IDCFクラウド ― ランサムウェア攻撃で東日本リージョン1が停止

要点

発表された事実

IDCフロンティアは2026年10月7日13時52分の第1報で、クラウドサービス「IDCFクラウド」の一部システムが第三者の不正アクセスを受け、サービスの一部に障害が発生していると公表した。発生は同日午前3時40分頃、影響範囲は東日本第1リージョン（第1報）。
同日20時18分の第2報で、東日本リージョン1の障害は第三者からのランサムウェア攻撃によるものと判明したと公表した。影響範囲は「IDCFクラウドを契約している495の企業や自治体」で、対象の顧客には個別に連絡しているという（第2報）。
対応状況は「ネットワークの遮断およびシステムの停止（完了）」「侵入経路の特定と遮断（対応中）」「その他リージョンの安全性の確認（対応中）」。東日本リージョン1以外のリージョンでも、顧客が外部からアクセスできる管理コンソールを安全確認のため停止している（第2報）。
共同通信の配信記事によると、SNSでデータを暗号化したなどと主張する犯行声明のような画像が拡散しており、IDCフロンティアは「声明が出ていることは把握しているが、真偽を含めて調査中だ」と説明した。保存している情報が流出したかどうかなども調査中としている（カナロコ（共同通信））。
利用各社でサービス停止が相次いだ。シックス・アパートは10月8日の第2報で、「Movable Type クラウド版」のIDCFクラウド（東日本第1リージョン）上のサーバー31台について「IDCFクラウド上で復旧できる見込みがないことが判明」したとし、Google Cloudに保管していたバックアップ（10月7日午前1時時点）を使って「さくらのクラウド」へ移行・復旧を進めている（シックス・アパート第2報）。
報道によると、UDトークはIDCFクラウド側から「データの復元は難しい」との連絡を受けたと説明した（ITmedia NEWS）。
【2026-10-09追記】10月8日の第3報で、対象を東日本リージョン1の一部（teslaゾーン／henryゾーン／pascalゾーン／jouleゾーン）と明記した。この4ゾーンに保管されている顧客データは「取り出しや復元が困難な見通し」で、同社の現時点の見解では「データの復元はお客さま自身が保持しているバックアップデータからのみ可能」としている。4ゾーンの利用者には別環境を準備しての再構築を案内している。東日本リージョン1のradian・newtonゾーン、東日本リージョン2・3、西日本リージョン1では不正アクセスは確認されていないが、顧客自身でバックアップを取るよう案内している。監督省庁と警視庁に報告した（第3報）。
【2026-10-09追記】顧客向けの管理コンソールは止めたままで、顧客の要望に応じてIDCフロンティアが仮想サーバーの起動・停止を代行している。侵入経路の特定と遮断は、外部のセキュリティ専門企業と連携し、東日本・西日本の両リージョンを構成するネットワーク、サーバー、ストレージを対象に調査を続けている。IDCFクラウド TypeS（旧ホワイトクラウド ASPIRE）とIDCF プライベートクラウドは対象外（第3報）。
【2026-10-09追記】10月9日の第4報で、10月7日午前9時に緊急対策本部を設置し、親会社のソフトバンクと連携して対応していると公表した。顧客対応はソフトバンクの法人部門が窓口となり、バックアップ手順の案内と移行環境の提案を行う。調査・復旧はIDCフロンティアの技術部門がソフトバンクの技術部門の支援を受けて進め、外部のセキュリティ専門企業とも詳細を調べている（第4報）。
【2026-10-10追記】JR東日本とビューカードは10月9日、メール配信用の外部サービスに保存していた利用者の情報が、IDCフロンティアが7日に公表した不正アクセスにより第三者に閲覧・取得された可能性があると発表した。対象は「えきねっと」会員約167万件（メールアドレスのみ）、「大人の休日倶楽部」会員約39万件（メールアドレス、会員番号、クレジットカードの有効期限、生年月日）、ビューカードの会員サイト「VIEW’s NET」会員のメールアドレス約403万件の計約609万件。氏名・住所・電話番号・カード番号は含まれないとしている（ITmedia NEWS）。
【2026-10-11追記】JR九州も10月9日、IDCフロンティアで発生した不正アクセスに伴い、「JR九州Web会員」向けメール配信用の外部サービスに保存されていた電子メールログデータが閲覧または取得された可能性を否定できないと発表した。対象は最大約130万件で、漏えいの可能性がある個人情報は電子メールアドレスのみ。氏名・住所・電話番号・クレジットカード番号や、メールマガジンの件名・本文は対象外としている。JR九州メールマガジンは配信できない状態で、対象となる可能性のある会員には準備が整い次第お詫びのメールを送る（JR九州のお知らせ、ITmedia NEWS）。
【2026-10-11追記】Peach Aviationは10月9日、IDCフロンティアへの不正アクセスの影響で、搭乗に必要な予約番号を含む旅程表メールが一時届かない状態になっていたと発表した。代替のサーバーに切り替え、8日から順次送信している。不正アクセスを受けたサーバーには利用者の氏名や電話番号など約189万件が保存されていたが、現時点で個人情報の流出は確認されていないという（FNNプライムオンライン、読売新聞オンライン）。
【2026-10-10追記】ITmedia NEWSによると、攻撃者を名乗るメッセージが東日本リージョン向け管理コンソールに表示されたとする画像がXで拡散している。IDCフロンティアは同紙の取材に「今回の障害対象のIDCFクラウドのコンソール画面で表示されてしまっていたものと、同様と見受けられる画像は複数確認しております」と回答した。メッセージにある被害規模の数字（ハイパーバイザー239台、データストア225個の暗号化など）については「調査継続中」としている（ITmedia NEWS）。
【2026-10-13追記】イラストなどのスキルマーケット「SKIMA」は10月12日14時、IDCフロンティアの障害で10月7日3時40分から全サービスが止まっていた国内版を、一部機能を除いて再開した。購入履歴ややり取りなどのデータは破損なく復旧したとしている。姉妹サイト（海外版など）は復旧作業を続けている。SKIMAは、IDCFクラウドから「情報漏洩の形跡は確認されていない」との回答を受けたと説明し、本人確認書類やクレジットカード情報はIDCFクラウド上に保管していなかったとした（SKIMAのお知らせ）。
