Un attacco ransomware ha messo in ginocchio IDCF Cloud, la piattaforma cloud di IDC Frontier, controllata dal gruppo giapponese SoftBank. L’azienda ha confermato che l’intrusione, iniziata il 7 ottobre 2026 alle 3:40 del mattino ora locale, ha colpito 495 aziende ed enti pubblici che si appoggiano all’infrastruttura per far girare siti, applicazioni e sistemi gestionali. Tra le vittime indirette figurano il colosso ferroviario JR East, la sua controllata per le carte di credito View Card, l’operatore JR Kyushu e la logistica alimentare di Nissui. È uno degli incidenti più estesi mai registrati contro un cloud provider domestico giapponese, e arriva mentre il Giappone discute da mesi di sovranità digitale e dipendenza da pochi fornitori nazionali.
L’attacco a IDCF Cloud non è solo un altro data breach da aggiungere alla lista. Mostra con chiarezza cosa succede quando un singolo fornitore cloud concentra treni, polizia, media e distribuzione alimentare sulla stessa infrastruttura. Di seguito ricostruiamo i fatti verificati, le cifre dichiarate dagli attaccanti (ancora non confermate in modo indipendente), la reazione del governo giapponese e cosa questo caso insegna alle aziende europee e italiane che stanno valutando strategie di cloud sovrano.
Cosa è successo a IDCF Cloud il 7 ottobre
Secondo la ricostruzione di IDC Frontier, l’attacco è partito nelle prime ore di mercoledì 7 ottobre e ha colpito la regione East Japan Region 1, uno dei principali cluster di data center della società nell’area orientale del Giappone. L’azienda ha isolato e spento i sistemi compromessi per contenere la propagazione, poi ha disattivato in via precauzionale l’accesso alle console di gestione per tutte le regioni, non solo quella colpita, mentre verificava la sicurezza del resto della piattaforma. Nella sua nota ufficiale (pubblicata sul sito di IDC Frontier), la società ha dichiarato che l’indagine ha confermato come l’origine del disservizio in East Japan Region 1 fosse un attacco ransomware condotto da terzi, aggiungendo di essere ancora al lavoro per determinare la causa precisa e la reale estensione dei danni.
Quattro zone cloud risultano danneggiate in modo così grave che i clienti coinvolti dovranno ricostruire i propri sistemi su un’infrastruttura diversa. IDC Frontier ha comunicato ai clienti che recuperare o ripristinare i dati archiviati in una parte di East Japan Region 1 sarà probabilmente difficile, e che l’unica strada realistica per il recupero resterà, per molti, il backup conservato autonomamente dal cliente stesso, non quello sulla piattaforma. È una dichiarazione pesante per 495 organizzazioni che avevano scelto IDCF Cloud anche per l’affidabilità promessa da un fornitore con sede e dati in territorio giapponese.
Chi è IDC Frontier e perché l’incidente pesa così tanto
IDC Frontier è una società controllata da SoftBank Group, il conglomerato di investimenti con sede a Tokyo noto anche per essere tra i maggiori investitori di OpenAI. IDCF Cloud, il servizio infrastructure-as-a-service dell’azienda, affitta server virtuali, storage e connettività a imprese ed enti pubblici che vogliono mantenere i propri dati su suolo giapponese, posizionandosi come alternativa nazionale a colossi come Amazon Web Services, Microsoft Azure e Google Cloud. È proprio questa scelta di concentrazione, molte organizzazioni diverse su un’unica infrastruttura percepita come più sicura perché locale, ad aver trasformato una violazione in un problema che va ben oltre l’IT di una singola azienda.
Il concetto di cloud sovrano nasce per rispondere a preoccupazioni reali su giurisdizione dei dati, controllo normativo e indipendenza dai grandi fornitori statunitensi. L’incidente di IDCF Cloud mostra però il rovescio della medaglia: quando centinaia di enti diversi, dalle ferrovie alla polizia prefetturale, si affidano allo stesso singolo punto di failure, un attacco riuscito smette di essere un problema isolato e diventa un rischio sistemico per intere filiere nazionali.
