10月7日の夜、Xで一枚のスクリーンショットが回ってきました。IDCFクラウドの利用者が受け取った障害連絡メールで、「IDCFから白旗が上がった」という一言が添えられていました。表示回数は160万を超えています。
メールの中身を要約すると、スナップショットからの復元も含めて、基盤側からデータを取り出すのはきわめて難しい。データを戻したいなら、自分で取ってあるバックアップを使ってください。そういう内容でした。翌日の公式発表（第3報）にも、同じことが書かれています。
データの復元はお客さま自身が保持しているバックアップデータからのみ可能となります。
読んで、しばらく画面を眺めていました。
その後、SNSでは「やっぱり国産クラウドは怖い」「最初からAWSにしておけば」という声もよく見かけます。気持ちはわかります。私自身、ふだんはAWSやAzureを推している側の人間です。それでも、今回の件を「AWSに移れ」でまとめてしまうのは、ちょっと違うと思っています。この記事はその理由を書いたものです。
何が起きたか
細かい経緯は piyolog さんのまとめが詳しいので、ここでは最低限だけにします。
- 10月7日3時40分ごろ、IDCFクラウドの東日本リージョン1で障害が発生。原因は第三者によるランサムウェア攻撃
- 影響を受けたのは、IDCFクラウドを契約している495の企業・自治体
- 4つのゾーン（tesla / henry / pascal / joule）のデータは「取り出しや復元が困難な見通し」
- 日水物流は全国17拠点の入出荷が止まり、JR東日本とビューカードは、メール配信に使っていた外部サービス経由で、最大約609万件のメールアドレス等が漏えいしたおそれがあると発表
攻撃者側は、ハイパーバイザーやスナップショット、バックアップまで壊したと主張する画像を出していますが、IDCFはその内容を確認していません。ここではその数字には触れないでおきます。
私はパブリッククラウド推しです
先に自分の立場を書いておきます。
私は外資系のITサービス企業で働いていて、AWS、Azure、それにプライベートクラウドと、毎日のように付き合っています。
2014年ごろ、私が勤める外資系ITサービス企業は、自社製品で組んだプライベートクラウドをお客様に提供していました。今だから書けますが、サービスの質はよくありませんでした。技術者はいました。ただ、一社のお客様のために用意できるリソースや人の数には、どうしても限りがあります。何か起きたとき、調べられる人も、試せる環境も足りませんでした。
その後、2021年から2022年にかけて、ある外資系金融機関のデータセンターを、そのプライベートクラウドからAzureにまるごと移す案件に関わりました。PaaSやSaaSもかなり使う構成でしたが、大きな問題もなく終わっています。
Microsoftにも大規模な障害はありますし、私たちの本番環境が巻き込まれたこともあります。サポートはチケットを切って待つことになるので、遅いと感じることもあります。それでも、あの規模の事業者には、たいていの技術的な問題に対応できる人と仕組みがあります。私たちくらいの規模では、そこはかないません。
クラウドの良し悪しは、規模で決まる部分が大きい。それが私の実感です。そして今の日本のクラウド事業者は、規模ではAWSやAzureに勝てません。ここは認めるしかないと思っています。
それでも全部AWSに、とは言いたくない
とはいえ、全部AWSに乗せればいいとも思っていません。
ひとつは主権の話です。日本の個人情報保護法は、データを国内に置くことまでは求めていませんし、AWSにもAzureにも東京リージョンがあります。コンプライアンスだけなら、それで足ります。ただ、法令を守れているかということと、国としてどこにデータを預けるかということは、別の問題だと思います。国の基盤に近いシステムや、たくさんの国民の個人情報まで、すべてアメリカの事業者に預けてしまっていいのか。そこはやはり考えておきたいところです。
（IDCF自身も、自社サイトの用語解説で「国産クラウドだからといってソブリンクラウドに該当するとは限らない」と説明しています。今読むと少し複雑な気持ちになります。）
もうひとつはお金です。総務省の情報通信白書によると、2025年のデジタル関連収支は約6.6兆円の支払超過でした。私個人でも、毎月数百ドルをアメリカの会社のサブスクリプションに払っています。個人の財布の話ですが、積み重なればこれも日本の赤字の一部です。
だから日本の事業者には頑張ってほしい。そう思っている人間からすると、今回の件はただただ残念です。
欲しいのは「国内のもう一つ」
今回の件で一番印象に残ったのは、シックス・アパートの対応でした。
Movable Type クラウド版のうち、IDCFクラウド上で動いていたサーバー31台が止まりました。同社はIDCFとは別の基盤（Google Cloud）に、日次バックアップを7世代分持っていました。障害の2時間半ほど前、10月7日1時時点のバックアップを使ってさくらのクラウドへの移行を始め、10月8日21時には31台すべての移行を終えています。
私が注目したいのは、逃げた先が国内のもう一社だったことです。
規模で勝てない以上、日本のクラウド事業者が一社で「絶対に止まらない」を約束するのは難しいと思います。それなら、国内に選択肢が複数あって、互いに競争していて、いざというときに移れる状態のほうが現実的です。
私なら、本番は国内のA社、バックアップは国内のB社に置きます。バックアップだけ海外に置くと、主権の話がそこで崩れてしまうからです。シックス・アパートのようにブログのコンテンツが中心なら海外でも困らないでしょうが、個人情報となると話は変わります。
もっとも、今の日本にB社の候補がどれだけあるかと聞かれると、少し考え込んでしまいます。だから競争が必要なんだと思います。
決める立場の人へ、3つだけ
クラウドを選ぶ側、とくに予算や方針を決める立場の人に、これだけは確認してほしいと思うことを書いておきます。
- バックアップが、本番と同じ事業者の中にしかない状態になっていないか。スナップショットも事業者のバックアップサービスも、基盤ごとやられれば一緒に使えなくなります。今回、それが実際に起きました。
- いざというとき、どこに移るか決まっているか。IDCFは顧客に、別の環境を用意して再構築するよう案内しました。移り先を事件のあとで探し始めるのでは間に合いません。
- 自分たちが使っているSaaSや外部サービスが、どこのクラウドで動いているか知っているか。JR東日本が直接IDCFクラウドを使っていたわけではありません。メール配信に使っていた外部サービスが、IDCF上にありました。うちはAWSしか契約していない、と思っていても、その先まではわかりません。
おわりに
IDCFの第3報は、被害が確認されていない他のリージョンの利用者にも、自分でバックアップを取るよう案内しています。読んでいて少し耳が痛かったです。自分が関わっているシステムで同じことを言われたら、困らずに済むだろうか。今週、一度確かめてみるつもりです。
参考
- 当社サービスの一部システムに対する不正アクセスについて（IDCフロンティア 第1報）
- 【第3報】当社サービスの一部システムへの不正アクセスによる障害について（IDCフロンティア）
- IDCFクラウドへのランサムウェア攻撃についてまとめてみた（piyolog）
- ［第3報］Movable Type クラウド版におけるIDCFクラウド障害の影響と対応について（シックス・アパート）
- 「IDCFクラウド」障害で止まった「MTクラウド版」、「Googleクラウド」のバックアップで「さくらのクラウド」に移行へ（ITmedia NEWS）
- JR東日本、「えきねっと」「ビューカード」などで漏えいか メルアドなど最大609万件（ITmedia NEWS）
- ソブリンクラウド（IDCフロンティア 用語集）
- 令和8年版 情報通信白書 ICT分野の輸出入（総務省）