【2026-10-14追記】IDCフロンティアは第5報で、被害を受けた東日本リージョン1の4ゾーン（tesla／henry／pascal／joule）について、顧客の仮想サーバー内データの照会や外部への持ち出しを示す痕跡は確認されず、本件に起因する情報の不正利用や二次被害も現時点で確認されていないとし、「外部へのデータの流出はなかった」と判断したと公表した。ほかのゾーン・リージョンは障害の影響はないが安全性確認のため調査継続。バックアップについては、スナップショット機能を使っていた194の顧客について取り出しが可能と確認し、復元の可否と提供方法を個別連絡中。また、IDCFクラウドポータルで48社の登録情報（企業名、ログインID、パスワードのハッシュ値、通知先メール、月額利用料金の合計など）が不正に照会されたことを確認した。うち2社（各1件）のメールアドレスに担当者の個人名を含む可能性があり、外部への持ち出し痕跡は確認されていない。対象社には個別連絡している（第5報）。
【2026-10-15追記】総合スーパー「ゆめタウン」などを展開するイズミは10月14日、会員向けメールマガジン配信を委託している事業者が利用するクラウドサービスの提供会社としてIDCフロンティアからランサムウェア攻撃の連絡を受け、確認したところ当該環境に「ゆめオンライン」「ゆめデリバリー」のメールマガジン配信に使う顧客の氏名とメールアドレスが保管されていたと公表した。対象は最大約40万件で、情報は暗号化されている。漏えい・不正利用の事実は確認されていないが、可能性を完全に否定できないとして調査を続ける。住所、電話番号、クレジットカード番号は対象外で、対象者には準備が整い次第お詫びのメールを送る（イズミのお知らせ）。
【2026-10-17追記】日経クロステック（10月16日）によると、IDCフロンティアは取材に「攻撃の侵入経路は特定できた」と答えたが、「具体的な内容はセキュリティーの観点から公表しない」としている。スナップショットが被害を免れた理由と、4ゾーンの仮想サーバー内データが暗号化されたかどうかは明らかにしていない。スナップショットを使っていなかった残る301の企業・自治体のデータについて、第5報は言及していないという（日経クロステック）。
【2026-10-19追記】JR東日本とビューカードは10月15日、10月9日のお知らせを更新し、IDCフロンティアからの報告を受けたメール配信用外部サービスの会社から、「えきねっと」会員・「大人の休日倶楽部」会員の個人情報と、「VIEW’s NET」登録会員のメールアドレスについて「漏えいがなかったと判断した」との報告を受けたと発表した（JR東日本、ビューカード）。朝日新聞によると、JR東海（2つのECサイトで計約1万5千件）とJR九州（Web会員約130万件）も、それぞれIDCフロンティアから「個人情報の漏えいの事実は確認されなかった」との報告を受けたとしている（朝日新聞）。
【2026-10-19追記】IDCフロンティアは10月18日の第6報で、不正アクセスを受けて止めていた「IDCFクラウドバックアップ」について、安全性の確認が完了したとして提供を再開すると発表した。仮想サーバーを使い続けている東日本リージョン1（radian／newtonゾーン）、東日本リージョン2・3、西日本リージョン1の顧客は、バックアップデータを速やかに取得でき、IDCFクラウド以外のクラウドやオンプレミスにも復元できる。「スナップショット機能」は安全性確認のため停止を続けている（第6報）。
【2026-10-20追記】ニッスイは10月20日の第4報で、グループ会社の日水物流が同日、全17拠点で通常の入出荷業務に移行したと発表した。ニッスイグループは今後、外部委託先を含めた情報セキュリティ対策とリスク管理を強化し、システム障害を見越した早期復旧・事業継続の体制も強化するとしている（ニッスイ第4報）。
【2026-10-28追記】IDCフロンティアは10月27日の第7報で、外部のセキュリティ専門企業と進めてきた一連の調査が完了したと公表した。第三者は、顧客が仮想サーバーの起動や請求情報の確認に使う「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性を突いて認証システムに侵入し、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得したうえで、顧客の仮想サーバーを停止し、仮想サーバー自体を暗号化した。脆弱性があったソフトウェアの名前は書かれていない（第7報）。
【2026-10-28追記】第7報は、攻撃を受けた4ゾーンの仮想サーバー内データについて、外部への持ち出しを示す痕跡や裏付ける事実はなく、流出はなかったとした。影響を受けていないゾーンとほかのリージョンも調査し、外部流出を示す事実は確認されていない。本件による情報の不正利用や二次被害も、現時点で確認されていない（第7報）。
【2026-10-28追記】ポータルの登録情報への不正な照会は、第5報の48社から最大71社に広がった。うち最大31社（31件）に個人名や個人名を含む可能性のあるメールアドレスなどが含まれる。持ち出しの痕跡は確認されていない。最大4件のログインパスワードが不正に変更されており、リセットして対象の顧客に個別に連絡した（第7報）。
【2026-10-28追記】バックアップデータを取り出せる顧客は194から206に増えた。同社は攻撃者と接触しておらず、身代金の支払いや交渉は一切していないとした。再発防止策として、セキュリティを専門に管理する独立組織を設けたほか、脆弱性診断の対象をオープンソースソフトウェアにも広げ、ソフトウェア構成情報を全社で一元管理（SBOM化）して脆弱性情報との突合を自動化する（第7報）。
【2026-10-28追記】ポータルは外部から遮断して停止を続け、新しい環境での再構築、全サーバーの認証情報の変更、認証システムの外部IdP（認証を専門に扱う事業者のシステム）への切り替え、接続元を顧客のIPアドレスに限定したうえでの多要素認証の必須化を進める。再開までは、主要な機能を同社が代行し（第1段階、実施中）、次に全機能を代行し（第2段階）、最後に顧客自身が操作できる形で再開する（第3段階）。再開時期は示されていない（第7報）。

