「天に召されたデータに献杯！」：あの日、何が起こったのか――ファーストサーバデータ消失オフレポート

[岡田有花，フリーライター]

「お店のWebサイトが見られない」「顧客データ1万件が消えた」――6月20日に起きたファーストサーバの大規模障害にほんろうされた人々が、愚痴をこぼしながら名刺と杯を交換するイベントが行われた。（編集部）

100人近くが「天に召されたデータに献杯！」

阿佐ヶ谷ロフトAの入り口の看板

　「天に召されたデータに献杯！」――6月20日に起きたファーストサーバの大規模障害にほんろうされた人々が、心ゆくまで愚痴をこぼしながら名刺や杯を交換するイベント「ファーストサーバ データ消失オフ『データはどこへ消えた？』」が、7月14日深夜、東京・阿佐ヶ谷のライブハウス「阿佐ヶ谷ロフトA」で開かれた。

　土曜の深夜という時間帯にもかかわらず、自社のサーバが被害に遭った人やファーストサーバの同業他社、業界関係者など100人近くが集結。隣人のデータ消失被害に同情を寄せ、復旧の報告に歓声を上げるなど、深夜の阿佐ヶ谷は異様な熱気に包まれた。

会場内の様子。100人近くが詰めかけ、立ち見も出た

　障害が起きたのは6月20日17時。ファーストサーバが運営する一部サービスで、サーバ上にアップロードしたデータ、メールボックス内のデータ、システム領域に保存されていた設定情報が消失した。影響を受けたユーザー数は5000以上ともいわれている。

　その後明らかにされたファーストサーバの説明によれば、原因は、脆弱性対策のために作成した更新プログラムにバグが含まれていたこと。ファイル削除コマンドを停止させる記述が漏れていた上に、メンテナンス対象となるサーバ群を指定するための記述も漏れていた。このため、更新プログラムを適用したはずが、本番環境のみならずバックアップ環境も含め、すべてのサーバ上のデータが消失してしまった。

　この結果顧客側では、運営していたECサイトのデータ4万件以上がすべて消えたり、1万件の顧客データを失ったり、サイボウズのデータ100Gバイト分が消失したり……。運用の現場は、文字通り阿鼻叫喚と化した。

　今回のイベントでは、来場者からの被害報告や、メールで寄せられた声が披露された。会を主催したロフトグループ（ロフトプロジェクト）も被害に遭った1社で、店舗のWebサイトとメールデータが消失。同社のWeb担当者・山西啓太さんが、障害発生から復旧までの経緯を語った。

あの日、何が起こったのか――ロフトグループの場合

　山西さんが異変に気付いたのは20日17時ごろ。「お店のWebサイトが見られない」という声を受けて障害を確認。ファーストサーバに電話したもののつながらず、2ちゃんねるやTwitterなどで情報収集するしかなかったという。「このときは、こんなこと（全データ消失）になるとは思わなかった」と山西さんは振り返る。

　20時ごろ「障害は原因不明で調査中」とアナウンスがあり、「明日は大変になりそうだ」と思いながら帰宅。帰宅後も情報収集を続けていたところ、21日午前3時半、「お客様データが消失したことが判明いたしました」という絶望的なアナウンスを受け取った。その4時間後、「サーバのデータを初期化した」とアナウンスがあり、ログインしてみたところ、「本当に初期状態、真っ白になっていました。HDDの使用量は0.数％。メールは3件しかありませんでした」。

　山西さんはまず、スタッフ全員のメールアドレスを復旧。同日夕方ごろ、メールが利用できるようになった。店舗サイトのデータについてはローカルにバックアップを取ってあったが、各店のイベントスケジュールはCMSで作っていたため消失。「Googleという神様にお願いして」キャッシュから復旧を試みたり、各店舗の担当者に手動での再入力を依頼し、復旧に向けて作業していった。

　21日夕方、Webサイトは、重要な情報のみをテキストで掲載した簡易的な“テキストサイト”として復活。そのレトロな雰囲気と、aタグやblinkタグなどHTMLタグを1日1つずつ追加していくギミックが評判を呼び、2ちゃんねるにスレッドが立った。

テキストサイトと化したロフトグループのWebページ

　その後も一時、FTPとPOPが利用できなくなるなど受難は続く。そして23日、「データ復旧は不可能と判断した」とファーストサーバが白旗を揚げ、「データはそう簡単に消えるはずがない」と期待していたユーザーを失望のどん底に突き落とした。