Le cifre dichiarate dagli attaccanti: 3,6 petabyte e 554.153 snapshot
Prima di essere bloccati fuori dalla console, alcuni clienti hanno visto comparire sullo schermo un messaggio attribuito agli attaccanti, firmato con la frase “Your Cloud is Ours”. Secondo quanto riportato da Security Boulevard nella sua analisi dell’incidente (pubblicata il 12 ottobre), il gruppo responsabile sostiene di aver compromesso 239 hypervisor, bloccato 225 sistemi di storage per un totale dichiarato di 3,6 petabyte di dati, cifrato oltre 16.000 dischi di macchine virtuali e cancellato 554.153 snapshot di backup. Gli attaccanti affermano che l’intera operazione sia durata appena sette minuti.
Queste cifre restano, per ora, affermazioni non verificate in modo indipendente. Il ransom note non cita il nome di alcun gruppo ransomware conosciuto, e alcuni ricercatori di sicurezza hanno già notato che la console cloud mostrata negli screenshot circolati online non risultava accessibile al momento della verifica, un dettaglio che alimenta dubbi sulla reale portata di quanto dichiarato. IDC Frontier, da parte sua, non ha reso pubblico se sia stato richiesto un riscatto né se, oltre alla cifratura, ci sia stata anche sottrazione di dati.
La cronologia e i numeri chiave in una tabella
Per orientarsi tra fatti confermati e cifre ancora da verificare, riassumiamo i dati principali raccolti finora sull’incidente.
| Dato | Valore | Stato |
|---|---|---|
| Inizio attacco | 7 ottobre 2026, ore 3:40 locali | Confermato da IDC Frontier |
| Aziende ed enti pubblici coinvolti | 495 | Confermato da IDC Frontier |
| Zone cloud danneggiate in modo grave | 4 | Confermato da IDC Frontier |
| Hypervisor raggiunti | 239 | Dichiarazione degli attaccanti |
| Sistemi di storage cifrati | 225 | Dichiarazione degli attaccanti |
| Volume di dati cifrati | 3,6 petabyte | Dichiarazione degli attaccanti |
| Dischi VM cifrati | oltre 16.000 | Dichiarazione degli attaccanti |
| Snapshot di backup cancellati | 554.153 | Dichiarazione degli attaccanti |
| Durata dichiarata dell’intrusione | 7 minuti | Dichiarazione degli attaccanti |
| Record potenzialmente esposti (JR East / View Card) | fino a 6,09 milioni | Confermato dalle aziende coinvolte |
| Record email coinvolti (JR Kyushu) | circa 1,3 milioni | Confermato da JR Kyushu |
Le aziende colpite: da JR East a Nissui Logistics
East Japan Railway Company, il più grande operatore ferroviario del Giappone noto come JR East, e la sua controllata per le carte di credito View Card sono state tra le prime realtà a confermare l’impatto. Le due società hanno dichiarato che fino a 6,09 milioni di record potrebbero essere stati esposti tramite i servizi di invio email ospitati su IDCF Cloud, pur precisando che numeri di carte di credito, indirizzi di residenza e numeri di telefono non risultano compromessi. Separatamente, JR Kyushu ha segnalato circa 1,3 milioni di record email coinvolti dallo stesso tipo di esposizione.
L’impatto non si è fermato ai dati. Nissui Logistics, la divisione logistica del gruppo alimentare giapponese Nissui (circa 11.500 dipendenti nell’intero gruppo, attivo in pesca, acquacoltura, lavorazione e distribuzione), ha segnalato un blocco dei sistemi che ha impedito per un periodo la spedizione e la ricezione di merci, in seguito a un presunto accesso non autorizzato a un data center di terze parti. La società gestisce 17 centri di stoccaggio refrigerato e distribuzione con una capacità complessiva stimata in circa 400.000 tonnellate, infrastrutture che servono produttori, grossisti, catene di vendita e ristoranti in tutto il Giappone. Al momento non è confermato se l’incidente in Nissui Logistics sia collegato direttamente all’attacco su IDCF Cloud o rappresenti un episodio separato che coinvolge un altro data center terzo.
Secondo le ricostruzioni circolate sui media giapponesi, la lista delle organizzazioni potenzialmente coinvolte si allunga ogni giorno e includerebbe, tra gli altri, la polizia della prefettura di Ibaraki, l’agenzia di stampa Jiji Press, l’app di messaggistica per i fan del gruppo musicale SKE48, il portale di prenotazioni di viaggi Skyticket, la catena di karaoke Daiichikosho e la piattaforma di e-commerce FutureShop. Solo una piccola parte delle 495 organizzazioni coinvolte ha commentato pubblicamente finora, e sono attese nuove conferme nelle prossime settimane man mano che i singoli clienti completano le proprie verifiche interne.
