAT、JR東海が漏えいの可能性を公表 | 各社 |
| 10月14日 | IDCF第5報。4ゾーンについて「流出はなかったと判断」。マウスコンピューター、イズミ、ピーチ・ジョンが漏えいの可能性を公表。日水物流は来週中に全拠点で通常稼働の見通し | IDCフロンティア、各社 |
IDCF第5報が示したこと
第5報は、外部のセキュリティ専門企業と連携して、侵入経路、アクセスログや認証ログなどの各種ログ、攻撃者が置いたファイルと実行した処理、データを持ち出した痕跡の有無を調べた結果をまとめたものです。
結論は、東日本リージョン1のうちtesla、henry、pascal、jouleの4ゾーンについて、利用者の仮想サーバー内に保存されていたデータが照会されたり、外部へ持ち出されたりしたことを示す痕跡や、それを裏付ける事実は確認されなかった、というものです。そのうえでIDCフロンティアは、外部へのデータの流出はなかったと判断しています。ほかのゾーンや、東日本リージョン2・3、西日本リージョン1は、サービスへの影響はないものの、安全を確かめるために調査を続けています。侵入経路の特定結果は、第5報には書かれていません。
復旧の見通しも変わりました。第3報では、対象のゾーンのデータは取り出しや復元が難しい見通しとしていました。第5報では、影響を受けた495の企業・自治体のうち、スナップショット機能を使っていた194の利用者について、バックアップデータを取り出せることを確認したとしています。
一方で、利用者が契約や設定に使うIDCFクラウドのポータルでは、48社の登録情報に不正な照会があったことも確認されました。担当者の個人名を含む可能性があるメールアドレスが2社（各1件）含まれます。外部へ持ち出された痕跡は確認されていないとしています。
13日から14日に公表した委託元
IDCFの基盤を直接契約していたのではなく、メール配信などを委託した事業者がIDCFの基盤を使っていた、という委託元の公表が続いています。各社の件数には最大値や概数が含まれ、集計の対象や時点も異なります。同じ人やメールアドレスの重複も分からないため、単純に合計することはできません。
| 委託元 | 公表日 | 対象 | 件数 | 漏えいの可能性がある情報 | 対象外とした情報 |
|---|---|---|---|---|---|
| NTT ExCパートナー | 10月13日 | 学習管理システム「LStep」のメール | 最大約9万件 | メールアドレス | 氏名などの個人情報、件名、本文、添付は可能性なし。パスワード、学習履歴などは可能性を確認していない |
| スカパーJSAT | 10月13日 | 「スカパー！メンバーズ」会員向けのプロモーションメール | 記載なし | メールアドレス（一部の退会者を含む） | 氏名、住所、電話番号、カード番号、件名、本文 |
| JR東海 | 10月13日 | ECサイト「JR東海MARKET」「いいもの探訪」 | 約1万5000件（両サイト合計） | メールアドレスと、配信したメール本文の氏名、住所、電話番号、注文内容、配送先など | カード情報、ログインパスワード |
| マウスコンピューター | 10月14日 | メールマガジン | 約42万件 | メールアドレスと、9月5日〜10月6日の配信記録 | 注文・決済の情報（当該基盤に保存していない） |
| イズミ | 10月14日 | 「ゆめオンライン」「ゆめデリバリー」 | 最大約40万件 | 氏名、メールアドレス（暗号化されている） | 住所、電話番号、カード番号 |
| ピーチ・ジョン | 10月14日 | メールマガジン | 記載なし | メールアドレスのみ | 氏名、住所、電話番号、カード番号 |
NTT ExCパートナー、スカパーJSAT、ピーチ・ジョンの3社は、漏えいの可能性がある情報をメールアドレスだけとしています。マウスコンピューターは配信記録、イズミは氏名も対象に挙げました。目を引くのはJR東海です。配信したメールの本文に書かれた氏名、住所、注文内容まで対象に含めました。今回のメール配信サービスが、宛先に加えて送った文面も扱っていたことを示しています。JR東海は、不正アクセスを受けたクラウド環境の使用をやめ、別の環境から配信する形に切り替えました。
サービスへの影響もさまざまです。マウスコンピューターとピーチ・ジョンはメールマガジンの配信を止め、スカパーJSATはプロモーションメールを送れない状態だとしています。LStepのメール送信機能は10月9日に復旧しました。ニッスイの子会社の日水物流は、IDCフロンティア以外のサーバーで新しいシステムを作っており、来週中に全拠点で通常稼働に戻る見通しです。同社は、被害を受けたサーバーにグループの個人情報や顧客情報は含まれていないとしています。
「流出なし」と「可能性」は、何が違うのか
IDCFの「流出はなかったと判断」と、委託元の「漏えいの可能性を否定できない」は、直ちに矛盾するとは限りません。前者は基盤の事業者による調査上の判断で、後者は委託元が自社の顧客の情報への影響を否定できない段階で出した公表です。
IDCFの判断は、4ゾーンの仮想サーバー内のデータについてのものです。委託元が使っていたメール配信サービスの環境がどのゾーンにあったのかは、各社の公表には書かれていません。委託元の公表は第5報の前日か同じ日に出ていますが、第5報の調査結果が各社の判断に反映されたかどうかは分かりません。NTT ExCパートナーは、公表の時点でIDCFの調査が続いており、影響を完全には否定できないため、注意を呼びかける目的で公表したと説明しています。
もうひとつの特徴は、本稿で取り上げた6社の公表に、委託先の配信事業者の名前が書かれていないことです。各社の説明は「メールマガジンの配信を委託している事業者が利用する、IDCフロンティアの基盤」といった形にとどまります。複数の会社が同じ配信事業者を使っていたのかどうかも、公表からは分かりません。情報の受け取り方も一様ではなく、マウスコンピューターとNTT ExCパートナーは配信事業者から報告を受けたと説明し、イズミはIDCフロンティアから連絡を受けたと書いています。各社がいつ何を把握し、公表の範囲をどう決めたのか、その全体像はまだ見えていません。
