Linux

Ubuntu主要サーバーが停止、親イラン集団が犯行を主張

情報の灯台

2026年5月1日

ubuntu

ubuntu.comとcanonical.comを含むCanonical主要インフラが日本時間5月1日未明から断続的に停止。親イラン系ハクティビスト集団「313 Team」がDDoSを主張するが、Canonicalは原因を明示していない。

ubuntu.comに何が起きているか

ubuntu.comにアクセスすると「503 Service Unavailable」が返る。世界中の開発者やシステム管理者が日常的に依存しているLinux ディストリビューションの本拠地が、2026年4月30日午前9時33分PDT(日本時間5月1日午前1時33分)から停止し、6時間以上経過しても完全には復旧していない。

Canonical公式のステータスページによれば、影響を受けているのはトップページだけではない。security.ubuntu.com、archive.ubuntu.com、canonical.com、maas.io、blog.ubuntu.com、developer.ubuntu.com、Ubuntu Security APIのCVE通知、academy.canonical.com、assets.ubuntu.com、portal.canonical.com、jaas.ai ── 主要コンポーネントが軒並み「Down」と「Operational」の間を行き来している。一部復旧してはまた落ちる、典型的な断続的な過負荷のパターンだ。

停止中のCanonicalサービスと開発者への影響

サービス	状態	ユーザーへの影響
ubuntu.com	503	公式サイト・ダウンロードページ閲覧不可
archive.ubuntu.com	Down	apt update が通らない
security.ubuntu.com	Down	セキュリティパッチの取得失敗
Ubuntu Security API (CVE / Notices)	Down	CVE情報の自動取得が停止
canonical.com	断続	企業情報・製品ページの閲覧不可
portal.canonical.com	断続	Ubuntu Pro契約者のポータル接続不可
developer.ubuntu.com	Down	開発者向けドキュメント閲覧不可
maas.io / jaas.ai	断続	MAAS・JAAS関連サイト閲覧不可
blog.ubuntu.com	Down	公式ブログ閲覧不可

※ 状態は2026年4月30日午前9時33分PDT(日本時間5月1日午前1時33分)から6時間以上の断続的停止期間中の観測。出典：Canonical and Ubuntu Status (status.canonical.com)

Snapcraftにも問題が出ている。apt updateを叩いて503が返ってきた人、snapコマンドの応答が遅延する人が世界中で同時に発生した。

Canonicalは何も言っていない

事態を奇妙にしているのは、Canonical側が原因について何も発表していないことだ。Ubuntu Community Hubには現地時間4月30日22時23分付で「ubuntu.com is down」というスレッドが立ち、ユーザーが状況確認に集まったが、コミュニティモデレーターが提示できたのはステータスページの自動的な障害ログだけだった。

They never post more than that.（公式はそれ以上のことは出さない）

スレッドに書き込まれた一文には、Canonicalの広報スタイルを長年見てきた人の諦めがにじむ。インシデント発生から時間が経っても、ブログ記事もプレス声明も出ていない。Xアカウントからの一言すらない。

これは情報を隠しているというより、Canonicalの従来の運用文化に近い。同社は障害時にステータスページのコンポーネントレベルの状態更新を機械的に流し続けるだけで、人の言葉での説明はめったに出さない。今回の沈黙が「DDoSである」とも「DDoSでない」とも公式には読めない、という点が重要だ。

「313 Team」を名乗る集団が手柄を主張

公式が沈黙する一方で、Telegramチャンネルでは313 Team(別名「Islamic Cyber Resistance in Iraq」、イラクのイスラム系サイバー抵抗組織を自称する集団)が即座に犯行を主張した。脅威インテリジェンスアカウントのVECERT Analyzerが詳細を共有している。

主張の内容は典型的だ。攻撃時刻、check-host.netの稼働確認レポートへのリンク、503エラー画面のスクリーンショット、そして「4時間継続する」という宣言。攻撃ツールとして「Beamed.SU」を使用したとも明記している。Beamed.SUは2022年から運営されているIPストレッサー(IP Stresser)・ブーター(Booter)サービスで、月額課金で誰でもDDoS攻撃を発注できる商用ツールだ。

攻撃はUbuntuのメインサーバーを完全に停止させ、メインサイトとサブドメイン、APIに影響を与えた。攻撃は4時間継続される予定だ。

Telegramに投稿された声明文を意訳するとこうなる。

313 Teamの「実績」と信憑性の温度差

ここで踏みとどまる必要がある。313 Teamは2023年12月に出現して以降、短時間DDoSを連発しては「やった」と宣言する活動パターンを続けてきた集団だ。直近の2026年4月だけ見ても、Bluesky(4月15日、約24時間)、Mastodon.social(4月20日)、eBay(4月26日)、そして今回のUbuntu(4月30日)と、ほぼ毎週のように著名サービスを標的にしたと主張している。

313 Teamが2026年4月に「攻撃した」と主張した主要サービス

4月15日

Bluesky

SNSプラットフォーム
主張：API向けDDoS、約24時間継続。Bluesky側は攻撃を公式に認めた

4月20日

Mastodon.social

分散型SNS
主張：DDoS。分散構成のため大きな停止には至らず

4月26日

eBay

EC大手
主張：API層へのDDoS。eBay側は原因について公式確認を出していない

4月30日

Ubuntu / Canonical今回

Linuxディストリビューション
主張：Beamed.SUを使用、4時間継続予定。Canonicalは原因未公表

※ 各日付は313 Teamが自身のTelegramチャンネルで犯行を主張した日。実際の攻撃の真偽・規模は被害企業の公式確認状況により異なる。Microsoft 365、X、Truth Social、Internet Archive等は2026年3月以前の主張。

