Il Ransomware devasta il cloud giapponese! 495 organizzazioni rischiano di perdere tutto

Il ransomware ha colpito IDCF Cloud, piattaforma cloud giapponese di IDC Frontier, coinvolgendo 495 organizzazioni. Numerosi server virtuali sono fuori uso e il recupero dei dati potrebbe dipendere dai backup indipendenti. L'incidente coinvolge anche infrastrutture legate a JR East e pone a rischio milioni di indirizzi email. Le cifre diffuse dagli hacker non sono state confermate.

Un attacco ransomware su larga scala, ha paralizzato parte della piattaforma cloud giapponese IDCF Cloud, da cui dipendono centinaia di aziende e istituzioni governative. Sono state colpite 495 organizzazioni, e l’operatore cloud IDC Frontier ha avvertito che è probabile che non sarà possibile ripristinare i dati sui server danneggiati con le proprie forze. I clienti senza copie di backup separate rischiano la perdita irreversibile delle informazioni.

L’incidente è avvenuto il 7 ottobre intorno alle 03:40 (ora giapponese). I malintenzionati hanno penetrato l’infrastruttura di East Japan Region 1, uno dei regioni della piattaforma cloud di proprietà della società controllata di SoftBank. IDC Frontier ha confermato l’attacco utilizzando un software ransomware e ha disconnesso i sistemi danneggiati dalla rete per fermare la diffusione ulteriore del malware.

Le conseguenze più gravi hanno colpito quattro zone di disponibilità denominate tesla, henry, pascal e joule. I server virtuali ospitati si sono fermati e non si riavviano più. IDC Frontier ha riconosciuto che estrarre o ripristinare i dati dei clienti memorizzati sulle piattaforme danneggiate sarà estremamente difficile. Secondo la valutazione attuale dell’azienda, le informazioni possono essere recuperate solo dalle copie di backup che i clienti hanno salvato autonomamente.

Alle organizzazioni colpite è stato consigliato di spostare i sistemi informativi su altre piattaforme. Per i clienti che utilizzano le due zone rimanenti nella region orientale, non sono stati confermati casi di penetrazione. Tuttavia, il fornitore ha raccomandato di salvare autonomamente le copie di backup e ha temporaneamente chiuso l’accesso ai pannelli di gestione in tutte le regioni. Fino al completamento delle verifiche di sicurezza, gli ingegneri di IDC Frontier eseguono manualmente, su richiesta dei clienti, operazioni con le macchine virtuali, inclusi l’avvio e l’arresto dei server.

Le conseguenze dell’attacco sono già andate ben oltre il fornitore cloud stesso. La compagnia ferroviaria giapponese JR East il 9 ottobre ha avvertito della possibile compromissione dei dati personali dei clienti dopo il hackeraggio dell’infrastruttura di IDC Frontier. Attraverso un appaltatore colpito è stata gestita l’invio di email ai partecipanti del servizio di prenotazione biglietti «Ekinet» e del programma fedeltà «Club degli adulti del fine settimana».

Oltre agli indirizzi email, i partecipanti al programma fedeltà potrebbero aver avuto dati come date di nascita, numeri di partecipazione e scadenze delle carte di credito esposti. Tuttavia, JR East non ha riscontrato motivi per ritenere che i malintenzionati abbiano avuto accesso a nomi, indirizzi, numeri di telefono o numeri di carte completi. La società controllata dell’operatore ferroviario View Card ha separatamente segnalato il rischio di fuga di circa 4,03 milioni di indirizzi email. In totale, si parla di circa 6,09 milioni di registrazioni, anche se alcuni clienti potrebbero essere presenti in più database. La copia dei dati da parte dei malintenzionati non è stata ancora confermata.

Secondo l’affermazione degli attaccanti, sono riusciti ad accedere a 239 hypervisor, crittografare tutti i 225 repository di dati per un totale di 3,6 petabyte, disabilitare oltre 16.600 dischi virtuali e distruggere 554.153 snapshot dello stato del sistema. I malintenzionati hanno anche dichiarato la perdita di 41,5 petabyte di capacità di archiviazione di backup. IDC Frontier non ha confermato le cifre fornite, quindi al momento non è possibile valutare la reale portata dei danni in base al messaggio dei criminali.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response