IDC Frontier attribue une attaque par rançongiciel à une faille dans un logiciel libre du portail IDCF Cloud

IDC Frontier indique que son enquête, menée avec un cabinet de sécurité externe, est terminée. Elle a porté sur la voie d'intrusion, les journaux d'accès et d'authentification, les programmes malveillants et les paramètres laissés par l'attaquant, ainsi que sur d'éventuelles traces de sortie de données. L'entreprise ne précise ni le nom du logiciel libre, ni sa version, ni une référence CVE.

Le portail reste hors ligne dans toutes les régions. IDC Frontier n'a pas donné de date pour le rétablissement complet du service et assure entre-temps certaines tâches du portail pour ses clients.

Comment l'attaquant a atteint la plateforme de virtualisation

Un tiers a exploité une vulnérabilité dans un logiciel libre utilisé par le système d'authentification du portail IDCF Cloud, selon l'entreprise. À partir de là, l'attaquant est passé par la console d'administration et a obtenu des privilèges d'administrateur sur la plateforme de virtualisation. Il a ensuite arrêté les serveurs virtuels des clients et chiffré les serveurs eux-mêmes.

IDC Frontier a déclaré à Nikkei xTECH qu'une version corrigée du logiciel était disponible plusieurs semaines avant l'incident et que l'attaque a eu lieu avant son application.

BleepingComputer a partagé une capture d'écran d'un message laissé sur la console de la plateforme. Le message affirmait que l'opération avait duré sept minutes et touché près de 240 hyperviseurs.

"October 7, 2026. Seven minutes. Exactly seven minutes is what it took to turn your entire East Japan Region one into ciphertext..."

Ce qui a été touché

IDC Frontier affirme que l'attaque a touché 495 entreprises et collectivités locales titulaires de contrats liés à l'environnement concerné. Les zones touchées étaient tesla, henry, pascal et joule. Le reste de la région East Japan Region 1, les autres régions, IDCF Cloud TypeS et IDCF Private Cloud n'ont pas été affectés au niveau du service.

La panne a commencé vers 03:40 JST le 7 octobre. IDC Frontier a identifié la cause comme une attaque par rançongiciel d'un tiers à 11:42 le même jour. L'entreprise a déconnecté les équipements de stockage dans les quatre zones et coupé les liens réseau entre le portail et l'extérieur dans toutes les régions.

Rétablissement et données de sauvegarde

Les données de sauvegarde par instantané peuvent désormais être récupérées pour 206 des clients touchés, contre 194 auparavant. Le chiffre de 194 datait du 14 octobre, lorsque l'entreprise avait confirmé la récupération pour les clients ayant utilisé la fonction d'instantané. Cela représente environ 42 % des clients touchés. IDC Frontier précise que la restauration des serveurs eux-mêmes n'est pas terminée et que la récupération des données stockées reste difficile.

L'entreprise a rétabli son service IDCF Cloud Backup le 18 octobre. Elle accompagne la migration vers d'autres environnements et la récupération des sauvegardes avec sa maison mère SoftBank Corp.

Données du portail

Des consultations non autorisées dans le portail ont touché les données d'enregistrement de jusqu'à 71 clients, contre 48 dans le rapport précédent. Pour jusqu'à 31 d'entre eux, ces données comprenaient des noms de personnes ou des adresses e-mail susceptibles d'en contenir. L'attaquant a modifié jusqu'à 4 mots de passe de connexion, que l'entreprise a depuis réinitialisés.

IDC Frontier affirme n'avoir trouvé aucune trace de sortie des informations consultées. Elle ne constate toujours aucune exfiltration de données depuis les serveurs virtuels des clients. Elle dit n'avoir eu aucun contact avec l'attaquant et n'avoir versé aucune rançon.

Ce qu'IDC Frontier prévoit de changer

IDC Frontier prévoit de remplacer le système d'authentification par le service d'un fournisseur d'identité externe, de limiter les connexions au portail aux adresses IP des clients et d'imposer l'authentification multifacteur. Elle compte aussi centraliser les données de configuration des logiciels et les comparer automatiquement aux informations sur les vulnérabilités. Elle fixera dans ses règles les plans d'évaluation et leur fréquence, logiciels libres inclus.