IDC Frontier 第 7 報：入侵點是雲端入口網站登入系統所用開源軟體的漏洞，攻擊者再拿到虛擬化平台管理員權限把主機加密；登錄資料遭不當查詢最多 71 家，可取出備份增至 206 家，之後改用外部 IdP、強制多因素認證
趨勢新聞2026 年 10 月 28 日
日本軟銀旗下的雲端業者 IDC Frontier（IDCF）10 月 7 日遭勒索軟體攻擊，495 家企業與地方政府租用的雲端主機停擺。10 月 27 日公布的第 7 報說調查已完成：客戶開關主機、查帳單用的「IDCFクラウドポータル」（雲端入口網站），登入系統用了一套有漏洞的開源軟體，攻擊者從這裡闖進去，再拿到底層虛擬化平台的管理員權限，把客戶主機停掉並加密。本站的讀法：台灣很多公司的官網、ERP 也放在租來的雲端主機上。這就像 WordPress 網站裝的某個元件有漏洞被人從那裡闖入，只是這次的元件在業者自己管的那一層，客戶更新自家主機也補不到（IDCF 沒有公布元件名稱、版本或修補狀態）。
第 7 報也更新兩個數字：入口網站裡的客戶登錄資料遭不當查詢的最多 71 家（10 月 14 日第 5 報為 48 家）；可以取出備份資料的客戶由 194 家增加到 206 家。站上 10 月 9 日已寫過事件本身，這則聚焦第 7 報公布的入侵原因、調查更新與改善措施。
攻擊怎麼進來
第 7 報寫：「第三者的未經授權存取，是『IDCFクラウドポータル』採用的開源軟體漏洞遭到利用所致」（本站譯）。攻擊路徑是：「攻擊者侵入『IDCFクラウドポータル』的認證系統後，經由管理主控台非法取得虛擬化基礎設施的管理員權限，停止客戶的虛擬伺服器，並將虛擬伺服器本身加密」（本站譯）。
虛擬化平台是把實體伺服器切成多台「虛擬主機」的底層軟體，拿到它的管理員權限，能動的是上面許多客戶的主機。勒索軟體則是把資料加密、讓主人打不開，再要錢解鎖的惡意程式。IDCF 說沒有和攻擊者接觸，「完全沒有支付贖金或進行交涉」（本站譯）。
第 7 報沒寫是哪套開源軟體、哪個漏洞編號，也沒說攻擊者是誰、何時潛入。本站讀到的 NHK 10 月 27 日報導摘要稱，公司說明被利用的外部軟體先前未在社內做弱點診斷（本站未讀到報導全文）；IDCF 原文沒這樣直說，但改進項目之一是把弱點診斷範圍「也擴大到開源軟體」（本站譯）。
資料有沒有外流
客戶虛擬主機裡的資料，第 7 報的結論是「沒有流出到外部」（本站譯）：被攻擊的東日本第 1 區域 tesla、henry、pascal、joule 四個 zone 找不到資料被帶走的痕跡，目前也沒確認到二次被害。
入口網站的登錄資料是另一回事。最多 71 家客戶的登錄資料被不當查詢，其中最多 31 家（31 件）涉及個人姓名、可能含姓名的電子郵件地址等；最多 4 件登入密碼遭不當變更，IDCF 說已重設並個別通知相關客戶。這些資料沒找到被帶出去的痕跡。本站的讀法：查詢已經發生，帶走則是沒找到證據。
可取出備份的客戶增至 206 家
第 5 報說，被攻擊 zone 的 495 家客戶，原環境「預計難以復原」；有用快照功能（保存虛擬主機資料儲存區在某一時間點的狀態）的 194 家，備份可以取出。備份資料 10 月 17 日起開始取出交付；10 月 20 日確認可取出的客戶增至 206 家。可取出備份不等於系統已復原，IDCF 說會和軟銀協助客戶搬到替代環境。本站的讀法：其餘 289 家（本站算的）不在這項統計內，不能據此判定它們沒有其他備份。
之後怎麼改
入口網站目前仍停用，重開前要在新環境重建、換掉組成它的所有伺服器的認證資訊、把登入系統換成外部 IdP 業者的系統、連線限定客戶 IP 並強制多因素認證。IdP（身分提供者）是專門確認「你是不是你」的服務，「用 Google 帳號登入」就是一例（IDCF 沒說選哪家）；多因素認證要求至少兩種不同類型的驗證，例如密碼加手機上的一次性驗證碼。
長期措施方面，IDCF 已成立專管資安的獨立組織；弱點診斷要以規程訂出計畫與頻率，借軟銀的「Patching as a Service」把開源軟體納入診斷與攻擊測試並持續執行；各部門自己管的軟體清單也要集中成 SBOM（軟體物料清單，列出用了哪些元件與版本），自動比對新漏洞。入口網站分三段重開，目前由 IDCF 代客戶操作開關機等主要功能，下一段代操作全部功能，最後才讓客戶自己登入，沒有給日期。
台灣讀者可以拿來對照的事
台灣的《資通安全管理法》適用於公務機關及法定的特定非公務機關（如關鍵基礎設施提供者），個別企業是否適用要看身分。本站的讀法：企業租雲端主機時，可以拿第 7 報的措施問廠商兩件事：管理入口網站用的開源元件有沒有列入定期弱點掃描；入口網站是否強制多因素認證、能否只讓公司 IP 登入。另外延續 10 月 9 日那則的提醒，確認備份會不會和正式環境一起受同一起事故影響，並實際測過還原。第 7 報沒有公布客戶名單，本站讀到的版本也沒有提到台灣客戶。