IDC Frontier 27 октября раскрыл путь атаки, остановившей облачные серверы 495 компаний и муниципалитетов в Японии. По результатам расследования оператора, злоумышленники использовали уязвимость открытого ПО в системе входа клиентского портала, затем через консоль управления получили права администратора платформы виртуализации.

Эти права позволили остановить и зашифровать сами виртуальные серверы клиентов. Название уязвимого компонента и номер CVE компания не раскрыла. Сбой обнаружили 7 октября; пострадали четыре зоны региона «Восточная Япония 1».

После атаки оператор предупреждал, что данные, вероятно, придётся восстанавливать из собственных копий клиентов. Теперь подтверждена возможность извлечь резервные копии для 206 клиентов. Это ещё не означает восстановления всех их систем: компания помогает переносить их в другое окружение.

Следов вывода данных из виртуальных серверов расследование, по словам IDC Frontier, не выявило. Отдельно подтверждены несанкционированные запросы к регистрационным сведениям максимум 71 компании в портале и изменение до четырёх паролей; эти пароли уже сброшены.

Клиентский портал остаётся отключённым. Оператор перестраивает его в новом окружении, меняет систему аутентификации на внешнего поставщика и планирует обязательную многофакторную проверку с ограничением подключения по IP-адресам клиентов. Пока основные операции с серверами сотрудники выполняют по запросам.