わかったこと

【2026-10-14】被害4ゾーンの仮想サーバー内データについて、IDCフロンティアは外部持ち出しの痕跡がなく流出はなかったと判断した（第5報）。
【2026-10-14】スナップショット機能利用の194社はバックアップデータの取り出しが可能（同）。
【2026-10-14】ポータルで48社の登録情報が不正照会された（うち2社のメールに個人名を含む可能性。持ち出し痕跡なし）（同）。
【2026-10-16】侵入経路は特定できたが、内容は公表しない方針（IDCフロンティア広報、日経クロステック）。
【2026-10-15】JR東日本・ビューカードは、メール配信用外部サービスの会社から、えきねっと・大人の休日倶楽部・VIEW’s NETの計約609万件について「漏えいがなかったと判断した」との報告を受けた（JR東日本、ビューカード）。報道ではJR東海・JR九州も同様の報告を受けた（朝日新聞）。
【2026-10-18】「IDCFクラウドバックアップ」は安全性確認を終えて提供再開。スナップショット機能は停止継続（第6報）。
【2026-10-20】利用者のうち日水物流は、10月20日に全17拠点で通常の入出荷業務に移行した（ニッスイ第4報）。
【2026-10-27】侵入の起点は「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性。攻撃者は管理コンソール経由で仮想化基盤の管理者権限を取得し、仮想サーバーを停止・暗号化した（第7報）。
【2026-10-27】一連の調査が完了。仮想サーバー内データの外部流出はなく、影響を受けていないゾーンとほかのリージョンでも流出を示す事実は確認されていない（第7報）。
【2026-10-27】ポータルの登録情報への不正照会は最大71社（うち個人名などを含むもの最大31件）。不正に変更されたログインパスワードは最大4件で、リセット済み（第7報）。
【2026-10-27】攻撃を受けた4ゾーンの495社のうち、バックアップデータを取り出せるのは206社。同社は攻撃者と接触しておらず、身代金の支払いや交渉はしていない（第7報）。