某アニメ風に復活

　24日、ロフトグループは「データ消失オフ」の開催を決定し、Twitterなどで告知。小規模にやるつもりがネットで話題になり、来場希望の問い合わせが相次いだ。

　その裏で山西さんは店舗サイトの復旧作業を続け、26日、WordPressを使った旧来のサイトが復旧。トップページには、「データ消失」という文字を、黒バックに明朝体の某アニメ風体裁で掲載。クリックするとオフ会の告知サイトにアクセスする仕組みで、「けっこう好評でした」（山西さん）。

　ユーモアを交えて危機を乗り切ったロフトグループだが、いまだ後遺症が残っているという。イベント参加をメールで予約するシステムが復旧していないのだ。同社は、サーバ事業者の乗り換えを決めている。

クラウド事業者に風評被害も

　イベントでは、ファーストサーバのサイトに掲載された経緯の説明を見ながら、「脆弱性対策のプログラムになぜ、ファイル削除コマンドを入れる必要があったのか」「本番環境に投入する前にプログラムのレビューがなされていなかったのではないか」など、運営体制の問題点が指摘された。

　一方で事件を受け、クラウド事業者には「風評被害」が広がっているという。ファーストサーバの同業他社に勤めるふくやんさんと、法人向けクラウド大手、セールスフォース・ドットコムのセールスエンジニア・原田豪さんは、ファーストサーバの障害が起きて以来、顧客に「御社は大丈夫？」と聞かれると口をそろえる。

　「ファーストサーバで起きたミスは、うちの会社ではあり得ない。ファーストサーバの場合は影響範囲が複数のサービスにまたがっており、共有サーバのみならず専用サーバも含まれていた。だが（一般に）、1つのプログラムで全部殺すのは逆に難しい」とふくやんさん。

　原田さんは、「一口にクラウドといっても、プライベートクラウドはホスティングサービスに近い。本来クラウドコンピューティングとホスティングはまったく違うはずなのに、同じように見られてしまい、風評被害を受けている。セールスフォースは国内外合わせて4カ所でバックアップを取り、プログラムは厳重にレビューしている。研究開発投資は10年間で700億円。それぐらい投資しないとクラウドは運用できないし、信頼してもらえない」と話す。

　また一連の障害については、IT系専門メディアなどが次々に報じたが、報道の量は当事者の期待よりも少なかったようだ。「ファーストサーバはヤフー子会社。ヤフーの圧力でメディアの報道が規制されたのでは」と見る向きも。筆者はメディア事情を知るライターとして、「被害の実態が一般に分かりづらかったため、報道しにくかったのでは」と説明した。

機会損失は泣き寝入り？ 賠償は請求できるのか

　ファーストサーバはFAQで賠償について、「サービス利用契約約款に基づいて、お客様にサービスの対価としてお支払いただいた総額を限度額として、損害賠償させていただきます」と説明。自社サイトにアクセスできないことなどで発生した機会損失については、「損害賠償の対象とさせていただく予定はございません」としている。

　イベントに参加した弁護士の宮内宏さんは、「損害賠償の上限を設定したり、賠償額に制限をつけている条項が約款にあっても、故意の場合には無効になる。微妙なのは重過失。わずかな注意をすれば簡単に防げたのに、その注意さえも払わなかったような重過失の場合も約款が無効になり得るが、微妙なところ」と指摘。また、「損害額の証明は簡単ではないだろう」と話す。

　ファーストサーバは外部専門家で構成する第三者調査委員会を設置し、7月末までに報告書を提出するとしている。弁護士の葛山弘輝さんは、「第三者委員会の報告書で重過失が明らかな場合は、裁判で勝てるかもしれない。訴訟にならなくても、被害者が集まってファーストサーバと話し合いをすれば、和解に応じる可能性もありうる」とみる。

悲劇を繰り返さないために

　今後、サーバの利用者が同様な被害に遭わないためには、どうすればいいだろうか。

　ふくやんさんは、「どの事業者が信頼できるか、自分の目で見て選ぶしかない」と指摘。特に、バックアップ体制や万一の際の対応を約款も含めてチェックし、確認しておくことが大切になりそうだ。また、今回の事件によって、ITシステムやその上のデータが企業にとって文字通り「生命線」となっていることが明らかになった。である以上、サーバのバックアップ体制やその運用に当たる担当者には、相応の投資も必要になるだろう。

　阿佐ヶ谷ロフトAの前川誠店長は、「いま一番大変なのは、ファーストサーバの皆さんだろう」と同情。イベントに集まった人や影響を受けた人たち全員に「お疲れさまでした」と心を寄せ、会を締めくくった。