決算説明会の冒頭で謝罪　突かれたのは診断していなかったオープンソース

ソフトバンク株式会社の2027年3月期第2四半期の決算説明会は、11月9日に開かれた。宮川潤一社長兼CEOは業績の説明に入る前に、子会社の株式会社IDCフロンティアで10月に起きた不正アクセスと障害を取り上げ、「お客さまならびに関係者の皆さまに、ご心配とご迷惑をおかけしましたことを、深くおわび申し上げます」と謝罪した。

宮川社長が示した原因は、診断の抜けだった。自社で開発したアプリケーションは脆弱性診断を終え、修正パッチ（ソフトの欠陥をふさぐ更新プログラム）も当て終えていた。攻撃者に突かれたのは、誰でも使えるよう公開されたオープンソースのソフトウェアの部分だ。ここは診断を行っていなかったと説明し、「大変恥ずかしく痛恨の思いであります」と続けた。

使われたオープンソース製品の名前や、脆弱性の番号は公表されていない。

その後、グループではオープンソースまで対象を広げて緊急点検を行った。顧客データの外部流出がなかったことは確認できている、と宮川社長は説明した。

IDCフロンティアで何が起きたのか　侵入から暗号化までの3段階

IDCフロンティアは10月27日、第7報として「不正アクセスに関する調査結果および今後の対応について」を公表した。

異変は10月7日午前3時40分ごろに始まる。法人向けクラウド「IDCFクラウド」の東日本リージョン1の一部で、仮想サーバーを停止・再起動できない事象を検知し、同日午前11時42分、第三者によるランサムウェア攻撃と特定した。影響を受けたのは、東日本リージョン1の4つのゾーン（tesla・henry・pascal・joule）を使う495の企業・自治体だった。

攻撃者の動きは次の3段階だった。

• 顧客向けサイト「IDCFクラウドポータル」の認証システムに、そこで使っていたオープンソースソフトウェアの脆弱性を突いて侵入
• 管理コンソールを経由し、仮想化基盤の管理者権限を不正に取得
• 顧客の仮想サーバーを停止させ、仮想サーバーそのものを暗号化

仮想サーバー内のデータが外部へ持ち出された痕跡は見つからず、情報の不正利用などの二次被害も現時点で確認されていない。一方でポータルでは、最大71社の登録情報に不正な照会があった。このうち最大31社分には、個人名や個人名を含む可能性があるメールアドレスなどが含まれる。ログインパスワードが最大4件不正に変更されていたことも判明し、リセット済みとなった。照会された情報についても、外部への持ち出しを示す痕跡は確認されていない。

攻撃者との接触はしておらず、身代金の支払いや交渉もしていない。スナップショット機能を使っていた顧客のうち、206の顧客はバックアップデータを取り出せることを確認した。

6月の1万500件から11月の謝罪までの時系列

日付	出来事
6月16日	ソフトバンクなど4社が脆弱性対策サービスを発表。自社システムで1万500件の脆弱性を検出したと公表
7月14日	対象を3000社に広げて本格スタート
9月3日	OpenAIがGPT-6 Astraを発表。日付は米国時間
10月7日	IDCFクラウドで障害を検知。ランサムウェア攻撃と特定
10月14日	IDCフロンティアが仮想サーバー内データの外部流出はなかったと判断
10月27日	第7報で侵入経路と再発防止策を公表
11月9日	宮川社長が決算説明会で謝罪。再診断の結果を明かす

「Patching as a Service」は、ソフトバンクグループ、ソフトバンク、合弁会社のSB OAI Japan、OpenAIの4社が6月16日に発表したサービスだ。OpenAIのAI技術で脆弱性を見つけ、優先順位付けや修復方針づくり、パッチ適用の提案までを一続きで手がける。

発表の場でソフトバンクは、自社で運用する約1800のシステムのうち、ソースコードを管理する約700システムを診断した結果も明かした。見つかった脆弱性は1万500件。そのうち約4000件が、優先して対応すべきレベルだった。

