日本云服务行业本周迎来一场”教科书级”的安全事故。10月7日凌晨3点40分，软银集团旗下云服务商IDC Frontier运营的IDCF Cloud遭勒索软件攻击，福岛县白河市数据中心的”东日本第1区域”4个服务区全部停摆，波及495家企业和地方政府。更戏剧性的是，攻击者在管理控制台留下的勒索留言，运维人员找了整整7小时才发现——期间他们只是一味地重启服务器。

事件还原：凌晨3点40分中招，4个服务区一夜停摆

IDC Frontier于10月7日凌晨发现系统遭第三方未经授权访问，当天晚些时候确认这是勒索软件攻击。受影响的是IDCF Cloud东日本第1区域（East Japan Region 1）的tesla、henry、pascal、joule四个服务区（Zone），该区域内的虚拟服务器全部停机且无法重启。作为应急措施，公司切断了该区域的网络连接，并暂停了所有区域客户对管理控制台的访问，虚拟服务器的启停改由运营方按客户需求代为操作。IDCF Cloud是面向法人的云服务平台，提供虚拟服务器、存储和网络服务，在日本地方政府与公共领域也有不少采用案例，本次停摆直接冲击了行政、物流、电商等多个行业的系统。

攻击者留言：自称7分钟”拿下”云平台，加密3.6PB数据

在管理控制台被关闭前，一些客户截取到了攻击者留下的页面：黑色背景上满是红绿文字，顶部赫然写着”你们的云现在归我们所有”。攻击者声称仅用7分钟就入侵了基础设施，加密了225个数据库（合计3.6拍字节数据），访问了239个虚拟管理员账户，锁定了1.6万块虚拟机磁盘，并删除了554,153个快照（Snapshot）副本。需要强调的是，这些数字全部来自攻击者单方面的留言，IDC Frontier尚未予以确认，最终损害规模与数据丢失可能性仍在核实中。

连锁反应：CMS开发商迁走31台服务器，水产巨头物流停摆

影响面很快从云平台扩散到现实世界。知名网站内容管理系统Movable Type的开发商Six Apart旗下31台服务器无法提供服务，该公司平时将7个版本的每日备份保存在Google Cloud，最终用10月7日凌晨1点的备份，在8日晚间前把全部服务器迁往Sakura Cloud重建。日本水产巨头Nissui旗下的日水物流也发生系统故障，货物收发停滞；企业批发交易平台NETSEA无法访问；茨城县县厅、县警本部的官网同样瘫痪，当地只能临时开设网站提供部分行政与防灾信息。IDC Frontier在8日的公告中承认，受影响的客户数据”恐难以取出或复原”，重建只能依赖客户自备的备份。

225封”勒索信”无人发现：运维7小时只做了重启

这起事件最出圈的细节，是”运维找7小时没发现勒索信”。据日本ITmedia报道，攻击发生后运维人员反复尝试重启服务器，却一直没注意到控制台上攻击者留下的勒索留言，直到7小时后才意识到这是一次勒索软件攻击。这一细节看似荒诞，实则戳中了大量中小团队的真实软肋：应急响应流程缺失、对异常现象缺乏敏感性、监控告警形同虚设。网络安全无小事，从9月以来日本已连续发生多起重大资安事故，正如我们此前报道的（自主Agent攻击敲响安全警钟相关阅读），攻击者正在利用越来越自动化的工具扩大扫描与入侵范围。

站长与运维的启示：别把鸡蛋放在一个云篮子里

这次事故给站长和运维人员上了三堂课。第一，单一云依赖风险巨大：一个运营区域被入侵，可能导致商业机构与政府部门的服务同时中断，关键业务应评估多云或混合部署。第二，备份是最后一道防线：Six Apart之所以能在一天内完成迁移，靠的是Google Cloud上的每日多版本备份，备份策略要定期演练恢复，而不是躺在硬盘里”看起来有”。第三，权限与监控要最小化且敏感：虚拟管理员账户、控制台访问应遵循最小权限原则，异常登录与异常进程要第一时间告警，别等到勒索留言贴脸才发现。数据无价，容灾预案永远是性价比最高的投资。

常见问题（FAQ）

参考：iThome、certi.news、BleepingComputer、NHK、ITmedia。