わかっていないこと

攻撃者と、拡散している犯行声明の真偽（【2026-10-10追記】管理コンソールに表示された画像が存在することはIDCフロンティアが認めたが、書かれた被害規模などの内容は調査中としている）（【2026-10-28追記】第7報でも攻撃者は特定されていない。同社は攻撃者と接触しておらず、身代金の支払いや交渉はしていないとした）
「IDCFクラウドポータル」（管理コンソール）の再開時期（【2026-10-28追記】第7報で、ほかのゾーン・リージョンでもデータの外部流出を示す事実は確認されていないとした。ポータルは3段階で再開する計画だが、時期は示されていない）
脆弱性があったオープンソースソフトウェアの名前（第7報は公表していない）

関係しそうな既知の手口

（考察）仮想化基盤やその管理サーバーを直接暗号化する手口は、1台ずつ暗号化するより少ない操作で多数の仮想マシンを止められるため、近年のランサムウェアで多用されている。10月2日の大阪公立大学も仮想化基盤が狙われたと報じられている。本件の侵入経路や暗号化された層は公表されていない。

概要

ソフトバンク子会社のIDCフロンティアが提供する法人向けクラウド「IDCFクラウド」の東日本リージョン1が、10月7日未明からランサムウェア攻撃で止まった。
影響は契約する495の企業・自治体に及び、自治体のWebサイト、SaaS、物流システムなど、分野を問わず停止や障害の公表が相次いだ。
侵入経路と情報流出の有無は調査中。利用者側では、IDCFクラウドの外に置いていたバックアップの有無で、復旧の見通しが分かれている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-07（水）3:40頃	IDCFクラウドの東日本リージョン1で障害が発生（IDCフロンティア第1報・第2報）。報道によると監視アラートで検知した（毎日新聞）
2026-10-07 8:00頃	茨城県に、ソフトバンクから「午前4時ごろに東日本にあるデータセンターのサーバーの電源が落ちた」と連絡（毎日新聞による県の説明）
2026-10-07 朝〜	茨城県・同県警、東京都小平市、Jリーグクラブなどで、Webサイトが閲覧できない状態に（毎日新聞、ITmedia NEWS）
2026-10-07 9:00	IDCフロンティアが緊急対策本部を設置（第4報）
2026-10-07 13:52	IDCフロンティアが第1報。第三者の不正アクセスで一部に障害、影響範囲は東日本第1リージョン
2026-10-07 15:30	シックス・アパートが、Movable Type クラウド版のサーバー31台で管理画面と公開サイトにアクセスできないと公表
2026-10-07 17:30頃	はてなが予防措置として、MackerelのIDCFクラウド連携機能（IDCF Free／Free+プランのAPIキーによるアクセスとIDCFクラウドアカウントでのログイン）を一時停止
2026-10-07	ニッスイが、グループ会社の日水物流でシステム障害が起き、商品の入出荷ができないと公表。原因は「委託先のデータセンターへの第三者による不正アクセスとみられる」
2026-10-07 20:08	ITmedia NEWSが、取材に対しIDCフロンティアが「ランサムウェア攻撃」と回答したと報道
2026-10-07 20:18	IDCフロンティアが第2報。ランサムウェア攻撃と判明、影響範囲は契約する495の企業や自治体。リージョン1は遮断・停止済み、他リージョンも管理コンソールを停止
2026-10-08（木）9:00	シックス・アパートが第2報。31台はIDCFクラウド上で復旧の見込みがなく、10月7日1時時点のバックアップでさくらのクラウドへ移行・復旧を進める。IDCFクラウドプランの新規受付を当面停止
2026-10-08	IDCフロンティアが第3報。対象はtesla・henry・pascal・jouleの4ゾーンで、そこに保管された顧客データは取り出し・復元が困難な見通し。復元は顧客自身のバックアップからのみ可能との見解。監督省庁と警視庁に報告
2026-10-09	ニッスイが第2報。委託先をIDCフロンティアと明記し、日水物流の入出荷業務を同日から一部再開。被害サーバーにグループ管理の個人情報・顧客情報は含まれないと確認（ニッスイ）
2026-10-09	IDCフロンティアが第4報。7日9時に緊急対策本部を設置し、ソフトバンクの法人部門・技術部門と連携して顧客対応と調査・復旧を進めていると公表
2026-10-09	JR東日本とビューカードが、メール配信用の外部サービスに保存していた「えきねっと」「大人の休日倶楽部」「VIEW’s NET」の利用者情報計約609万件が閲覧・取得された可能性があると公表。3サービスで会員向けメール配信に一部支障（ITmedia NEWS）
2026-10-09	JR九州が、JR九州Web会員向けメール配信用の外部サービスに保存されていたメールアドレス最大約130万件が閲覧・取得された可能性があると公表。メールマガジンは配信停止中（JR九州）
2026-10-09	Peach Aviationが、旅程表メールが一時届かなかったと発表。氏名や電話番号など約189万件が保存されたサーバーが影響を受けたが、流出は確認されていないとした（FNN）
2026-10-09	ITmedia NEWSが、管理コンソールに表示された攻撃者のメッセージとされる画像について報道。IDCフロンティアは同様の画像を複数確認していると回答し、内容は調査継続中とした
2026-10-12 14:00	SKIMAが国内版を一部機能を除いて再開。データは破損なく復旧し、IDCFクラウドから情報漏洩の形跡は確認されていないとの回答を受けたと説明（SKIMA）
2026-10-14	IDCフロンティアが第5報。被害4ゾーンの仮想サーバー内データの外部持ち出し痕跡はなく流出はなかったと判断。スナップショット利用の194社はバックアップ取り出しが可能。ポータルで48社の登録情報が不正照会（持ち出し痕跡なし）（第5報）
2026-10-14	イズミが、メールマガジン配信の委託先が使うIDCFクラウドに「ゆめオンライン」「ゆめデリバリー」の氏名・メールアドレス最大約40万件（暗号化済み）が保管されていたとして、漏えいの可能性を公表（イズミ）
2026-10-16	日経クロステックが、IDCフロンティアが侵入経路を特定したが内容は公表しないと回答したと報道（日経クロステック）
2026-10-15	JR東日本・ビューカードが、配信サービス会社から「漏えいがなかったと判断した」との報告を受けたとお知らせを更新（JR東日本、ビューカード）。JR東海・JR九州も同様の報告を受けたと報道（朝日新聞）
2026-10-18	IDCフロンティアが第6報。「IDCFクラウドバックアップ」の提供を再開。スナップショット機能は停止継続（第6報）
2026-10-20（火）	ニッスイが第4報。日水物流が全17拠点で通常の入出荷業務に移行したと発表（ニッスイ第4報）
2026-10-27（火）	IDCフロンティアが第7報で一連の調査の完了を公表。侵入の起点はポータルの認証システムで使っていたオープンソースソフトウェアの脆弱性で、管理コンソール経由で仮想化基盤の管理者権限を取得されたと判明。仮想サーバー内データの流出はなし。ポータルの不正照会は最大71社に拡大、バックアップを取り出せる顧客は206に（第7報）

