12/19

新章　第七話　寄せ集めの巨大通信帝国

第七話　寄せ集めの巨大通信帝国

　　　　ソフトバンクIDC

　二〇二六年十月七日、午前三時四十分ごろ。

　法人向けクラウドサービス「IDCFクラウド」の一部システムに、第三者による不正アクセスが発生した。

　運営会社は、株式会社IDCフロンティア。

　ソフトバンクグループに連なる、デジタルインフラ事業者である。

　その後、同社はランサムウェア攻撃を受けたことを公表した。

　影響を受けたのは、クラウドサービスを利用していた多数の企業や自治体だった。

　システムが停止すれば、顧客の業務も止まる。

　データを預けていた企業にとって、それは単なる通信障害では済まされない問題だった。

　私は、この事件を調べながら、ある疑問に行き着いた。

　ソフトバンクは、いったい、どれほど異なる通信事業の歴史を、一つの企業グループの中に抱えてきたのだろうか。

　　　　　＊

一　携帯電話、固定通信、PHS、国際通信

　現在のソフトバンクの通信事業は、最初から一つの会社として設計されたものではない。

　その歴史をたどると、異なる企業、異なる通信網、異なる事業文化が、何度も買収や合併、事業再編を経て集まってきたことが分かる。

　携帯電話事業の大きな転機となったのは、二〇〇六年のボーダフォン日本法人の買収だった。

　それまでソフトバンクは、主としてインターネット接続やブロードバンド事業などを展開していた。

　そこへ、全国規模の携帯電話事業が加わった。

　一方、固定通信には日本テレコムの歴史がある。

　日本テレコムは、鉄道通信などをルーツに持ち、国内の固定電話や専用線、法人向け通信サービスを発展させてきた企業だった。

　さらに、PHSの系譜にはDDIポケットがある。

　DDIポケットは一九九五年にPHSサービスを開始した。その後、ウィルコムなどへの事業承継や再編を経て、二〇一〇年にはソフトバンクがウィルコムを子会社化した。

　PHSと携帯電話は、同じ無線通信でも、ネットワークの構成やサービスの歴史が異なる。

　基地局、交換設備、認証システム、顧客管理、料金計算。

　通信事業を支える仕組みは、単純に社名を変更すれば一つになるものではない。

　そして、国際通信やインターネット接続、データセンターの領域には、ケーブル・アンド・ワイヤレスIDCという、また別の歴史があった。

　同社は国際通信やデータ通信を手がけ、二〇〇五年にソフトバンクによる買収が完了した。

　その後、社名変更や事業分割、再編を経て、現在のIDCフロンティアにつながる企業の系譜が形成されていった。

　携帯電話。

　固定通信。

　PHS。

　国際通信。

　インターネット接続。

　データセンター。

　それぞれが、異なる技術と歴史を持っていた。

　ソフトバンクの通信事業は、こうした複数の系譜が重なり合って成立してきたのである。

　　　　　＊

二　買収することと、統合することは違う

　企業買収には、分かりやすい成果がある。

　顧客が増える。

　設備が手に入る。

　新しい市場へ進出できる。

　通信網やデータセンターなどの事業基盤を、一から構築する必要もなくなる。

　しかし、買収によって手に入れたものを、一つの組織として安全に運用できるようにするには、別の仕事が必要になる。

　ここに、見落としてはならない問題がある。

　異なる企業が持っていたシステムは、同じ設計思想で作られているとは限らない。

　認証の仕組みが異なるかもしれない。

　管理者権限の付与方法が異なるかもしれない。

　セキュリティー上の基準や、障害発生時の連絡経路が違うかもしれない。

　ある企業では当然とされていた運用が、別の企業では採用されていなかった可能性もある。

　買収後に必要なのは、企業名を統一することだけではない。

　システムの構成を把握し、責任の所在を明確にし、異なる環境を安全に接続し、古い仕組みを必要に応じて更新していくことだ。

　しかも、その作業は一度で終わらない。

　新しい企業が加われば、再び統合が必要になる。

　新しいサービスが始まれば、既存システムとの接続が増える。

　古い設備を使い続けるなら、その保守と更新の責任も残る。

