[ITmedia エンタープライズ] 「流出なし」で終わらないIDCFクラウド障害 「何をいつまで預けたか」で分かれた明暗

　ソフトバンク子会社のIDCフロンティアは2026年10月14日、クラウドサービス「IDCFクラウド」への不正アクセスによる障害について第5報を公表した。被害を受けたゾーンの仮想サーバ内に保存されていたデータについて、外部へ持ち出された痕跡は確認されず、「外部へのデータの流出はなかったと判断している」とした。続く10月18日の第6報では、安全性の確認が完了したとして、停止していたバックアップサービスの提供を再開した。

　10月7日午前3時40分ごろから続くシステム障害について、同社は同日の第2報で原因を「ランサムウェア攻撃」と公表し、影響範囲は同サービスを契約する495の企業や自治体に及ぶとした。10月8日の第3報では、顧客データの取り出しや復元は困難な見通しだと説明していた。第5報では、第3報で困難としていたデータの取り出しの見通しと、仮想サーバとは別の領域で見つかった不正な照会についても明らかにした。

　一方、IDCFクラウドを直接、または委託先を通じて利用していたJR東日本や高島屋などの企業も、顧客情報の漏えいの可能性や業務への影響を相次いで公表した。利用企業の業種は鉄道や航空、自動車、百貨店、小売、物流、EC、放送、教育、医療情報、競馬関連グッズの通販など幅広い。この中にはメール配信を外部のサービスに委ね、そのサービスがIDCFクラウドで稼働していた企業が多く含まれる。

　第5報は流出の有無、バックアップの取り出しや復元、仮想サーバとは別の領域で行われた不正な照会の3つについて明らかにし、第6報はバックアップサービスの再開を伝えた。まずIDCFクラウドの障害の影響を公表した各社の状況を表に整理し、続いて第5報で判明した3点と第6報の内容を順に見る。