Perché nessun gruppo ransomware ha ancora rivendicato l’attacco
Uno degli elementi più insoliti di questo caso è l’assenza di una rivendicazione chiara. Gli attacchi ransomware di grande scala, in genere, servono a generare un pagamento, e i gruppi che li conducono hanno interesse a farsi riconoscere entro pochi giorni, pubblicando i dati rubati su siti di leak per fare pressione sulle vittime. Qui non è successo: il messaggio lasciato sulla console non cita alcun marchio riconoscibile tra i gruppi attivi monitorati dai ricercatori, e questo rende più complesso per i difensori capire con quali tattiche, tecniche e procedure abbiano davvero a che fare.
Due scenari sono plausibili. Il primo è che si tratti di un gruppo nuovo o poco conosciuto che sta ancora costruendo la propria reputazione criminale e non ha interesse, per ora, a farsi identificare. Il secondo è che l’assenza di rivendicazione sia essa stessa una tattica: mantenere l’incertezza su chi sia l’autore dell’attacco e su quanto siano reali le cifre dichiarate aumenta la pressione psicologica sulle vittime, che devono decidere come comportarsi senza sapere con certezza cosa è stato davvero sottratto o cifrato.
Il contesto storico: il 2026 è l’anno peggiore per il Giappone
L’attacco a IDCF Cloud non arriva isolato. Il ricercatore Yutaka Sejiyama della società di sicurezza giapponese Macnica ha tracciato un aumento costante degli incidenti che coinvolgono furto o esposizione di dati personali contro entità giapponesi: 119 episodi registrati dall’inizio del 2026 fino al 6 ottobre, di cui 83 concentrati solo tra il 1 luglio e il 6 ottobre. Per fare un confronto, lo stesso tipo di monitoraggio aveva contato 84 incidenti in tutto il 2025 e 62 nel 2024. La curva, insomma, sta accelerando bruscamente proprio nell’ultimo trimestre.
Gli analisti di Macnica collegano parte di questa accelerazione alla diffusione di strumenti di intelligenza artificiale a basso costo, che rendono più economico ed efficiente il lavoro di scansione automatica di siti e API alla ricerca di errori di configurazione, controlli di accesso deboli e vulnerabilità note non ancora corrette. In passato, trovare debolezze specifiche su un singolo sito richiedeva tempo e competenze tali da rendere poco attraenti i bersagli piccoli. L’automazione sta cambiando questo calcolo, ampliando il numero di obiettivi che diventa economicamente sensato colpire.
Confronto con altri incidenti ransomware in Giappone nel 2026
L’attacco a IDCF Cloud si inserisce in una serie di episodi che, nel 2026, hanno colpito ripetutamente infrastrutture digitali giapponesi. La tabella seguente confronta alcuni dei casi più rilevanti dell’anno per dimensione e natura dell’impatto.
| Incidente | Tipo | Impatto dichiarato | Rivendicazione |
|---|---|---|---|
| IDCF Cloud / IDC Frontier | Ransomware su cloud provider | 495 aziende ed enti pubblici, 3,6 PB dichiarati cifrati | Non rivendicato da un gruppo noto |
| Sakura Internet | Violazione dati | Fino a 1,36 milioni di account coinvolti | Non specificata nelle fonti disponibili |
| Università Keio | Ransomware | Sistemi gestionali interni interrotti | Non specificata nelle fonti disponibili |
| Asahi (gruppo birrario) | Ransomware | Citato dal governo come precedente ad alto profilo | Non specificata nelle fonti disponibili |
Il denominatore comune di questi episodi è la velocità con cui un singolo punto di ingresso compromesso si propaga su reti di fornitura digitale condivise. Non sorprende che l’ufficio nazionale per la cybersicurezza giapponese, istituito appena un anno fa dopo una serie di incidenti ad alto profilo tra cui proprio quello che ha colpito il gruppo Asahi, abbia scelto di intervenire pubblicamente anche in questo caso.