　企業の成長によって、管理すべきものが増えていくのだ。

　だからこそ、企業買収の成功を、売上や市場占有率だけで評価することはできない。

　買収した組織を、安全に運用できる状態にまで統合できたのか。

　そこまで検証して初めて、買収後の経営を評価できる。

　　　　　＊

三　IDCフロンティアに残された複雑な系譜

　IDCフロンティアの沿革を確認すると、ケーブル・アンド・ワイヤレスIDCという名称だけでは説明できない歴史が見えてくる。

　二〇〇二年には、旧PSINet Japanや東京インターネットとの合併があった。

　二〇〇三年には、エクソダス・コミュニケーションズとの合併が記録されている。

　二〇〇五年には、ソフトバンクによる買収が完了し、ソフトバンクIDCへと社名が変更された。同年、アバヴネットジャパンも合併している。

　その後も事業の分割や再編が続き、二〇〇九年にはヤフーグループに参加した。

　こうした経緯は、IDCフロンティアの事業基盤が、複数の企業や組織の歴史を受け継いでいることを示している。

　もちろん、企業が合併を重ねていること自体は、セキュリティー上の欠陥を意味しない。

　異なる技術や運用方法を統合することで、サービスを改善できる場合もある。

　問題は、統合の過程で何が引き継がれ、何が更新され、何が残されたのかという点にある。

　たとえば、過去のシステムが現在も残っているなら、それは適切に管理されているのか。

　複数の認証基盤が存在するなら、管理者権限は一元的に把握されているのか。

　ネットワークが接続されているなら、一つの環境への侵入が別の環境へ広がらないように設計されているのか。

　障害が発生した場合、どの部門が判断し、誰が復旧を指揮するのか。

　これらは、実際の構成や運用記録を調べなければ分からない。

　今回の事件についても、過去の企業統合が原因だったと断定できる証拠は、現時点では確認できない。

　しかし、長い企業再編の歴史を持つ事業者だからこそ、システムの統合状況を検証する意味がある。

　問うべきなのは、会社がいくつ合併したかではない。

　その結果として、技術と責任体制が、本当に一つの安全な仕組みになっていたのかである。

　　　　　＊

四　ソフトバンクという看板の裏側

　ソフトバンクグループは、通信事業の拡大にあたり、異なる企業の事業基盤を取り込んできた。

　それは、成長戦略として理解できる。

　既存の通信網を利用できれば、新たな市場への参入を早められる。

　すでに顧客を持つ企業を傘下に収めれば、サービスの提供範囲を広げられる。

　しかし、外から見えるブランドが一つになったからといって、内部のシステムまで完全に一体化したとは限らない。

　顧客にとっては、ソフトバンクという名前であれ、IDCフロンティアという名前であれ、サービスを提供する企業が信頼できるかどうかが重要になる。

　利用者は、企業の合併履歴を一つずつ調べてから、クラウドサービスを契約するわけではない。

　顧客が期待しているのは、自分たちの業務を安全に支えてくれることだ。

　だからこそ、企業側には、内部の複雑さを顧客に押しつけない責任がある。

　複数のシステムが残っているなら、その全体を管理する。

　組織が分かれているなら、事故発生時の責任分担を明確にする。

　古い技術が残っているなら、リスクを評価し、必要な更新を行う。

　企業の歴史が複雑であることは、顧客にとっての免責理由にはならない。

　むしろ、大きな事業基盤を預かる企業ほど、その複雑さを管理する能力が問われるのである。

　　　　　＊

五　今回の攻撃で、何が問われるのか

　今回のIDCFクラウドの事件では、ランサムウェア攻撃によってサービスに重大な障害が発生した。

　顧客の業務が止まり、復旧やデータの取り扱いをめぐる問題が生じた。

　一方、同社は、影響を受けた顧客の仮想サーバー内のデータについて、外部への流出を示す痕跡は確認されなかったと説明している。また、管理用ポータルでは、四十八社の登録情報に対する不正な照会が確認されたものの、それらの情報についても外部への持ち出しを示す痕跡は確認されなかったとしている。