IDCFクラウドの障害の影響を公表した主な企業の状況

企業名（情報の公表日）	IDCFクラウドの利用方法	システム障害の影響を受けた業務	漏えいの可能性があるとされた情報と件数	サービスの提供状況と10月19日時点の判断
東日本旅客鉄道（10月9日）	委託先のメール配信用外部サービスが利用	えきねっと、大人の休日倶楽部の会員向けメール配信	えきねっと会員最大約167万件（メールアドレス）、大人の休日倶楽部会員最大約39万件（メールアドレス、会員番号、クレジットカードの有効期限、生年月日）	10月15日、漏えいはなかったとの報告を受けたと発表
ビューカード（10月9日）	委託先のメール配信用外部サービスが利用	会員サイト「VIEW's NET」の登録者向けメール	メールアドレス約403万件	10月15日、メール配信用外部サービス会社から漏えいはなかったと判断したとの報告を受けたと発表
九州旅客鉄道（10月9日）	委託先のメール配信用外部サービスが利用	JR九州Web会員向けメールマガジン	メールアドレスを含むログデータ最大約130万件	10月15日時点でメール配信は再開せず。同日、漏えいの事実は確認されずと発表
Peach Aviation（10月9日）	自社のメール配信システムをIDCFクラウドで稼働	新規予約時の旅程表メール（遅延・不達）	メールアドレス、アルファベット表記の氏名、電話番号、予約番号、旅程内容の約189万件	10月8日に代替サーバで遅延分の送信を開始。外部流出は確認していないとする
高島屋（10月9日）	メールマガジンの配信業務の委託先が利用	高島屋オンライン会員向けメールマガジン	メールアドレス、氏名、生年月日、郵便番号、市区郡までの住所	10月15日時点で配信は未再開。同日、流出はなかったとの報告を受けたと公表
東海旅客鉄道（10月13日）	サイトのシステム運営事業者が利用	JR東海MARKETの認証メールと注文完了メール（ログインと購入が不可に）、いいもの探訪	メールアドレス、メール本文に記載した氏名、住所、電話番号、注文内容、配送先情報の約1万5000件	不正アクセスを受けたクラウド環境の使用を停止し、別の環境に切り替えて10月9日午後0時30分ごろ復旧。10月15日、漏えいの事実は確認されずと発表
スカパーJSAT（10月13日）	配信用外部サービスの一部が利用	スカパー！メンバーズ会員向けプロモーションメール	メールアドレス	10月13日時点で配信できない状態
NTT ExCパートナー（10月13日）	―	クラウド型学習管理システム	一部利用者のメールアドレス	―
マウスコンピューター（10月14日）	メールマガジン配信の委託先が配信機能の一部に利用	メールマガジン配信	メールアドレス約42万件、2026年9月5日から10月6日までの当該アドレス宛てのメール配信記録	メールマガジン配信を一時停止。漏えいの事実は確認されていない。オンラインショップの注文・決済情報は対象の基盤に保存しておらず、通常営業
イズミ（10月14日）	会員向けメールマガジン配信の委託先が利用	ゆめオンライン、ゆめデリバリーのメールマガジン配信	氏名、メールアドレス最大約40万件（暗号化済み）	漏えいと不正利用の事実は確認されておらず調査を継続。対象者に個別にメールで連絡する予定
中央競馬ピーアール・センター（10月13日）	委託先を介して「ターフィーショップオンライン」のメール配信にIDCFクラウドを使用	メールマガジンと再入荷通知メールの配信（10月7日午前10時ごろから停止）	9月25日または10月2日配信のメールマガジン受信者のメールアドレス最大10万7357人、9月24日～10月7日の再入荷通知受信者の氏名とメールアドレス最大3074人。住所、電話番号、クレジットカード情報、購入履歴は対象外	委託先を通じ、IDCフロンティアと関係事業者から漏えいの事実は確認されていないとの報告を受けたとする。注文・出荷完了メールと買い物機能は通常通り
フューチャーショップ（10月8日）	メール配信オプション「future Scenario Cast」「futureCartRecovery」のメール送信用サーバをIDCFクラウドに設置	両オプションのメール配信とデータ連携（予防措置として10月7日に停止）	宛先メールアドレス、メール本文中の氏名・誕生日・会員ID（暗号化保存、送信から14日で自動削除）。住所・電話番号・パスワードは別サーバで対象外	10月9日午後0時30分、IDCFクラウドとは別のデータセンターに構築した環境へ切り替えて配信再開。10月15日、第5報を受けて流出はなかったと判断
ニッスイ（10月14日）	グループ会社の日水物流がシステム運用を委託	日水物流の全拠点での入出荷業務	被害を受けたサーバにニッスイグループが管理する個人情報・顧客情報は含まれない	10月9日に一部の入出荷業務を再開。IDCフロンティア以外のサーバで新システムを構築し、10月19日の週に全拠点で通常稼働の見通し
ケアネット（10月14日）	CareNet.comなど自社のWebサービスがIDCFクラウドを利用	CareNet.com、CareNeTVなどの停止	会員の個人情報の漏えいを示す事実は確認されていない	IDCFクラウド側での復旧が見込めないと判断し、自社で保存していた攻撃前の最新のバックアップデータを用いてIDCFクラウドとは異なる別会社の環境にシステムを再構築、10月11日にCareNet.comなどを再開。10月19日にポイント交換、会員情報変更、メールマガジン配信を再開
シックス・アパート（10月9日）	「Movable Type クラウド版」のIaaS基盤として利用	IDCFクラウド東日本第1リージョン上のサーバ31台	―	10月7日午前1時時点のバックアップを用い、10月8日午後9時までに全31台を「さくらのクラウド」環境へ暫定移行
グリニッジ（10月9日）	「らくらく在庫」「らくらく最安更新」「ウルトラASP」のサーバとして利用	EC店舗向けの在庫連動・価格更新処理	管理する顧客情報・個人情報の流出は確認されていない	ウルトラASPは10月7日午後5時に復旧。らくらく在庫は従来の環境からデータを取得できず、2026年8月30日午前時点のバックアップでIDCFクラウド以外の国内クラウドに再構築し10月9日に復旧。停止期間中の受注は取り込まれない。らくらく最安更新は調整中
ダイハツ工業（10月19日）	自社サービスの一部機能のシステム基盤として利用	「ダイハツポート」の新規会員登録、車検・点検案内のメール・LINE配信、ポイントプログラム、「ダイハツコネクト」のリコール通知など	IDCフロンティアの調査結果では外部への情報流出を示す事実は確認されておらず、顧客情報の流出も確認されていない	サービス再開の時期は未定
レック（10月12日）	撮影商品の制作管理にIDCFクラウドを利用	ブライダル写真の制作管理	2017年8月以降の受注分の撮影データ、顧客の氏名	写真データを別環境にバックアップ。進行中の注文の制作・納品に影響なし