La reazione del governo giapponese
Venerdì, l’Ufficio nazionale per la cybersicurezza del Giappone ha inviato una lettera ai ministeri, con l’indicazione di trasmetterla a enti pubblici locali e aziende private. Il messaggio del governo è stato netto: la sicurezza informatica non può più essere considerata un problema esclusivo del reparto IT. La lettera invita le organizzazioni ad aggiornare costantemente le proprie protezioni, adottare password robuste e rafforzare i controlli lungo l’intera catena di fornitura digitale, segnalando anche come l’intelligenza artificiale stia rendendo le vulnerabilità sempre più complesse da gestire per i team di sicurezza.
Il caso IDCF Cloud rischia di alimentare un dibattito più ampio in Giappone sulla rischiosità di concentrare dati sensibili su un numero ridotto di fornitori cloud nazionali. La promessa del cloud sovrano, dati custoditi in casa e lontani dalla giurisdizione straniera, si scontra con la realtà di un’infrastruttura che, se compromessa, può interrompere contemporaneamente trasporti, forze dell’ordine e distribuzione alimentare.
Impatto sul mercato del cloud sovrano e sulla fiducia dei clienti
Per IDC Frontier e per SoftBank, l’impatto reputazionale rischia di essere più duraturo del danno tecnico immediato. IDCF Cloud si vendeva come alternativa affidabile ai grandi hyperscaler americani proprio per le aziende e gli enti pubblici che volevano evitare l’esposizione a normative straniere sui dati. Un attacco che costringe centinaia di clienti a ricostruire sistemi da zero, con la sola prospettiva di recupero tramite backup personali, mina esattamente quella promessa di affidabilità locale su cui si basava il posizionamento commerciale del servizio.
Sul piano più ampio, l’episodio arriva in un momento in cui molte aziende europee, incluse quelle italiane, stanno valutando percorsi simili verso soluzioni cloud nazionali o regionali per motivi di conformità normativa e indipendenza strategica. L’incidente di IDCF Cloud dimostra che la sovranità dei dati non equivale automaticamente a maggiore sicurezza. Conta molto di più come viene progettata la segmentazione tra clienti, quanto sono isolate le zone di disaster recovery e quanto rapidamente un fornitore riesce a contenere un’intrusione prima che si propaghi su più regioni.
Cosa possono imparare le aziende europee e italiane
La lezione più diretta per i responsabili IT europei riguarda i backup. Molte delle 495 organizzazioni coinvolte nell’incidente IDCF Cloud rischiano di perdere dati in modo permanente non perché abbiano commesso errori proprie, ma perché si erano affidate a un singolo fornitore senza mantenere copie indipendenti e offline. Le rassegne settimanali di cybersecurity, come quella pubblicata da Immuniweb nella sua newsletter sulle indagini sul cybercrimine (consultabile qui), continuano a segnalare casi simili in cui la dipendenza da un unico provider cloud amplifica l’impatto di un singolo evento di compromissione.
Le pratiche minime che riducono questo rischio non sono nuove, ma restano spesso trascurate: backup offline e immutabili separati dal provider principale, segmentazione reale tra zone e regioni, controlli di accesso rafforzati sulle console di gestione e monitoraggio continuo delle applicazioni esposte online. Testate specializzate come Infosecurity Magazine (nella sua sezione notizie) e The Hacker News, che dedica un’intera categoria alle violazioni di dati (disponibile qui), ricordano con regolarità che la maggior parte degli incidenti di grande scala nasce da configurazioni errate o accessi non protetti, non da exploit sofisticati e inediti.
Per le aziende che gestiscono filiere critiche, trasporti, sanità, distribuzione alimentare, energia, il caso IDCF Cloud suggerisce anche di rivedere i contratti con i fornitori cloud per includere clausole chiare su tempi di notifica, responsabilità in caso di perdita permanente dei dati e obblighi di segmentazione tra clienti diversi sulla stessa infrastruttura.
Analisi: un attacco non firmato è un campanello d’allarme più grande
Il fatto che nessun gruppo noto abbia rivendicato l’attacco meriterebbe più attenzione di quanta ne stia ricevendo. Gli attacchi ransomware di questa scala, quasi sempre, servono a generare un pagamento, e i gruppi che li conducono hanno interesse a farsi riconoscere per costruire una reputazione di affidabilità criminale verso le vittime future. Un’operazione che resta anonima, con cifre dichiarate ma non verificabili e senza richiesta di riscatto pubblica, lascia aperte diverse ipotesi: un attore emergente che sta testando le proprie capacità, un gruppo che preferisce l’estorsione silenziosa diretta a IDC Frontier senza esposizione pubblica, oppure, meno probabile ma non da escludere, un’operazione con finalità diverse dal semplice guadagno economico, come sabotaggio o dimostrazione di capacità.