【2026-10-09追記】第3報・第4報の公表時刻は記載されていない（日付のみ）。

発表内容の整理

事実（IDCフロンティア）

項目	第2報の内容
発生日時	2026年10月7日（水）午前3時40分頃から継続中
影響範囲	IDCFクラウドを契約している495の企業や自治体（対象には個別に連絡）
原因	第三者からのランサムウェア攻撃
対応（完了）	二次被害やデータ漏えいを防ぐため、東日本リージョン1をネットワークから遮断し、システムを停止
対応（対応中）	侵入経路の特定と遮断／その他リージョンの安全性の確認
他リージョン	顧客が外部からアクセスできる管理コンソールを停止中。安全が確認でき次第再開予定

【2026-10-09追記】第3報・第4報で加わった内容は次のとおり（第3報、第4報）。

項目	第3報・第4報の内容
対象	東日本リージョン1の一部（teslaゾーン／henryゾーン／pascalゾーン／jouleゾーン）
発生事象	仮想サーバーの停止、仮想サーバーの再起動不可
4ゾーンのデータ	取り出しや復元が困難な見通し。復元は顧客自身が保持するバックアップからのみ可能（同社の現時点の見解）。別環境での再構築を案内
ほかのゾーン・リージョン	radian・newtonゾーン、東日本リージョン2・3、西日本リージョン1では不正アクセスは未確認。顧客自身によるバックアップ取得を案内し、取得手法を順次案内
管理コンソール	停止中。顧客の要望に応じて仮想サーバーの起動・停止を代行
調査	外部のセキュリティ専門企業と連携し、東日本・西日本両リージョンのネットワーク・サーバー・ストレージを調査中。侵入経路は調査中
体制	10月7日9時に緊急対策本部を設置。ソフトバンクの法人部門が顧客窓口、技術部門が調査・復旧を支援
報告	監督省庁と警視庁に報告（第3報）。第4報では「監督省庁や警察などの各機関」への報告・相談を進めているとした
対象外	IDCFクラウド TypeS（旧ホワイトクラウド ASPIRE）、IDCF プライベートクラウド