各社の公表情報（2026年10月19日時点）を基に編集部で作成。ニッスイ、ケアネット、シックス・アパート、グリニッジ、ダイハツ工業、レックは電子メール配信以外の影響を含む。「―」は公表情報から判断できない項目。

1．　流出の有無

　IDCフロンティアは10月7日午前9時に緊急対策本部を設置し、親会社のソフトバンクの技術支援を受けながら、外部のセキュリティ専門企業と連携して調査を進めてきた（第4報）。調査したのは、攻撃者の侵入経路、各種ログ（アクセス、認証、操作）、攻撃者が設置したファイルや実行した処理、仮想サーバ内のデータが外部へ持ち出された痕跡の有無の4点だ。その結果、東日本リージョン1のうち障害の影響を受けた4つのゾーン（tesla、henry、pascal、joule）について、仮想サーバ内のデータが照会されたり外部へ持ち出されたりした痕跡も、それを裏付ける事実も確認されなかった。情報の不正利用やその他の二次被害も第5報の時点で確認されていないことから、同社は外部へのデータの流出はなかったと判断した。障害の影響がなかった同リージョンの他の2つのゾーン（radian、newton）と東日本リージョン2、東日本リージョン3、西日本リージョン1については、安全性を確認する目的で調査を継続している。なお、「IDCFクラウド TypeS」（旧ホワイトクラウド ASPIRE）と「IDCF プライベートクラウド」は今回の事象の対象外だ。

2．　バックアップの取り出しや復元

　IDCフロンティアは第3報でデータの取り出しや復元は困難と見込んでいたが、外部のセキュリティ専門企業と連携してバックアップデータの安全性を確認できたとした。これにより、影響を受けた495の企業や自治体のうち、仮想サーバのデータ保存領域の状態をある時点で保存する「スナップショット機能」を利用していた194の契約者について、バックアップデータを取り出せることを確認した。取り出したデータを復元できるかどうかと、データの提供方法については、対象の契約者に個別に連絡している。

　なお、スナップショット機能を利用していなかった契約者について、第5報は触れていない。障害の影響がなかったゾーンとリージョンの契約者には、予防措置として自身でバックアップを取得するよう依頼していたが、より簡便に取得する方法の準備も進めているとしていた。

3．　仮想サーバとは別の領域で見つかった不正な照会

　契約者が仮想サーバの起動や請求情報の確認に使う「IDCFクラウドポータル」で、48社の登録情報が不正に照会されていた。照会されたのは契約時に設定した企業名、ポータルのログインID、復元困難かつランダムなハッシュ値として保存されたログイン用パスワード、契約に関する連絡とサーバの稼働状況の通知先となる企業メールアドレス、サービスの月額利用料金の合計額だ。

　このうち2社の情報には、担当者の個人名を含む可能性があるメールアドレスが各1件含まれていた。照会された情報が外部へ持ち出された痕跡は確認されておらず、IDCフロンティアは対象の契約者には個別に連絡したとしている。同社の説明によると、ポータルは仮想サーバが稼働する領域とは分離した領域に設置している。

4．　第6報：バックアップサービスの提供再開

　IDCフロンティアは10月18日の第6報で、不正アクセスを受けて提供を停止していた「IDCFクラウド バックアップ」について、安全性の確認が完了したとして提供を再開した。対象は、仮想サーバを引き続き利用できている東日本リージョン1のradianゾーンとnewtonゾーン、東日本リージョン2、東日本リージョン3、西日本リージョン1の契約者だ。第5報で「準備を進めている」としていた、バックアップを簡便に取得する方法がこれに当たる。

　同社によると、再開によって契約者はバックアップデータを速やかに取得できるようになる他、IDCFクラウド以外のクラウド環境やオンプレミス環境にデータを復元できる。一方、スナップショット機能は安全性の確認のため、第6報の時点でも提供を停止している。第5報で194の契約者について取り出せるとしたのは既存のスナップショットのバックアップデータであり、スナップショット機能そのものの再開とは別だ。