　この説明を踏まえるなら、情報流出の有無と、サービス停止による被害は分けて考える必要がある。

　データが外部へ流出したと確認されていないことは、重要な事実だ。

　しかし、それによって顧客の業務が停止した事実まで消えるわけではない。

　そして、今回の攻撃が過去のシステム統合に起因していたのかどうかも、別途検証されなければならない。

　具体的には、次の点が重要になる。

　第一に、侵入経路は何だったのか。

　第二に、攻撃者はどのシステムへアクセスし、どこまで操作できたのか。

　第三に、システム間の分離や管理者権限の制御は、十分に機能していたのか。

　第四に、バックアップと復旧の仕組みは、想定した時間内に機能する設計だったのか。

　第五に、異なる事業やシステムを横断するセキュリティー管理体制は、どのように構築されていたのか。

　これらの答えが明らかになれば、今回の事件を単なる攻撃被害としてではなく、企業のシステム管理と事業継続の問題として評価できるようになる。

　反対に、調査結果が十分に公表されなければ、過去の統合が影響したのかどうかを判断することはできない。

　批判するためにも、まず事実を明らかにする必要がある。

　　　　　＊

六　寄せ集めであることより、統合できているかどうか

　企業が異なる組織を取り込むことは、珍しいことではない。

　通信業界に限らず、金融、製造、流通、ITなど、さまざまな業界で買収や合併が繰り返されている。

　異なる企業の技術や人材を組み合わせることは、新しいサービスを生み出す可能性を持っている。

　だから、寄せ集めであること自体が問題なのではない。

　問題は、寄せ集めた後に、何を統合し、何を統合せずに残し、残した部分を誰が責任を持って管理しているのかということだ。

　すべてのシステムを一つに統合することが、必ずしも最善とは限らない。

　独立したシステムを維持する方が安全な場合もある。

　重要なのは、システムが分かれていることではなく、その分離が意図的に設計され、適切に管理されているかどうかである。

　企業の規模が大きくなればなるほど、全体像を把握することは難しくなる。

　その難しさを認識し、管理することこそ、経営の責任である。

　もし、複雑な企業構造の中で、誰も全体を把握していなかったとしたら。

　もし、古いシステムの管理責任が曖昧になっていたとしたら。

　もし、部門ごとの対策は存在していても、システム全体としての防御が不十分だったとしたら。

　それは、単なる技術上の問題ではない。

　組織の設計と経営管理の問題でもある。

　ただし、今回の事件で、実際にそうした問題が存在していたかどうかは、調査結果によって判断されるべきである。

　　　　　＊

　ソフトバンクの通信事業には、携帯電話、固定通信、PHS、国際通信、インターネット接続、データセンターなど、異なる歴史を持つ事業が集まっている。

　IDCフロンティアにも、複数の企業の系譜がある。

　その歴史は、事業を拡大することの難しさと、統合を続けることの難しさを示している。

　今回の事件について、過去のシステム統合の失敗が原因だったと断定することはできない。

　しかし、だからといって、その可能性を調べる必要がないわけでもない。

　企業買収によって事業を大きくすることと、その事業を安全に運用できるようにすることは、別の仕事なのだ。

　ソフトバンクIDCは、イチバンマヌケだったのか。

　その順位を確定するには、まだ十分な根拠がない。

　だが、今回の事件を通じて、確認しなければならないことは明確になった。

　複数の企業から受け継いだシステムは、どのように管理されていたのか。

　異なる組織の運用体制は、どこまで統一されていたのか。

　そして、顧客の情報と業務を守るための仕組みは、本当に機能していたのか。

　その答えは、企業の看板にも、買収の実績にも書かれていない。

　具体的な調査結果と、事故後の対応によって示されなければならない。

　企業を買収することはできる。

　設備を手に入れることもできる。

　顧客を増やすこともできる。

　しかし、信頼だけは、買収することができない。

　信頼は、複雑なシステムを管理し、事故を防ぎ、事故が起きたときに責任を果たすことによってしか築けないのである。

第七話　寄せ集めの巨大通信帝国――ソフトバンクIDCは、何を統合できていなかったのか