ITmedia NEWSによると、東日本リージョン1は福島県白河市のデータセンターにあり、IDCFクラウドは東日本に3つ、西日本に1つのリージョンを持つ（ITmedia NEWS）。

【2026-10-28追記】第7報（調査完了）の内容は次のとおり（第7報）。

項目	第7報の内容
侵入経路	「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性（ソフトウェア名は非公表）
攻撃の流れ	認証システムに侵入し、管理コンソール経由で仮想化基盤の管理者権限を不正取得。仮想サーバーを停止し、仮想サーバー自体を暗号化
影響範囲	東日本リージョン1のtesla・henry・pascal・jouleゾーンを使う495の企業・自治体
仮想サーバー内データ	外部流出なし。影響を受けていないゾーン・リージョンでも流出を示す事実は未確認
ポータル登録情報	最大71社に不正照会、うち個人名などを含むもの最大31件。持ち出し痕跡なし。ログインパスワード最大4件が不正に変更され、リセット済み
復旧支援	バックアップデータを取り出せる顧客は206。ソフトバンクと連携し、代替環境への移行を支援
攻撃者への対応	接触しておらず、身代金の支払いや交渉は一切していない
再発防止	セキュリティ専門の独立組織を設置（対応済み）。脆弱性診断の対象をオープンソースソフトウェアに拡大、ソフトウェア構成情報の一元管理（SBOM化）と脆弱性情報との突合の自動化
ポータルの再開	新環境で再構築、全サーバーの認証情報の変更、外部IdPへの切り替え、接続元IP制限と多要素認証の必須化。操作の代行（2段階）を経て再開。時期は未定

事実（利用者側の公表）

組織	公表された影響と状況
シックス・アパート（Movable Type クラウド版）	東日本第1リージョンのサーバー31台で管理画面・公開サイトにアクセス不可。バックアップは全サーバー分をIDCFクラウドとは別のGoogle Cloudに7世代のデイリーで保管。31台はIDCFクラウド上で復旧の見込みがなく、10月7日1時時点のバックアップでさくらのクラウドへ移行中。ほかのIDCFクラウドプランの環境でもプラン変更、MT8→MT9のアップグレード、サンドボックス作成ができない（第1報、第2報）
UDトーク（Shamrock Records）	「トークを公開」機能、管理ツール、単語登録の追加・更新が使えない。音声認識サーバーは正常で、単体での音声認識は使える。IDCFからは復旧の目処が立っていないと連絡を受けた（UDトーク）。報道によると、IDCF側から「データの復元は難しい」と連絡を受け、別のクラウド基盤で再構築する方針（ITmedia NEWS）
フーバーブレイン	「Eye“247”」の3サービスでマネージャー機能に影響。IDCFクラウドは通信経路としての利用のみで、データベースは他のクラウド事業者に保管しており、情報漏えい等の被害はないと判断。クライアント側の機能は稼働している（フーバーブレイン）
はてな（Mackerel）	Mackerel本体への不正アクセスは確認されていないとしたうえで、予防措置としてIDCF連携プランのAPIキーによるアクセスとIDCFクラウドアカウントでのログインを停止。新しいAPIキーを発行して差し替えれば監視を続けられる（Mackerelブログ）
ネットアシスト（運用代行）	ベンダーの公式発表前と断ったうえで、東日本リージョン1の管理画面に不審な英語メッセージが表示されていると顧客に報告。tesla／henry／pascal／jouleの4ゾーンでサーバー通信が不安定または不通（ネットアシスト）
JR東日本・ビューカード	【2026-10-10追記】メール配信用の外部サービスに保存していた利用者情報が閲覧・取得された可能性。えきねっと約167万件（メールアドレスのみ、ビジネスえきねっとは対象外）、大人の休日倶楽部約39万件（メールアドレス、会員番号、カードの有効期限、生年月日）、VIEW’s NET約403万件（メールアドレス）。3サービスで会員向けメール配信に一部支障。対象者には個別にメールで通知する方針（ITmedia NEWS）
JR九州	【2026-10-11追記】「JR九州Web会員」向けメール配信用の外部サービスが一部使えず、JR九州メールマガジンが配信できない。電子メールログデータが閲覧・取得された可能性があり、対象は最大約130万件（メールアドレスのみ）。氏名・住所・電話番号・カード番号、メールマガジンの件名・本文は対象外（JR九州）
Peach Aviation	【2026-10-11追記】予約番号を含む旅程表メールが一時届かなかった。代替サーバーに切り替えて8日から順次送信。氏名や電話番号など約189万件が保存されたサーバーが不正アクセスを受けたが、現時点で流出は確認されていない。運航への影響はないと報じられている（FNNプライムオンライン、TBS NEWS DIG、読売新聞オンライン）
ニッスイ（日水物流）	日水物流で入出荷ができない。原因は委託先データセンターへの不正アクセスとみられる。個人情報・顧客データの流出は確認中（ニッスイ）。ニッスイは委託先の名前を出していないが、報道によると日水物流はIDCフロンティアのサービスを利用している（ITmedia NEWS）。【2026-10-12追記】10月9日の第2報で、委託先を「株式会社IDCフロンティア」と明記したうえで、同日から一部の入出荷業務を再開したと発表した。被害を受けたサーバーにニッスイグループが管理する個人情報や顧客情報は含まれないことを確認したという。全面復旧の見通しは改めて知らせるとしている（ニッスイ第2報）。時事通信によると、7日以降は全17拠点で入出荷ができない状態だった（時事通信／dメニューニュース）。【2026-10-20追記】10月20日の第4報で、日水物流は同日、全17拠点で通常の入出荷業務に移行したと発表した（ニッスイ第4報）
茨城県・栃木県・小平市など	茨城県のHPが閲覧できず、県は電話で個別に対応。栃木県はHPの運営業者から「IDCFクラウドの障害に伴うトラブル」と説明を受けた。小平市は業者から「HPの管理機能を置いているデータセンターで不具合」と連絡を受けたが、IDCFクラウドの障害かは明らかにしていない（毎日新聞）。piyologがまとめた報道によると、茨城県への補助金申請などの手続きは別サイト「いばらき電子申請・届け出サービス」で受け付けている（piyolog）