IDCFクラウド障害で分かれた各社の対応　3つの観点で比べる

　今回のシステム障害からIT部門が学ぶべき点は何か。各社の発表と第5報、第6報を照らし合わせると、状況を分けたのは次の3点だ。

1. 委託先が利用している基盤：　メール配信を委託した事業者が、どの基盤でそれを運用していたか
2. 預けていたデータ：　委託先の基盤に、どの範囲の個人情報を、どれだけの期間保持させていたか
3. 停止時の影響と再開手段：　基盤のデータが失われても、自社の側で配信を再開できたか。配信が止まったことで自社のどの業務が止まったか

　1の委託先の基盤について、JR東日本や高島屋、スカパーJSAT、マウスコンピューター、イズミ、中央競馬ピーアール・センターは、配信を委ねた外部サービスがIDCFクラウドを利用していたと説明している。一方、Peach Aviationは自社のメール配信システムをIDCFクラウドで稼働させており、レックも撮影商品の制作管理にIDCFクラウドを使っていた。ケアネットはCareNet.comなど自社のWebサービスを、シックス・アパートは「Movable Type クラウド版」のIaaS基盤を、グリニッジは「らくらく在庫」などのサーバを、ダイハツ工業は「ダイハツポート」など自社サービスの一部機能を、それぞれIDCFクラウドに置いていた。ニッスイのグループ会社である日水物流は、システム運用をIDCフロンティアに委託していた。フューチャーショップは、ECサイト構築プラットフォーム「futureshop」の本体は別の基盤で稼働させ、メール配信オプションの送信用サーバだけをIDCFクラウドに置いていた。委託先経由の各社は、自社がIDCFクラウドと直接契約していなくても、直接の利用者と同じ障害の影響を受けたことになる。SecurityScorecardの藤本大氏（日本法人代表取締役社長）は「サプライチェーンのセキュリティ評価で注意したい15の項目」で、委託先のセキュリティ評価で確認すべき項目を紹介している。

　2の預けていたデータについては、ビューカードとスカパーJSATが情報漏えいの可能性がある対象としたのはメールアドレス、JR九州はメールアドレスを含むログデータだった。マウスコンピューターはメールアドレスに加えて2026年9月5日から10月6日までのメール配信記録を対象に含めた。JR東海はメール本文に記載した住所や注文内容を、高島屋は氏名や生年月日を、イズミは氏名を、それぞれ漏えいの可能性がある対象に含めた。イズミは対象の情報が暗号化されていると説明している。フューチャーショップの場合、IDCFクラウドにあったのはメール送信用サーバだけで、宛先メールアドレスとメール本文中の氏名・誕生日・会員IDが暗号化された状態で保管され、送信から14日で自動的に削除される仕組みだった。同社は、不正アクセスの侵入開始時期が公表されていないため、影響を受けた可能性のあるデータの対象期間は確定していないとしていた。中央競馬ピーアール・センターが「ターフィーショップオンライン」について対象としたのは、9月25日または10月2日に配信したメールマガジンの受信者のメールアドレスと、9月24日から10月7日までに再入荷通知を受信した利用者の氏名とメールアドレスで、配信用サーバに記録されていたのは直近の配信分に限られていた。メール配信以外では、2017年8月以降の受注分の撮影データを保持していたレックのように、保持期間の長さも対象の範囲を左右する。ニッスイは、被害を受けたサーバにグループが管理する個人情報や顧客情報は含まれていないとしている。

