Масштабная атака вымогателей парализовала часть японской облачной платформы IDCF Cloud, от которой зависят сотни компаний и государственных учреждений. Пострадали 495 организаций, а оператор облака IDC Frontier предупредил, что восстановить данные на повреждённых серверах собственными силами, вероятно, не удастся. Клиентам без отдельных резервных копий грозит безвозвратная потеря информации.
Инцидент произошёл 7 октября около 03:40 по японскому времени. Злоумышленники проникли в инфраструктуру East Japan Region 1, одного из регионов облачной платформы, принадлежащей дочерней компании SoftBank. IDC Frontier подтвердила атаку с использованием программы-вымогателя и отключила повреждённые системы от сети, чтобы остановить дальнейшее распространение вредоносного ПО.
Наиболее серьёзные последствия затронули четыре зоны доступности под названиями tesla, henry, pascal и joule. Размещённые там виртуальные серверы остановились и больше не запускаются. IDC Frontier признала, что извлечь или восстановить хранящиеся на повреждённых площадках клиентские данные будет крайне сложно. По текущей оценке компании, вернуть информацию можно только из резервных копий, которые заказчики сохранили самостоятельно.
Пострадавшим организациям предложили разворачивать информационные системы заново на других площадках. Для клиентов, использующих две оставшиеся зоны первого восточного региона, другие восточные регионы и западный регион, подтверждённых случаев проникновения пока нет. Однако провайдер рекомендовал самостоятельно сохранить резервные копии и временно закрыл доступ к панелям управления во всех регионах. Пока проверки безопасности не завершены, инженеры IDC Frontier по запросам клиентов вручную выполняют операции с виртуальными машинами, включая запуск и остановку серверов.
Последствия атаки уже вышли далеко за пределы самого облачного провайдера. Японская железнодорожная компания JR East 9 октября предупредила о возможной компрометации персональных данных клиентов после взлома инфраструктуры IDC Frontier. Через пострадавшего подрядчика проходила рассылка электронных писем участникам сервиса бронирования билетов «Экинет» и программы лояльности «Клуб взрослых выходных». Под угрозой оказались соответственно около 1,67 млн и 390 тысяч записей.
Кроме электронных адресов, у участников программы лояльности могли раскрыться даты рождения, номера участников и сроки действия банковских карт. При этом JR East не обнаружила оснований считать, что злоумышленникам стали доступны имена, адреса, телефоны или полные номера карт. Дочерняя компания железнодорожного оператора View Card отдельно сообщила о риске утечки примерно 4,03 млн электронных адресов. Суммарно речь идёт приблизительно о 6,09 млн записей, хотя часть клиентов может присутствовать сразу в нескольких базах. Факт копирования информации злоумышленниками пока не подтверждён.
Наглядный пример последствий для бизнеса представила компания Six Apart, разработчик системы управления сайтами Movable Type. После отключения IDCF Cloud перестал работать 31 сервер облачной версии платформы, вместе с размещёнными на них сайтами и административными панелями. Компания признала, что восстановить повреждённые серверы в исходной инфраструктуре не получится. К 8 октября все 31 сервера перенесли в Sakura Cloud, использовав резервные копии, сделанные 7 октября в 01:00, незадолго до атаки. Копии хранились в Google Cloud, отдельно от повреждённой инфраструктуры. Такой подход позволил вернуть системы в работу, хотя изменения, внесённые после создания последней копии, могли не сохраниться.
Масштаб предполагаемых разрушений оказался ещё серьёзнее в сообщении, которое злоумышленники оставили прямо в административной консоли IDCF Cloud. Скриншоты интерфейса успели сохранить пользователи до отключения доступа. В обращении преступники утверждали, что им потребовалось всего семь минут, чтобы зашифровать инфраструктуру East Japan Region 1.
По утверждению атакующих, им удалось получить доступ к 239 гипервизорам, зашифровать все 225 хранилищ данных общим объёмом 3,6 петабайта, вывести из строя более 16 600 виртуальных дисков и уничтожить 554 153 снимка состояния систем. Злоумышленники также заявили о потере 41,5 петабайта ёмкости резервного хранения. IDC Frontier не подтвердила приведённые цифры, поэтому оценивать реальный масштаб разрушений по сообщению преступников пока нельзя.
Особенно опасным выглядит предполагаемый захват гипервизоров, программных компонентов, которые управляют виртуальными машинами на физических серверах. Получив контроль над таким уровнем инфраструктуры, атакующий потенциально способен вывести из строя сразу множество клиентских систем. Уничтожение снимков состояния дополнительно осложняет восстановление, поскольку администраторы теряют возможность быстро откатить повреждённые машины к предыдущему состоянию. Именно поэтому отдельные резервные копии, недоступные из скомпрометированной инфраструктуры, остаются одним из наиболее надёжных способов восстановления после атак вымогателей.
Пока неизвестно, каким способом преступники первоначально проникли в IDCF Cloud и использовали ли уязвимость конкретного программного продукта. Также не установлены название группировки, возможные требования выкупа и факт массового вывода клиентской информации за пределы облака. IDC Frontier привлекла внешних специалистов по информационной безопасности, проверяет серверы, сети и системы хранения в разных регионах. 7 октября компания создала антикризисный штаб, а 9 октября подтвердила, что восстановительные работы ведутся при технической и организационной поддержке материнской SoftBank. По состоянию на вечер 11 октября расследование и восстановление продолжались.
Одновременно в Японии возникли проблемы у логистической компании Nissui Logistics, входящей в крупную продовольственную группу Nissui. Из-за сбоя информационных систем предприятие приостановило приём и отправку товаров. Руководство предполагает, что причиной стал несанкционированный доступ к инфраструктуре стороннего дата-центра, и проверяет возможную утечку персональных и клиентских сведений. Однако подтверждений, что сбой Nissui Logistics связан именно со взломом IDCF Cloud, пока нет.
Атака на облачного провайдера произошла на фоне резкого роста числа других инцидентов в японском интернете. Специалист компании Macnica Ютака Сэдзияма проанализировал публичные сообщения о взломах веб-систем с кражей или раскрытием персональных данных. За 2024 год исследователь насчитал 62 подобных случая, за 2025 год зарегистрировал 84, а только за первые девять месяцев и шесть дней 2026 года зафиксировал уже 119. Причём 81 случай пришёлся на период с июля по 6 октября. Исследование охватывает определённую категорию атак и не включает инциденты с программами-вымогателями, поэтому статистика не доказывает связи между отдельными происшествиями.
По наблюдениям Сэдзиямы, преступники всё чаще ищут недостатки в проверке прав доступа, настройках аутентификации и программных интерфейсах API, а также эксплуатируют давно известные уязвимости. Раньше поиск индивидуальных ошибок на множестве небольших сайтов требовал значительных ресурсов. Исследователь предполагает, что доступные инструменты на базе ИИ могли удешевить и ускорить подобную работу, сделав даже малозаметные ресурсы привлекательными целями. Прямых доказательств применения ИИ при атаке на IDC Frontier нет.
Главная проблема для клиентов IDCF Cloud сейчас заключается не только в продолжительном простое. Даже после локализации атаки организациям предстоит заново развернуть приложения, вернуть данные и проверить безопасность восстановленных систем. Опыт Movable Type показывает, что независимые резервные копии позволяют восстановить работу на другой платформе, тогда как клиентам, полностью доверившим хранение и восстановление информации одному провайдеру, может оказаться просто неоткуда возвращать потерянные данные.
`