このほか、グリニッジ（在庫管理ツールなど）、SKIMA、日本バスケットボール協会、ラジオ関西、JRA-VAN Worldなども7日にサービスやWebサイトの障害を案内した。IDCFクラウドとの関連を明記していない組織も多い（ITmedia NEWS）。

考察

第2報の「495の企業や自治体」は、東日本リージョン1の顧客数なのか、他リージョンで管理コンソールが止まっている顧客も含むのかが文面からは読み取れない。自治体のHPや物流の入出荷のように、利用者が委託先の委託先としてIDCFクラウドを使っていた例も多く、自分が影響を受けているかを公表文だけでは判断しにくい状況になっている。

ほかのリージョンについては、仮想マシンそのものではなく「外部からアクセス可能な管理コンソール」を止めている。顧客の操作窓口を閉じるという判断は、侵入経路が管理系（コンソールやAPI、それを支える認証）にある可能性を排除できていないことを示していると読める。ネットアシストが管理画面に不審な英語メッセージを確認したと報告している点も、管理系に攻撃者の手が届いていた可能性と整合する。ただし、IDCフロンティアは侵入経路を公表していない。

【2026-10-10追記】JR東日本・ビューカードの公表で、利用者側から初めて大規模な情報流出の可能性が示された。注目したいのは、両社が直接IDCFクラウドを使っていたのではなく、「メール配信用の外部サービス」に情報を預けていて、その外部サービスがIDCFクラウド上にあったと読める点だ（考察）。利用者は自分がどのサービスの委託先の基盤に載っているかを知りようがなく、委託の連鎖の深いところで起きた事故がそのまま顧客情報の流出につながる。管理コンソールに攻撃者のメッセージが表示されていたことをIDCフロンティアが事実上認めたことで、攻撃者が少なくとも顧客向けの管理画面に手を入れられる立場にあったことは確からしくなった（考察）。ただし、メッセージにある数字や「7分で暗号化した」という主張は攻撃者の言い分で、事業者は確認していない。

【2026-10-11追記】JR九州とPeachの公表で、IDCFクラウド上にあったのが本体のシステムではなく「メール配信」の仕組みだった例がさらに増えた。JR東日本・ビューカードと合わせると、鉄道・航空の大手が会員向けメールを同じ基盤の上の配信サービスに載せていたことになる（考察）。メールの送信ログには宛先のメールアドレスが大量に残るため、配信システムが止まるだけでなく、ログそのものが漏えいの対象になる。Peachのように「保存されていたが流出は確認されていない」とする組織と、JR各社のように「可能性を否定できない」とする組織で表現が分かれているのは、IDCフロンティア側から持ち出しの有無についての調査結果が出ていないためとみられる（考察）。

【2026-10-09追記】第3報で、事業者として4ゾーンのデータを戻せる見込みがほぼないと明言したことで、利用者にとっての論点は「いつ戻るか」から「自分の手元に戻せるバックアップがあるか」に移った。事業者の基盤内のスナップショットやバックアップも同じ攻撃で使えなくなったと読めるが、どの層が暗号化されたかは公表されていない（考察）。一方で、調査範囲を西日本リージョンを含む全体のネットワーク・サーバー・ストレージとしており、不正アクセスが未確認のリージョンの利用者にもバックアップの取得を求めている点は、侵入経路が特定されるまで他リージョンの安全を言い切れない状況を示していると読める（考察）。

