Le 7 octobre 2026 vers 3 h 40, heure normale du Japon (JST), une attaque par rançongiciel a provoqué l’arrêt de serveurs virtuels dans une partie de la plateforme IDCF Cloud d’IDC Frontier, filiale de SoftBank Group. Dans son bulletin du 8 octobre, le fournisseur recensait 495 entreprises et collectivités concernées. Il avertissait que les données de plusieurs zones seraient difficiles à extraire ou restaurer et que les clients devraient s’appuyer sur les sauvegardes qu’ils détiennent.
Une interruption circonscrite à une partie d’une région
IDC Frontier situe l’incident dans East Japan Region 1, précisément dans une partie des zones tesla, henry, pascal et joule. Les machines virtuelles affectées se sont arrêtées et ne pouvaient pas redémarrer. L’entreprise a isolé le réseau concerné et suspendu les consoles de gestion pour limiter le risque de propagation et de fuite.
Les 495 organisations mentionnées par IDC Frontier sont des entreprises et des collectivités utilisant le service. Jiji Press rapporte que des sites de la préfecture d’Ibaraki, de la ville de Kodaira, du parc Tobu Zoo et de l’agence Jiji Press étaient devenus inaccessibles ou impossibles à mettre à jour. Les sources ne permettent pas de conclure que tous les services hébergés ou toutes les régions d’IDCF Cloud étaient touchés.
Le fournisseur dit que la restauration dépend des clients
IDC Frontier indiquait enquêter sur la cause précise et l’étendue de l’impact. Pour les données conservées dans les zones visées, le fournisseur estimait qu’une extraction ou une restauration serait difficile et que les clients devraient récupérer leurs données depuis leurs propres sauvegardes. Un environnement distinct devait être préparé pour reconstruire les systèmes.
Le bulletin demandait aussi aux clients d’autres régions de conserver leurs sauvegardes. À cette date, IDC Frontier indiquait ne pas avoir constaté d’accès non autorisé dans ces autres zones, tout en suspendant les consoles de gestion externes pendant ses vérifications. Il faut distinguer cette précaution de la confirmation d’une compromission de l’ensemble de la plateforme.
Dans son bulletin du 9 octobre, IDC Frontier a précisé avoir établi une cellule d’urgence le 7 octobre à 9 h, en coordination avec SoftBank. L’entreprise indique que ses équipes guident les clients sur les sauvegardes et proposent un environnement de migration; elles peuvent aussi démarrer ou arrêter des machines virtuelles à la demande. Ses équipes techniques poursuivent l’enquête et préparent un plan de reprise avec l’appui de spécialistes externes. Cet avis décrit des mesures engagées, pas une reprise achevée, et n’annule pas le constat du 8 octobre sur la restauration des données concernées depuis les sauvegardes des clients.
Garder les revendications de l’attaquant à leur juste niveau
BleepingComputer rapporte qu’un message attribué à l’attaquant revendiquait le chiffrement de 225 bases de données, 3,6 pétaoctets de données, l’accès à 239 hyperviseurs et la suppression de plus de 554 000 snapshots. Ces chiffres proviennent de l’acteur malveillant et ne sont pas confirmés par le bulletin d’IDC Frontier. Ils ne doivent donc pas être présentés comme un bilan établi.
Le fournisseur a confirmé une attaque par rançongiciel, l’arrêt de machines virtuelles et une récupération incertaine pour les données de certaines zones. Les avis consultés ne confirmaient pas que des données avaient été exfiltrées. L’enquête devait encore préciser le point d’entrée, l’étendue exacte et les systèmes concernés.
Préparer une reprise indépendante du fournisseur
Les organisations utilisant un service cloud doivent vérifier que leurs sauvegardes sont accessibles même lorsque la console du prestataire est indisponible. Conservez une copie séparée des environnements de production, limitez les identifiants capables de supprimer les sauvegardes et testez périodiquement une restauration complète, y compris les dépendances nécessaires au redémarrage d’un service.
Les clients d’IDCF Cloud concernés doivent suivre les consignes officielles, confirmer quelles données et zones sont visées, puis restaurer à partir de copies qu’ils contrôlent. Avant de reconnecter un système reconstruit, vérifiez son intégrité, renouvelez les secrets qui ont pu être exposés et préservez les journaux disponibles pour l’enquête. Ces recommandations sont générales; elles ne préjugent pas de la cause de l’incident IDCF.
Le lien avec Soclyde
Soclyde ne fournit pas de sauvegarde de serveurs cloud et ne peut pas restaurer les machines virtuelles d’IDCF. Son coffre local-first concerne les mots de passe et accès: les données du coffre restent chiffrées sur les appareils plutôt que dans un coffre cloud centralisé exploité par Soclyde. Les sauvegardes des systèmes métier et des coffres doivent rester des procédures distinctes, préparées et testées par leurs responsables.
À retenir
L’attaque a interrompu des serveurs virtuels dans une partie d’East Japan Region 1; IDC Frontier comptait 495 clients concernés et renvoyait les organisations vers leurs sauvegardes pour la restauration. Les volumes revendiqués par l’attaquant restent non confirmés. Notre guide de sauvegarde du coffre explique comment prévoir la récupération des accès sans confondre celle-ci avec la reprise d’un service cloud.
