Японию подводят резервные копии, хранящиеся там же, где идёт атака

В заголовке атака, ограничение в восстановлении

IDCF Cloud остановился 7 октября в 03:40 по японскому времени, и в тот же день во втором сообщении IDC Frontier подтвердила, что причиной стала программа-вымогатель. Регион «Восточная Япония 1» в городе Сиракава префектуры Фукусима был отключён от сети; пострадали 495 компаний и органов местного самоуправления. Сайт префектуры Ибараки перестал работать вскоре после 04:00 утра 7 октября, а в логистическом подразделении Nissui отгрузки остановились во всех 17 центрах. Заголовки обсуждают цифру 495, но мерой риска служит не она.

Настоящая мера появилась вечером 8 октября. Третье сообщение гласило, что виртуальные серверы в 4 зонах не запускаются, а извлечь или восстановить данные клиентов трудно. Компания поставила восстановление в зависимость от копий, имеющихся у самих клиентов, и предложила развернуть системы заново в новой среде. Иными словами, для каждого из 495 клиентов вопрос один: хранится ли ваша копия за пределами этой инфраструктуры? Путь проникновения злоумышленника и факт вывода данных на 9 октября не раскрыты.

Исход определило место хранения копии

Одна и та же атака дала двум клиентам совершенно разные результаты. Облако Movable Type компании Six Apart потеряло 31 сервер, но хранило 7 поколений ежедневных копий в Google Cloud. Утром 8 октября оно начало переезд в Sakura Cloud с копией от 01:00 7 октября. Soliton Systems, напротив, сообщила, что её собственные серверы резервного копирования на той же инфраструктуре тоже вышли из строя, и решила разворачиваться заново на другой, проверенной инфраструктуре.

В госсекторе картина ещё уязвимее: по данным MLex, как минимум одна префектура после отключения систем провайдера не смогла добраться и до своих копий. Муниципалитет Кодайра в Токио 8 октября сообщил, что под угрозой могут оказаться имена, адреса и телефоны из форм заявлений. Руководство CISA по программам-вымогателям рекомендует офлайн-копии в зашифрованном виде, резервирование в нескольких облаках и регулярную проверку восстановления. В японских инцидентах сбоит именно это звено.

Столичный университет Осаки показал ту же схему неделей раньше. При атаке, начавшейся 2 октября, остановились около 500 серверов и была зашифрована большая часть копий; под угрозой оказались данные не менее 130 000 человек. По сводке SBS, в Times Car из-за несанкционированного доступа утекли персональные данные 6,6 млн пользователей. По подсчёту Trend Micro, японские компании и органы местного самоуправления за первые 9 месяцев 2026 года сообщили о 600 случаях несанкционированного доступа.

Почему сейчас и где государственный игрок

Время объясняется концентрацией. По сводке SBS, за тот же период в Daiwa Securities через сервер подрядчика были затронуты до 220 000 клиентских записей, а в июле у подрядчика госуслуг — данные примерно 246 000 госслужащих. Атаки бьют не по отдельным организациям, а по подрядному и облачному слою, который их обслуживает. Когда у одного провайдера выпадают 4 зоны, способность к восстановлению сотен организаций проверяется одновременно.

В списке целей Япония и для государственных хакеров. 8 октября ФБР изъяло 7 доменов, принадлежавших инструментам MicroScan и FishHub пекинской Integrity Technology Group. По данным BleepingComputer, среди целей, которые сканировал MicroScan, были аэропорты Японии. ФБР не сообщило, были ли эти объекты взломаны. Япония присоединилась к 58-страничному предупреждению США вместе с Австралией, Великобританией, Испанией, Новой Зеландией и Канадой.

Программы-вымогатели и государственная разведка питаются одной уязвимостью: открытым наружу слоем управления и копией, лежащей рядом с ним. 7 октября IDC Frontier в качестве меры предосторожности отключила и внешние консоли управления в других регионах. Это показывает, что провайдер не может исключить доступ злоумышленника к слою управления; пока путь проникновения не раскрыт, это остаётся выводом, а не фактом.

Что дальше

Первой проверкой станет четвёртое сообщение IDC Frontier: сколько данных в 4 зонах удалось вернуть из собственных копий компании и каковы итоги расследования утечки. Компания уведомила о происшествии курирующее министерство и полицию Токио, а внешняя компания по безопасности изучает сеть, серверы и хранилища восточного и западного регионов. Если Кодайра сообщит об утечке, муниципальные данные впервые окажутся под прямой угрозой из-за атаки на облачного провайдера.

В среднесрочной перспективе ожидается, что в госзакупках пропишут требование хранить копии у другого провайдера, а киберстраховщики добавят тот же критерий в условия полисов. Если это произойдёт, облачные расходы японских организаций вырастут за счёт второго провайдера. Если нет, картина с 495 клиентами повторится при следующей атаке на провайдера.