【2026-10-14追記】第5報で、事業者は「仮想サーバー内データの外部流出はなかった」と初めて明言し、第3報時点では困難と見ていたスナップショット由来のバックアップについて、194社分は取り出せると修正した。一方で、ポータル上の48社の登録情報が不正照会されたことは、管理系への到達があったことを示している（考察）。JR東日本・ビューカードやJR九州が「閲覧・取得の可能性」と公表したメール配信用データの扱いと、第5報の「仮想サーバー内データ」の範囲が同じかどうかは、文面だけでは切り分けられない。利用者側の公表が第5報でどう更新されるかは続報を待つ。

【2026-10-15追記】イズミは第5報と同じ10月14日に公表し、「漏えいおよび不正利用の事実は確認されていない」としつつ「可能性を完全に否定することができない」とした。第5報の「流出はなかった」という判断が出た後も、利用者側は可能性を残す書き方を選んでいる。メール配信の委託先を経由した「委託先の委託先」の例が、JR東日本・ビューカード、JR九州に続いて小売りにも広がった（考察）。

関係しそうな既知の手口

考察

仮想化基盤ごとの暗号化：ハイパーバイザーや仮想化の管理サーバーを暗号化すると、上で動く多数の仮想マシンを一度に止められる。大阪公立大学でも仮想化基盤への侵入とバックアップの暗号化が報じられた。クラウド事業者の基盤で同じことが起きると、被害は1組織ではなく、その基盤を共有する全顧客に広がる。
管理系の認証情報の奪取：基盤の運用に使う管理アカウントや管理ネットワークに入られると、通常の顧客ごとの分離が意味を持たなくなる。本件で管理系が使われたかは公表されていないが、他リージョンの管理コンソール停止はこの経路を警戒した措置とみられる。
「委託先の委託先」の集中：Web制作会社や運用代行が、複数の自治体や企業のサイトを同じクラウドに載せていると、利用者は自分の環境がどのクラウドにあるかを把握していないことがある。今回、事業者名を出さずに「データセンターの障害」「サーバー管理会社の不具合」と説明した公表が多かったのはこのためと考えられる。

利用者・運用者がいまできること

事実（各社の発表に基づく）

IDCFクラウドの利用者は、IDCフロンティアからの個別連絡と公式ニュースを確認する。他リージョンの管理コンソールは安全確認後に再開予定とされている。
【2026-10-09追記】tesla・henry・pascal・jouleゾーンの利用者は、IDCFクラウド上のデータが戻ることを前提にせず、自分で持っているバックアップから別環境で再構築する（第3報の案内）。それ以外のゾーン・リージョンの利用者も、自分でバックアップを取るよう案内されている。管理コンソールが止まっている間の仮想サーバーの起動・停止は、IDCフロンティアに依頼すれば代行される。
MackerelをIDCF連携プランで使っている場合、従来のAPIキーは止められている。監視を続けるには新しいAPIキーを発行し、mackerel-agentなどの設定を差し替える。IDCFクラウドアカウントでのログインも止まっているため、パスワードでログインする（必要ならパスワードリセット）。

考察（クラウドを使う組織向け）

自社のサイトやシステムが、どの事業者の、どのクラウドの、どのリージョンで動いているかを、委託先・再委託先まで含めて一覧にしておく。今回のように事業者名が出ない障害では、それがないと影響の有無すら判断できない。
バックアップは、同じクラウド・同じリージョンの中だけに置かない。シックス・アパートはGoogle Cloudに7世代のバックアップを持っていたため、IDCFクラウドで復旧できなくても前日深夜の時点に戻して別の基盤へ移せた。UDトークのように事業者側で「復元は難しい」となった場合、事業者のスナップショットやバックアップ機能だけに頼る構成は助けにならない。
別基盤への移し替えを想定し、IPアドレスやDNSの切り替え手順、移行先の候補を事前に決めておく。シックス・アパートも、移行ではIPアドレスが変わると案内している。
東日本リージョン1上に、ほかのサービスの認証情報（APIキー、データベースのパスワード、クラウドのアクセスキーなど）を置いていた場合は、流出の有無が判明する前でも再発行・差し替えを検討する。Mackerelが自社側でAPIキーを止めたのも同じ考え方による。

考察（自治体・公共機関向け）

住民向けの手続きは、茨城県のように別システム（電子申請）で受け付けられれば、HPが止まっても全面停止は避けられる。告知用のHPと手続き用のシステムを同じ基盤に集めない、障害時の告知手段（SNSなど）を決めておく、といった備えが効く。

参考リンク

原文をGitHubで読む ↗