10月13日の【解説】で取り上げたi-askやCommuneでは、委託先自身が手口や時間帯を公表し、委託元はそれを受けて自社の公表を組み立てていました。今回は、基盤のIDCFが第5報で調査の結論を示した一方で、その間に立つ配信事業者の姿が見えません。防災メールのSpeeCAN RAIDENでも、宮崎県は委託先のさらに先にあるシステムが侵害されたと公表しています（関連記事）。
IDCFは、ほかのゾーンとリージョンの調査を続けています。委託元の多くも、調査を続けて新しい事実が分かれば知らせるとしています。第5報の結論が、委託元の次の報にどう反映されるのか。基盤から委託元まで、情報がどの順番で、どこまで届くのかが、今回の事案の次の焦点になります。
【関連記事】
【解説】i-ask・Commune・IDCFクラウドに不正アクセス、大和証券やヤマハなど委託元の公表が連鎖
IDCFクラウドにランサムウェア攻撃、495の企業・自治体に影響 茨城県サイトも閲覧できず
JR東日本とビューカード、メールアドレス漏えいの可能性 IDCFへの不正アクセスで
【解説】手間いらず・バイトル・JR九州など不正アクセス14件、10月8〜10日の公表を整理
防災メールの配信基盤「SpeeCAN RAIDEN」に不正アクセス、自治体は配信を止めるか続けるかで分かれる
【編集部後記】
第5報には、もうひとつ短い一文があります。調査を続けているほかのゾーンの利用者に、予防のため自分でバックアップを取るよう呼びかけてきたこと。それをもっと簡単に取れる方法を準備していることです。
被害を受けた495の利用者のうち、データを取り出せる見通しが立ったのは、スナップショット機能を使っていた194でした。自社のサービスの下にあるクラウドで、その備えがどうなっているか。委託先に一度たずねてみる価値はありそうです。
【用語解説】
IDCFクラウド
ソフトバンクの子会社、IDCフロンティアが提供するクラウドサービス。企業や自治体は、この基盤の上で仮想サーバーを動かし、自社のシステムやサービスを運用する。
ランサムウェア
感染したコンピューターのデータを暗号化して使えなくし、復旧と引き換えに金銭を要求する不正プログラム。データを盗み出したうえで公開すると脅す手口もある。
仮想サーバー
1台の物理的なサーバーの上に、ソフトウェアで複数のサーバーを作って動かす仕組み。クラウドの利用者は、必要な性能の仮想サーバーを借りて使う。
ゾーン、リージョン
クラウド事業者が設備を分けて運用する単位。リージョンは地域ごとのまとまりで、ゾーンはその中でさらに設備を分けたもの。IDCFクラウドの第5報は、東日本リージョン1の中の4つのゾーンについて調査結果を示した。
スナップショット
ある時点の仮想サーバーやディスクの状態を、まるごと保存しておく機能。障害やデータの破損が起きたとき、保存した時点の状態に戻すためのバックアップとして使う。
【参考リンク】
IDCフロンティア「【第5報】不正アクセスによる障害に関する調査の進捗について」（外部）
4ゾーンの仮想サーバー内のデータについて流出はなかったと判断し、スナップショットを使う194の利用者はバックアップを取り出せるとした
IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」（外部）
対象のゾーンのデータは取り出しや復元が難しい見通しとしていた10月8日の第3報。影響の範囲と、その時点の調査の状況を示している
マウスコンピューター「メールアドレス漏えいの可能性およびメールマガジン配信の一時停止について」（外部）
メールマガジンの配信委託先が使うIDCFの基盤への不正アクセスで、約42万件のメールアドレスと配信記録に漏えいの可能性があるとした
イズミ「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして」（外部）
「ゆめオンライン」「ゆめデリバリー」の会員の氏名とメールアドレス、最大約40万件。対象の情報は暗号化されていると説明している
ピーチ・ジョン「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス漏えいの可能性について」（外部）
対象はメールアドレスだけで、氏名や住所、カード番号は対象外とした。安全が確認されるまで、メールマガジンの配信を止めるとしている
NTT ExCパートナー「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス漏えいの可能性について」（外部）
学習管理システム「LStep」のメールアドレス、最大約9万件。影響を完全には否定できないとして、注意を呼びかける目的で公表した
スカパーJSAT「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス漏えいの可能性について」（外部）
「スカパー！メンバーズ」の会員と一部の退会者のメールアドレスに漏えいの可能性。プロモーションメールを配信できない状態とした
東海旅客鉄道「株式会社ＩＤＣフロンティアで発生した不正アクセスに伴うメールアドレス等漏えいの可能性について」（外部）
「JR東海MARKET」「いいもの探訪」の約1万5000件。配信したメールの本文にある氏名や住所、注文内容も対象に含めたお知らせ
ニッスイ「日水物流株式会社におけるシステム障害について（第3報）」（外部）
日水物流の第3報。IDCフロンティア以外のサーバーで新しいシステムを作り、来週中に全拠点で通常稼働に戻る見通しとしている
【参考記事】
一部顧客のデータは復旧困難 IDCフロンティアにランサムウェア、495社・自治体に影響（外部）
＠IT。第3報までの内容をもとに、495の企業・自治体への影響と、一部の顧客のデータの復旧が難しいとされた状況を伝えた記事
IDCFクラウドへのランサムウェア攻撃についてまとめてみた（外部）
piyolog。IDCフロンティアの公表の時系列と、障害や漏えいの可能性を公表した利用組織を一覧にして、続報を追い続けている記事