　3の停止時の再開手段について、IDCフロンティアは第3報で、被害を受けたゾーンのデータの復元は顧客自身が保持するバックアップからのみ可能だとの見解を示していた。スナップショット機能を利用していた194の契約者のバックアップを取り出せることが公表されたのは、第5報を出した10月14日だった。これに対し、Peach Aviationは障害発生の翌日に当たる10月8日から代替サーバでメール送信を再開し、JR東海は不正アクセスを受けたクラウド環境の使用を停止して別の環境に切り替え、10月9日午後0時30分ごろにシステムを復旧させた。フューチャーショップも10月9日午後0時30分に、IDCFクラウドとは別のデータセンターに構築した環境へ切り替えてメール配信を再開している。シックス・アパートは10月7日午前1時時点のバックアップを用い、10月8日午後9時までにサーバ31台を「さくらのクラウド」環境へ暫定移行した。ケアネットはIDCFクラウド側での復旧が見込めないと判断し、自社で保存していた攻撃前の最新のバックアップデータを用いて別会社の環境にシステムを再構築し、障害発生から4日後の10月11日にCareNet.comなどを再開した。日水物流は10月9日に一部の入出荷業務を再開し、IDCフロンティア以外のサーバで新システムを構築して10月19日の週に全拠点で通常稼働する見通しとしている。いずれも、基盤側のバックアップを取り出せると公表される前に、別の環境で再開に動いたことになる。

　ただし、別の環境で再開できても、戻せるデータの新しさは手元のバックアップの取得時点で決まる。グリニッジは「らくらく在庫」について、従来の環境からデータを取得できなかったため、2026年8月30日午前時点のバックアップデータでIDCFクラウド以外の国内クラウドに再構築し、10月9日に復旧させた。同社は利用店舗に対し、停止期間中の受注は取り込まれないこと、在庫連動を始める前に在庫数を最新化する必要があることを案内している。一方、高島屋とJR九州は10月15日時点でメールマガジンの配信を再開しておらず、スカパーJSATも10月13日時点でプロモーションメールを配信できない状態としている。マウスコンピューターは10月14日時点でメールマガジンの配信を一時停止し、ダイハツ工業は10月19日時点でサービス再開の時期は未定としている。メール配信以外では、レックは写真データのバックアップを別の環境に保管しており、進行中の注文の制作・納品に影響はないとしている。

　IDCフロンティアが第6報でバックアップサービスを再開したのは、障害の影響を受けていないゾーンとリージョンの契約者に向けたものだ。被害を受けた4つのゾーンの契約者にとって、基盤側から得られるのは第5報で示したスナップショットのバックアップデータにとどまる。

　停止を余儀なくされた業務は会社ごとに異なった。JR東日本は会員向けのメール配信、JR九州はメールマガジン、Peach Aviationは新規予約時の旅程表メールが止まった。JR東海MARKETでは認証メールが届かないことがそのままログインと購入の停止につながった。日水物流では全拠点の入出荷業務が止まり、ケアネットでは医師向けサイトのCareNet.comを含むWebサービスが停止した。グリニッジのサービスを使うEC店舗では、モール間の在庫連動と価格更新が止まった。ダイハツ工業では「ダイハツポート」の新規会員登録や車検・点検案内の配信に加え、「ダイハツコネクト」のリコール通知も止まっている。マウスコンピューターは、注文や決済の情報を障害の対象となった基盤に保存していなかったため、メールマガジンを止めた一方でオンラインショップの営業は続けている。中央競馬ピーアール・センターも、止まったのはメールマガジンと再入荷通知の配信で、注文・出荷完了メールを含む買い物機能は通常通り使えるとしている。フューチャーショップも、本体のECサイトと管理画面は別の基盤で稼働していたため影響を受けていないとしている。

　ITコンサルティングと調査を手掛けるアイ・ティ・アール（ITR）の入谷光浩氏（取締役 プリンシパル・アナリスト）は、「復旧できない『7割の企業』で何が起きている？　ランサムウェア被害からの“復旧力”を考える」の中で、ITRが2025年3月に実施した調査で、ランサムウェアに感染した企業の47％はバックアップデータまで暗号化されていたと述べている。その上で、復旧は被害の把握から安全の確認、再稼働の判断までの一連のプロセスだと指摘している。

　JR東海は、今回の事象に便乗して同社や関係事業者を装った不審なメールやSMSの送信、電話が行われる恐れがあるとして注意を呼び掛けている。高島屋やビューカードも同様の注意喚起を出した。IDCフロンティアは、障害の影響を受けなかったゾーンとリージョンの調査を継続しており、新たに公表すべき事実が判明した場合は速やかに報告するとしている。

　IT部門は日頃から、自社のメール配信がどの委託先のどの基盤で動いているのか、そこに何をいつまで預けているのか、委託先のシステムが止まったときに翌日には自社サービスを再開できる体制が整っているかどうかをチェックしておきたい。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。