IDC Frontier podała, że luka w oprogramowaniu open source portalu IDCF Cloud doprowadziła do ataku ransomware

IDC Frontier podała, że śledztwo prowadzone wspólnie z zewnętrzną firmą bezpieczeństwa jest zakończone. Objęło drogę wtargnięcia, logi dostępu i uwierzytelniania, złośliwe programy i ustawienia pozostawione przez napastnika oraz ślady danych wychodzących z systemu. Firma nie ujawniła nazwy oprogramowania open source, jego wersji ani numeru CVE.

Portal nie działa w żadnym regionie. IDC Frontier nie podała terminu przywrócenia pełnej usługi i na razie wykonuje za klientów najważniejsze zadania w portalu.

Jak napastnik dotarł do platformy wirtualizacji

Według firmy osoba trzecia wykorzystała podatność w oprogramowaniu open source, z którego korzysta system uwierzytelniania portalu IDCF Cloud. Stamtąd napastnik przeszedł przez konsolę zarządzania i zdobył uprawnienia administratora platformy wirtualizacji. Potem zatrzymał serwery wirtualne klientów i zaszyfrował same serwery.

IDC Frontier podała Nikkei xTECH, że poprawiona wersja oprogramowania ukazała się kilka tygodni przed awarią, a atak nastąpił, zanim firma zdążyła ją zainstalować.

BleepingComputer udostępnił zrzut ekranu z komunikatem pozostawionym w konsoli platformy. W komunikacie twierdzono, że operacja zajęła siedem minut i objęła prawie 240 hiperwizorów.

„7 października 2026. Siedem minut. Dokładnie siedem minut zajęło zamienienie całego waszego Regionu Wschodniej Japonii 1 w szyfrogram…”

Czego dotknął atak

IDC Frontier podała, że atak dotknął 495 firm i samorządów, które mają umowy związane z dotkniętym środowiskiem. Chodzi o strefy tesla, henry, pascal i joule. Reszta Regionu Wschodniej Japonii 1, pozostałe regiony, IDCF Cloud TypeS i IDCF Private Cloud nie ucierpiały na poziomie usługi.

Awaria zaczęła się około 03:40 czasu JST 7 października. O 11:42 tego samego dnia IDC Frontier ustaliła, że przyczyną jest atak ransomware przeprowadzony przez osobę trzecią. Firma odłączyła urządzenia pamięci masowej w czterech strefach i przecięła łącza sieciowe między portalem a światem zewnętrznym we wszystkich regionach.

Odzyskiwanie danych i kopie zapasowe

Dane z kopii migawkowych można już odzyskać dla 206 poszkodowanych klientów, wcześniej było ich 194. Liczba 194 pojawiła się 14 października, gdy firma podała, że potwierdziła odzyskanie danych klientów, którzy korzystali z funkcji migawek. To około 42% poszkodowanych. IDC Frontier podaje, że same serwery nie zostały jeszcze przywrócone, a odzyskanie przechowywanych danych pozostaje trudne.

Firma wznowiła usługę IDCF Cloud Backup 18 października. Wspiera migrację do innych środowisk i odzyskiwanie kopii razem ze spółką matką SoftBank Corp.

Wpisy w portalu

Nieuprawnione zapytania w portalu objęły dane rejestracyjne maksymalnie 71 klientów, wcześniej mówiono o 48. U maksymalnie 31 z nich wpisy zawierały imiona i nazwiska albo adresy e-mail, które mogą zawierać imiona i nazwiska. Napastnik zmienił maksymalnie 4 hasła logowania, firma od tego czasu je zresetowała.

IDC Frontier twierdzi, że nie znalazła śladów, by sprawdzane informacje wydostały się na zewnątrz. Nadal nie widzi też wycieku danych z serwerów wirtualnych klientów. Firma podaje, że nie kontaktowała się z napastnikiem i nie zapłaciła okupu.

Co IDC Frontier zamierza zmienić

IDC Frontier planuje zastąpić system uwierzytelniania usługą zewnętrznego dostawcy tożsamości, ograniczyć połączenia z portalem do adresów IP klientów i wymagać uwierzytelniania wieloskładnikowego. Chce też centralnie zarządzać danymi konfiguracyjnymi oprogramowania i automatycznie porównywać je z informacjami o podatnościach. W swoich regulaminach zapisze plany ocen i ich częstotliwość, obejmując nimi oprogramowanie open source.