GPT-6 Astraで診断し直すと3万5000件　「もう疲れ切っている」

新しいAIモデルが出るたび、ソフトバンクは自社システムをすぐに試しているという。宮川社長はモデルが出るサイクルを「週単位くらい」と受け止めており、試すと「必ずと言っていいほど新しい脆弱性が見つかります」と明かした。

6月の1万500件は、3カ月かけてすべてに修正パッチを当てた。その後、OpenAIの「GPT-6 Astra」でもう一度診断すると、3万5000件の脆弱性が見つかった。

「正直言って、もう疲れ切っている状態なんですが、それでも今パッチを当てているところです」。宮川社長はそう打ち明け、最近はサイバー攻撃への対策にほとんどの時間を使っているとも話した。

GPT-6 Astraはどんなモデルか

GPT-6 Astraは、OpenAIが9月3日（米国時間）に発表したモデルだ。ChatGPTの有料プラン（Plus・Pro・Business・Enterprise）やAPI、AWSで、段階的に使えるようになった。

OpenAIは安全性を評価する独自の枠組み「Preparedness Framework」で、サイバーセキュリティの能力が最上位の「Critical」に達した初めてのモデルだと説明している。そのため一般向けでは、攻撃に使える高度な作業を断るなど、一部の能力に制限をかけた。

攻撃は7分　「まず遮断してから」の運用に

攻撃の前触れも増えている。宮川社長によれば、弱点を探る偵察行為は2025年度が月平均3億件程度だったが、直近は6億〜7億件の間で、毎月増え続けている。「AIを使った攻撃が多くなっており、攻撃スピードが非常に速いので、人の手では対応し切れないのではないかと思っています」と危機感をにじませた。

IDCフロンティアの件では「犯行時間は7分でした」。これまではアラートが鳴るとチェックチームが診断し、対処方法は人が会議で決めていたが、今はその時間がない。そこで「まず遮断してから対応するというオペレーションに切り替えています」と運用を改めたことを明かした。

人の判断を待たず、先に止める。

再発防止はオープンソースも診断へ　PaaSは7000社超え

IDCフロンティアは第7報で、再発防止策として次の3つを示した。

• セキュリティ専任の独立した組織を設置（設置済み）
• 親会社ソフトバンクの「Patching as a Service」などを使い、脆弱性診断の対象をオープンソースソフトウェアまで広げる
• ソフトウェアの構成情報をSBOM（ソフトウェアの部品表）で一元管理し、脆弱性情報との突き合わせを自動化

IDCFクラウドポータルは止めたままだ。再開の前に、安全性を確保するため次のような対策を進めている。

• 侵入口になった認証システムを、外部のIdP（認証サービス）事業者のシステムへ置き換え
• ポータルへの接続を顧客のIPアドレスに限り、多要素認証を必須に
• ポータルを構成するすべてのサーバーの認証情報を変更

そのうえで、3段階に分けて再開する予定だ。

親会社のソフトバンクが手がける「Patching as a Service」の契約は、7000社を超えた。仕組みは、脆弱性の診断、パッチの適用、適用後に正常に動くかの確認という3つの工程から成る。パッチの適用までは自動化できたが、3つ目の確認にはまだ人の手が要り、完全な自動化に向けて開発を進めている。

決算そのものは好調で、上期の売上高、営業利益、純利益はいずれも過去最高を更新し、通期予想も上方修正した。そのうえで宮川社長は、AIと向き合う守りの現状について「今は人間が作ったシステムとAIが共存する過渡期で、踏ん張り時かなと思います」と語っている。

関連記事：CloudflareのプリンスCEO、ほかの重要ソフトにも深刻な脆弱性が多数あると把握　PHPに続きAIで発見加速、専門家は混乱拡大を予測

関連記事：GMO不正アクセス、侵入経路と発覚までの時系列　8月5日に顧客のリモートデスクトップから管理者アカウント、9月20日からのマルウェア配布に気づけず

[文/構成 by ライター 凪]