ソフトバンク社長が子会社への不正アクセスを陳謝、オープンソース未診断と偵察増加を説明
ソフトバンクの宮川潤一社長は2026年11月9日の会見で、子会社IDCフロンティアへの不正アクセスについて陳謝した。侵入経路は脆弱性を診断していなかったオープンソースで、495の企業・自治体に影響が出たがデータ流出はなかったとしている。攻撃前段階の偵察が増えていることも示された。
何が起きたか
ソフトバンクの宮川潤一社長は2026年11月9日に開いた会見で、先月に子会社がサイバー攻撃を受け、自治体や企業などのサイトが閲覧できなくなるなどの影響が出た問題について陳謝した。産経新聞の報道によると、子会社IDCフロンティアへの攻撃では、一般公開されているオープンソースに含まれた脆弱性を突かれ、自社開発の700システムは脆弱性を検査したがオープンソースは実施していなかった。サービスを契約する495の企業や自治体に影響が出たが、データの外部流出はなかったとしている。
攻撃の特徴と対応方針
産経新聞によると、犯行は不正なアクセスを検知してからわずか7分間で行われた。宮川社長は不正アクセスを検知して被害が発生するまでの時間が短縮傾向にあるとし、サービスを停止して不正アクセスを遮断することを優先する方針を強調した。TBSの報道では、攻撃の前段階となる「偵察」が去年は月平均3億件ほどだったが最近では6億件から7億件と倍に増えていること、異常を検知したらまず遮断する運用に切り替えたことが示された。宮川社長は「人の手では対応しきれない」と述べたという。
企業・産業への影響
今回の開示は、自社開発部分の診断を終えていても外部由来のソフトが侵入経路になり得ることを示す。取引先495の企業・自治体に影響が及んだ点を踏まえると、クラウド事業者を介する企業は、委託先のソフト構成や診断範囲の確認を迫られる可能性がある。もっとも、影響や流出の有無は現時点で公表内容に限られ、被害の全容は今後の調査次第とみられる。
防御手法を巡る論点
産経新聞によると、宮川社長はサイトへの接続を強制遮断する「ブロッキング」について「個人の権利を守るための手段としてあり得る」とした一方、「通信の秘密に関わるため、法律で基準が整理されることを前提に実施されるべき」と政府に法整備を求めた。防御手段の強化と通信の秘密の調整は、通信・IT業界に共通する制度上の論点になり得るが、具体的な制度設計は今後の議論に委ねられている。