過去にはMicrosoft 365、X(旧Twitter)、Truth Social、Internet Archive、Cinemark、Amazon Prime Video、Yahoo、AOLなども標的にしたと宣言している。アメリカのフードデリバリーサービスInstacart、教育プラットフォームClever、空港、銀行、政府機関 ── 標的の範囲は広い。

ただし、主張の多くは独立した技術的検証を経ていない。脅威インテリジェンス企業のhawk-eyeが3月に出した313 Teamに関するアドバイザリは、この点を明確に注意喚起している。

攻撃の主張は誇張または捏造されることが知られている。アクター側の主張は、確認ではなく収集の出発点として扱うべきだ。

eBayのケースでも、同社は最終的にDDoSの公式確認を出さなかった。Blueskyのケースは公式に攻撃を認めたが、規模については313 Teamが主張した「ピーク1テラバイト」が事実かどうか裏取りされていない。主張と実害の乖離は、313 Teamのパターンに付き物だ。

なぜUbuntuだったのか

仮に今回の障害が本当にDDoS攻撃の結果だとして、なぜLinuxディストリビューションが標的になるのか。

313 Teamの過去の標的を眺めると、選定基準は技術的・地政学的というより広報的だ。米企業、イスラエル支持と見なされた組織、社会的注目を集めるサービス。攻撃が成功すれば「西側インフラを停止させた」と宣言でき、Telegramで拡散して影響力を可視化できる。Ubuntuは英国Canonicalの製品だが、世界中のクラウドインフラ、AWSやAzureの大量のVMで使われており、開発者コミュニティでの認知度は極めて高い。「Ubuntuを落とした」というキャプションは、技術メディアに拾われやすい。

しかも今回はタイミングが奇妙に整っている。Canonicalは4月23日に Ubuntu 26.04 LTS (コードネームResolute Raccoon)を一般提供開始したばかり。新LTSのダウンロードトラフィックが世界中から集中している時期に、メインサーバーへのDDoSが入った形だ。サブドメインのreleases.ubuntu.comまで連動して落ちる影響が出ている。

新規LTSリリース直後の混雑期を狙ったのか、たまたま重なったのか ── 情報がない以上は判断できない。だが結果として、被害の広がりは大きくなっている。

開発者にとっての実害

抽象論より具体論の方が刺さるはずだ。今回の障害でユーザーが直面しているのはこれだ。

apt updateが通らない。Ubuntu Pro契約者向けのCVE通知APIが落ちている。Snapcraftストアからのインストールがタイムアウトする。CIパイプラインでapt installを含むステップが失敗してビルドが赤くなる。Dockerイメージのベースとしてubuntu:latestを使っているチームの自動デプロイが詰まる。

Ubuntu Security APIが落ちると、企業のセキュリティ自動化ツールがCVE情報を引けなくなる。脆弱性管理パイプラインの一部停止に直結する。

問題の本質はここにある。Ubuntuは「無料で使えるOS」ではあるが、世界の本番環境の配管そのものになっている。配管が止まれば水が止まる。今回の停止は数時間規模だが、それでも世界中のCIシステムに小さなノイズを残している。

DDoSという「派手だが浅い」攻撃

ここで一点、ユーザーが安心すべきことを書いておく。仮にこれがDDoS攻撃だったとしても、ユーザーデータは漏れない。DDoSは大量のリクエストでサーバーをパンクさせる攻撃で、内部システムへの侵入を伴わない。Ubuntuのソースコードや、ユーザーの個人情報、Ubuntu Pro契約者の認証情報がリークする類の事態ではない。

Ubuntuパッケージそのものへの改ざんも、現時点で示唆されていない。aptが落ちているのは「ダウンロードできない」のであって、「悪意のあるパッケージが配布されている」のではない。

逆に言えば、DDoSは派手だが浅い攻撃手段だ。これが313 Teamのスタイルでもある。データ窃取やランサムウェアではなく、可視性の高い短時間サービス停止を連発し、Telegramで戦果を共有する。CISAやFBIから見れば、技術的脅威としての評価は高くない。だが心理的・象徴的なインパクトは別物だ。

わたしたちが受け取るべきもの

事態の続報を待つ間、ふたつのことを区別しておきたい。

ひとつは観測された事実だ。ubuntu.comが日本時間5月1日未明から数時間にわたり503を返した。カノニカルのステータスページに多数のコンポーネントの障害が記録された。これは確定している。

もうひとつは主張だ。313 TeamがDDoS攻撃を実行したと宣言し、ツールとしてBeamed.SUを使ったと述べている。これは現時点で、攻撃側の自己申告以上のものではない。VECERTやその他の脅威インテリジェンス監視アカウントは「主張を観測した」と中立的に伝えており、攻撃の事実そのものを保証してはいない。

カノニカルからの公式な原因発表が出るまで、両者は分けて理解すべきだ。それでも、ハクティビスト集団のTelegram戦術と、世界のオープンソースインフラの脆弱な可視性が交差した今回の出来事は、見過ごせるものではない。

オープンソースを支える「公の配管」は、誰が守っているのだろうか。

参照元