Le 7 octobre 2026, un rançongiciel a mis à l’arrêt une région entière d’IDCF Cloud, le service d’hébergement en nuage d’IDC Frontier, filiale de SoftBank, touchant 495 entreprises et collectivités locales japonaises. L’hébergeur a ensuite prévenu qu’il serait difficile de récupérer les données de ses clients sur l’infrastructure touchée. Pour toute entreprise qui confie ses serveurs à un seul fournisseur, l’épisode rappelle qu’une sauvegarde placée hors de son périmètre reste indispensable.
Ce qui s’est passé dans la région Est du Japon 1
D’après BleepingComputer, l’attaque a commencé le 7 octobre à 3 h 40, heure locale, sur le groupe de centres de données appelé « East Japan Region 1 ». IDC Frontier a reconnu que la panne de cette région résultait d’une attaque par rançongiciel menée par un tiers. L’entreprise a isolé et éteint les systèmes atteints pour enrayer la propagation, cherche à identifier la voie d’entrée et contrôle la sécurité de ses autres régions. Par précaution, elle a aussi coupé l’accès des clients aux consoles de gestion dans toutes les régions, le temps de vérifier qu’il peut être rouvert sans danger.
IDCF Cloud loue des serveurs virtuels, du stockage et du réseau, sur lesquels ses clients font tourner sites web, applications et systèmes de gestion dans des centres de données japonais. Selon SDxCentral, des serveurs virtuels de quatre zones de disponibilité se sont arrêtés sans pouvoir redémarrer. Des clients du secteur public, de la logistique, de l’éducation et de la finance sont touchés. Le fournisseur d’accès Fibergate a signalé une panne de ses services d’authentification Wi-Fi, tandis que la téléphonie d’entreprise de Medialink était hors service. Les services de télécommunications de SoftBank ne semblaient pas concernés.
La version de l’attaquant : sept minutes pour tout chiffrer
Avant d’en perdre l’accès, des clients ont vu s’afficher sur la console de la plateforme un message attribué à l’attaquant ; BleepingComputer en reproduit des captures publiées sur X par le compte J416DY. Son auteur affirme avoir eu besoin de sept minutes pour chiffrer la région, avoir atteint 239 hyperviseurs, chiffré 225 banques de données, verrouillé 16 000 disques de machines virtuelles et effacé 554 153 instantanés. BleepingComputer évoque 3,6 pétaoctets de données chiffrées, et SDxCentral relaie la suppression revendiquée de 41,5 pétaoctets de capacité de sauvegarde. Aucun de ces chiffres n’a été vérifié de façon indépendante. Les articles des 8 et 9 octobre ne citaient ni la famille de rançongiciel, ni une demande de rançon, ni un vol de données avéré.
Quand l’hébergeur ne peut plus restaurer
Le passage le plus lourd pour les clients tient en une consigne de l’hébergeur, rapportée par SDxCentral : préparer un environnement distinct et y reconstruire leurs systèmes. Autrement dit, ceux qui s’en remettaient aux instantanés et aux sauvegardes internes du fournisseur risquent de n’avoir plus rien à récupérer si l’attaquant les a bien détruits. SDxCentral y lit une invitation à repartir de ses propres sauvegardes. IDCF restaure manuellement des serveurs virtuels à la demande de certains clients, a installé une cellule de crise, et SoftBank appuie l’enquête comme le rétablissement. Selon BleepingComputer, l’accès aux consoles ne devait être rouvert qu’une fois sa sécurité vérifiée, sans date annoncée.
Ce scénario n’a rien d’isolé. SDxCentral cite des travaux de Google selon lesquels l’infrastructure de virtualisation a été visée dans environ 43 % des intrusions par rançongiciel traitées en 2025, contre 29 % en 2024. Les attaquants y emploient des scripts automatisés pour accéder aux hôtes ESXi, éteindre les machines, supprimer instantanés et sauvegardes, puis chiffrer. Au Japon, le chercheur Yutaka Sejiyama, de Macnica, a recensé 119 incidents de vol ou d’exposition de données personnelles depuis le début de 2026, contre 84 sur toute l’année 2025, relève BleepingComputer.
Ce qu’une PME doit en retenir
Un instantané conservé chez le même fournisseur, sur la même plateforme et accessible avec les mêmes identifiants, ne protège pas d’un sinistre de ce type : quiconque contrôle les hyperviseurs peut l’effacer avec le reste. Trois réflexes en découlent :
- garder au moins une copie des données et des configurations hors du fournisseur principal, chez un autre prestataire ou sur un support déconnecté ;
- protéger cette copie contre l’effacement, avec des comptes distincts et, si possible, une durée de conservation non modifiable ;
- tester régulièrement une restauration complète dans un environnement neuf, ce qu’IDCF a précisément demandé à ses clients de faire dans l’urgence.
Le contrat compte aussi. Savoir ce que l’hébergeur sauvegarde vraiment, à quel endroit et en combien de temps il peut le restaurer permet d’estimer ce qu’il faudrait reconstruire seul le jour où sa propre infrastructure tombe.
Questions fréquentes
Combien de clients d’IDC Frontier sont touchés par le rançongiciel ?
L’entreprise évoque 495 entreprises et collectivités locales clientes du service dans la région Est du Japon 1. SDxCentral parle de près de 500 organisations, dans le public, la logistique, l’éducation et la finance.
Les données des clients d’IDCF Cloud ont-elles été volées ?
Ce n’était pas établi dans les informations publiées les 8 et 9 octobre. IDC Frontier disait alors poursuivre l’enquête sur la cause exacte et l’étendue de l’attaque.
Un instantané de machine virtuelle suffit-il comme sauvegarde ?
Non. L’attaquant dit avoir effacé plus de 554 000 instantanés chez IDCF : une copie qui vit sur la même infrastructure peut disparaître avec elle. Une sauvegarde utile se trouve hors du fournisseur et sa restauration a été testée.
Sources
- Ransomware attack disrupts Japan's IDCF Cloud used by govt clients — BleepingComputer, 2026-10-08
- SoftBank national cloud arm attacked in 'seven minutes,' taking Japan infrastructure offline — SDxCentral, 2026-10-09