Qualunque sia la motivazione reale, la combinazione di scala, settori critici coinvolti e assenza di rivendicazione rende questo caso un riferimento che probabilmente verrà citato per anni negli studi su resilienza del cloud e gestione del rischio di terze parti.
Previsioni: cosa aspettarsi nelle prossime settimane
- Nuove aziende tra le 495 coinvolte confermeranno pubblicamente l’impatto subito, con dettagli più precisi su dati esposti e tempi di ripristino.
- È probabile che emergano informazioni più chiare sull’identità del gruppo responsabile, anche attraverso analisi forensi indipendenti sulle tecniche usate.
- Il governo giapponese valuterà requisiti più stringenti di resilienza e segmentazione per i fornitori cloud che si presentano come alternative sovrane nazionali.
- Cresceranno le richieste, da parte di clienti enterprise, di backup offline obbligatori e test di disaster recovery indipendenti dal fornitore cloud principale.
- Il dibattito europeo e italiano su cloud sovrano e strategie multi-cloud riceverà nuovo impulso proprio citando il caso IDCF Cloud come esempio dei rischi di concentrazione.
Domande frequenti
Cos’è IDCF Cloud e chi lo gestisce?
IDCF Cloud è la piattaforma cloud infrastructure-as-a-service gestita da IDC Frontier, società controllata dal conglomerato giapponese SoftBank Group. Offre server virtuali, storage e connettività a imprese ed enti pubblici giapponesi che vogliono mantenere i propri dati su territorio nazionale.
Quante aziende sono state colpite dall’attacco a IDCF Cloud?
IDC Frontier ha confermato che l’attacco ha coinvolto 495 aziende ed enti pubblici che si appoggiano al servizio, con quattro zone cloud danneggiate in modo grave nella regione East Japan Region 1.
Quali dati sono stati rubati o cifrati nell’attacco?
Gli attaccanti dichiarano di aver cifrato 3,6 petabyte di dati distribuiti su 225 sistemi di storage, raggiunto 239 hypervisor, cifrato oltre 16.000 dischi di macchine virtuali e cancellato 554.153 snapshot di backup. Nessuna di queste cifre è stata confermata in modo indipendente da terzi.
Chi ha rivendicato l’attacco a IDCF Cloud?
Nessun gruppo ransomware conosciuto ha rivendicato pubblicamente l’operazione. Il messaggio lasciato sulla console dei clienti, firmato “Your Cloud is Ours”, non contiene riferimenti a marchi di gruppi ransomware già monitorati dai ricercatori di sicurezza.
I dati dei clienti IDCF Cloud possono essere recuperati?
IDC Frontier ha comunicato che il recupero dei dati nella parte colpita di East Japan Region 1 sarà probabilmente difficile e che, per molti clienti, l’unica via realistica resterà il ripristino da backup conservati autonomamente, non quelli sulla piattaforma stessa.
Quali grandi aziende giapponesi sono state colpite indirettamente?
Tra le vittime indirette confermate figurano JR East e la controllata View Card, con un massimo di 6,09 milioni di record potenzialmente esposti, JR Kyushu con circa 1,3 milioni di record email coinvolti, e Nissui Logistics, che ha subito un blocco operativo nella spedizione e ricezione di merci.
Cosa ha fatto il governo giapponese dopo l’attacco?
L’Ufficio nazionale per la cybersicurezza del Giappone ha inviato una lettera a ministeri, enti pubblici locali e aziende private, chiedendo di aggiornare le protezioni di sicurezza, usare password robuste e rafforzare i controlli sulla catena di fornitura digitale, segnalando come l’intelligenza artificiale renda le vulnerabilità sempre più complesse da gestire.
Cosa possono imparare le aziende italiane ed europee da questo caso?
La lezione principale riguarda la gestione indipendente dei backup e la riduzione della dipendenza da un singolo fornitore cloud per sistemi critici. Mantenere copie offline, segmentare le zone di disaster recovery e verificare contrattualmente gli obblighi di notifica e responsabilità del fornitore restano le misure più concrete per limitare l’impatto di un incidente analogo.