Атака вымогателей на японскую платформу IDCF Cloud оставила без доступа к облачной инфраструктуре 495 компаний и местных органов власти. Инцидент в одном регионе превратился в проблему для всей платформы: оператор отключил клиентские консоли во всех регионах, пока проверяет, не успели ли злоумышленники закрепиться шире.
Сбой начался 7 октября в 03:40 по местному времени в кластере East Japan Region 1. IDC Frontier — оператор IDCF Cloud и дочерняя структура SoftBank Group — сообщил, что остановил сеть и системы затронутого сегмента, чтобы не дать атаке распространиться. Как пишет BleepingComputer, компания ищет точку первоначального проникновения, оценивает масштаб ущерба и параллельно проверяет остальные регионы.
IDCF Cloud — это IaaS-платформа: виртуальные серверы, хранилища и сети, на которых клиенты запускают сайты, приложения и внутренние бизнес-системы в японских дата-центрах. Поэтому остановка затрагивает не один сервис с красивой статус-страницей, а набор зависимостей: виртуальные машины, администрирование, резервные копии, доступы команд эксплуатации и процессы у конечных заказчиков.
Перед тем как клиентов заблокировали в консолях управления, они увидели сообщение от атакующих. В нём заявлено о компрометации инфраструктуры East Japan Region 1 за семь минут. Эти цифры пока не подтверждены оператором, но заявка выглядит тревожно: злоумышленники утверждают, что зашифровали 225 баз данных объёмом 3,6 ПБ, получили доступ к 239 гипервизорам, заблокировали диски 16 тысяч виртуальных машин и удалили 554 153 снимка состояния.
Именно последняя деталь особенно неприятна для облачных команд. Снимки состояния часто воспринимают как быстрый и почти автоматический путь к восстановлению. Но если резервные копии находятся в том же контуре управления, что и рабочие ресурсы, атакующий с правами администратора может уничтожить и этот план «Б». Изолированные копии, отдельные учётные записи, неизменяемое хранение и регулярная проверка восстановления выглядят скучно ровно до первого такого утра.
Прямой связи с этим эпизодом пока не установлено, но накануне японская Nissui Corporation сообщила об остановке систем у своей логистической «дочки» Nissui Logistics из-за предполагаемого несанкционированного доступа к стороннему дата-центру. Отгрузки и приём товаров были приостановлены; компания также проверяет возможную утечку персональных и клиентских данных. Для бизнеса это наглядное напоминание: инцидент у провайдера быстро перестаёт быть чужой технической проблемой и становится срывом операционных процессов.
Атака вымогателей произошла на фоне заметного роста киберинцидентов в Японии. Исследователь Macnica Ютака Сэйдзияма сообщил изданию, что с начала года компания зафиксировала 119 случаев, связанных с кражей или раскрытием персональных данных; 83 из них пришлись на период с 1 июля по 6 октября. За весь 2025 год по той же методике было 84 инцидента, а за 2024-й — 62.
По оценке Macnica, злоумышленники ищут ошибки контроля доступа, конфигурации и аутентификации в сайтах и API, а затем используют уже известные уязвимости. То есть речь часто не о неизвестной «магической» дыре, а о патче, который откладывали, сервисном аккаунте с лишними правами или административной панели, доступной не тем людям. Дешёвые и достаточно сильные ИИ-инструменты могут сделать массовую разведку таких слабых мест быстрее и дешевле, снижая порог для атак на менее заметные цели.
Для российских разработчиков, IT-директоров и команд, работающих с облаками, полезный вывод не географический, а архитектурный: надо заранее знать, что произойдёт при отключении консоли провайдера и потере части снимков. Нужны проверенные процедуры восстановления, карта критичных сервисов, независимые каналы доступа и ясное распределение ответственности между клиентом и облаком. Вопрос после IDCF Cloud звучит не «есть ли у нас бэкапы», а выдержит ли их контур управления ту же атаку вымогателей, что и продакшен.