ソフトバンク、IDCFクラウド攻撃でOSS診断の未実施が判明

ソフトバンクは2026年11月9日、2026年4〜9月期の連結決算を発表しました。
売上高は前年同期比12％増の3兆7987億円、営業利益は2％増の6421億円でした。
一方、子会社のIDCフロンティアで発生したランサムウエア攻撃について、侵入に使われたOSSを診断していなかったと説明しました。

記事の概要

ソフトバンクの2026年4〜9月期は増収増益となり、純利益とともに中間期として過去最高でした。
好調な業績を受け、2027年3月期の通期予想を売上高7兆9000億円、営業利益1兆1600億円、純利益6100億円に上方修正しました。
エンタープライズ事業では、AI計算基盤の伸びなどにより「クラウド・AI」領域の売上高が前年同期比37％増の1638億円となりました。
同事業のセグメント利益は20％増の1248億円でした。
IDCフロンティアは10月7日、「IDCFクラウド」東日本リージョン1で認証システムのOSS脆弱性を突かれて侵入されました。
この攻撃の影響は495の企業・自治体に及びました。
ソフトバンクは自社開発アプリを「Patching as a Service」で診断していましたが、侵入に使われたOSSは診断していませんでした。
同サービスはOpenAIのフロンティアモデルを活用し、10月30日時点の申込数はグループ会社を含め7670社でした。

記事のポイント

1. OSSが診断対象外： 自社アプリは診断済みでしたが、認証システムに使ったOSSは対象外となり、侵入を許しました。
2. 495組織に影響： IDCフロンティアのランサムウエア攻撃は、IDCFクラウド利用企業・自治体495組織に影響しました。
3. 新モデルで脆弱性増加： 約700システムを再診断した結果、GPT-6 Astraで新たに3万5000件の脆弱性が見つかりました。

このニュースがもたらす影響

• クラウド利用企業： 自社開発アプリだけでなく、認証基盤などに組み込んだOSSまで診断範囲を広げ、資産台帳と点検責任の所在を早急に見直す必要がありそうです。
• クラウド事業者： AIによる攻撃の速度向上と新モデルによる検出結果の変化を踏まえ、OSSを含む継続診断と、利用企業への影響を抑える復旧手順がより重視されそうです。
• セキュリティ部門： 一度の診断で安全性を確認する運用では不十分となる可能性があります。モデル更新のたびに再診断する頻度と、発見した脆弱性の修正優先度を決める必要があります。

このニュースの背景

クラウド・AI領域の事業拡大に伴い、ソフトバンクグループでは多数のシステムを対象に脆弱性診断を進めていました。
一方で、IDCフロンティアへの侵入経路となった認証システムのOSSは診断対象から外れており、対応の指示が現場で見落とされていました。
ソフトバンクは自社開発アプリ向けに、OpenAIのフロンティアモデルを使って診断からパッチ適用まで行うサービスを提供していました。
さらに、新しいモデルで再診断すると従来とは異なる脆弱性が見つかっており、AIを使った防御でも継続的な点検が必要になる状況が示されています。

詳しい記事の内容はこちらから（引用元）

日経クロステック（xTECH）

SBの26年4〜9月期決算は増収増益、IDCFクラウド被害ではOSSを診断せず

　ソフトバンクは、2026年4〜9月期連結決算（国際会計基準）を発表した。売上高は前年同期比12%増の3兆7987億円、…