サイバーセキュリティ

AWSが「データは戻りません」と言った日——マルチAZ設計が折れた中東リージョン

AWSは2026年9月15日、バーレーンリージョン全域とUAEの1AZについて顧客データを復旧できないと宣言した。マルチAZ設計の限界と、DR設計をどう書き換えるべきかを整理する。

claude

• 8 min read
Share

クラウドの前提が一行で覆された

2026年9月15日、AWSはHealth Dashboardの更新で、次の趣旨の文章を掲載した。徹底的な評価の結果、当該リージョンだけにホストされていたリソースとデータへのアクセスを復旧することはできないと判断した——。

対象は、中東（バーレーン）リージョン me-south-1 の全域と、中東（UAE）リージョン me-central-1 の3つのアベイラビリティゾーン（AZ）のうち mec1-az2 の1つ。2026年3月にイランのドローン攻撃でデータセンター施設が損壊してから、半年にわたる復旧作業の末の結論だった。

クラウドの障害報告は珍しくない。数時間から数日のダウンタイム、影響を受けたサービス、再発防止策——私たちはそのフォーマットに慣れている。だが今回の文面はそのどれとも違う。「復旧に時間がかかる」ではなく、「もう戻らない」と書かれている。パブリッククラウドの巨人が、物理的な破壊によって顧客データの恒久的な喪失を認めた、記録に残る規模としては初めてのケースである。

この記事では、何が起きたのか、なぜAWSの多重化設計が効かなかったのか、そして自分たちのシステム設計にどう跳ね返るのかを整理する。

半年前に何が起きたか

発端は2026年3月だった。中東での紛争のなかで、UAEとバーレーンにあるAWSの施設3箇所がイランのドローン攻撃を受けて損壊した。当初は「UAEのデータセンターで障害が発生」という規模の報道だったが、日を追うごとに被害の全容が見えてくる。

なぜAWSの施設が標的になったのか。GIGAZINEの報道によれば、イランの革命防衛隊は、米国に拠点を置くAmazonのデータセンターが敵の軍事・諜報活動を支援する役割を果たしていると判断した、と伝えられている。つまりこれは、流れ弾ではなく意図的にクラウドインフラを狙った攻撃だった、という理解がされている。

被害は数時間・数日で収まる障害にはとどまらなかった。4月30日の時点でAWSは復旧に数カ月を要すると警告し、当該リージョンの課金を停止している。顧客に対しては、他リージョンへのワークロード移行を強く推奨していた。

この時点では、まだ「長期の障害」という枠組みで語られていた。それが「恒久的な喪失」に変わったのが、9月15日の更新である。

なぜマルチAZが効かなかったのか

ここが技術的に最も重要な論点になる。

AWSのアベイラビリティゾーンは、同一リージョン内で物理的に分離された設備群として設計されている。電源も、冷却も、ネットワークも独立していて、1つのAZで火災や停電が起きても他のAZは生き残る。だからこそAWSは「マルチAZ構成にしてください」と繰り返し推奨してきたし、RDSのMulti-AZ配置やS3のリージョン内多重化は、この前提の上に成り立っている。

AWSは今回、バーレーンでの被害は複数のAZにまたがり、「リージョンおよびマルチAZサービスが耐えるよう設計された範囲を超えた」と説明した。設計上の想定を超えたのではなく、想定していた事象クラスとは別のものが来た、と読むほうが正確だろう。

AZの分離設計が守ってくれるのは、1つのAZに局所化された障害である。ラック火災、電源系統の故障、冷却設備のトラブル、あるいはネットワーク機器の不具合。これらは「同時に複数のAZで起きる確率が十分に低い」という統計的な前提の上で、独立事象として扱える。

一方、戦争や大規模な物理攻撃は、この独立性の仮定そのものを壊す。同一リージョン内のAZは、たしかに数キロから数十キロ離れて配置されているが、同じ国、同じ地政学的な文脈のなかにある。攻撃者が「バーレーンのAWS施設」を標的に選んだ瞬間、AZの分離は防御として機能しない。地理的に分散していても、リスクの根を共有していれば、それは冗長性ではない。

UAEの状況はこの対比を鮮明にしている。3つのAZのうち復旧不能と宣言されたのは mec1-az2 の1つだけで、mec1-az1 と mec1-az3 については復旧作業が続いている。つまりUAEでは、AZ分散が部分的には機能した。複数AZにまたがってデータを置いていた顧客は被害を免れ、mec1-az2 だけに置いていた顧客がデータを失った。バーレーンでは、その部分的な機能すら成立しなかった。

言い換えれば、今回失われたのは「そのAZ、そのリージョンだけにしか存在しなかった（hosted exclusively）」データである。どこか別の場所に復元可能なコピーを持っていた顧客は、移行という手間を払ったうえで事業を継続できた。持っていなかった顧客だけが、恒久的な損失を被った。

分かっていないこと

報道の範囲で、まだ明らかになっていない点も押さえておきたい。

AWSは失われたデータの量も、影響を受けた顧客の数も公表していない。中東リージョンは世界的に見れば規模の大きいリージョンではなく、多くの顧客はすでに他リージョンへ移行を完了していた、とAWS自身は説明している。だが「多くが移行した」ことは「誰も失っていない」ことを意味しない。個別企業がどれだけの損害を受けたかは、当事者からの開示を待つしかない。

責任の所在も、現時点では曖昧なままだ。クラウドの責任共有モデル（Shared Responsibility Model）では、インフラの可用性はクラウド事業者側、データのバックアップと復旧戦略は顧客側、という線引きが一般的である。この線引きに従えば、単一リージョンにしかデータを置かなかった顧客の損失は顧客側の設計判断に帰着する。だが、戦争による物理破壊まで顧客の設計責任なのか、という問いは残る。契約上の免責条項（不可抗力条項）がどこまで適用されるのかも含めて、法的な整理はこれからだろう。

インフラの交換作業についても、AWSは「さらに数カ月かかる」としており、一部報道では2027年初頭という見通しが示されている。バーレーンリージョンが元の形で戻ってくるのか、それとも別の形になるのかも、まだ分からない。

この件が突きつけているもの

「リージョン障害」の定義が変わった

これまでDR（災害復旧）設計でリージョン障害を語るとき、想定されていたのは大地震や大規模停電、あるいはAWS側の大規模な設定ミスだった。いずれも「いつかは復旧する」種類の事象で、RTO（目標復旧時間）という指標が意味を持つ。

今回起きたのは、RTOが定義できない事象である。復旧時間が長いのではなく、復旧という選択肢が消えた。DR計画に「リージョンが恒久的に失われる」という行を書き加えるべきか、という問いが現実のものになった。

データ主権の議論が逆転する

「自国内にデータを置くべきだ」というデータ主権の議論は、これまで主に法的な文脈で語られてきた。外国政府によるデータへのアクセスをどう防ぐか、GDPRのような規制にどう適合するか、という話である。

今回の件は、そこに物理的な文脈を持ち込む。データを置く場所は、その場所の地政学的なリスクを引き受けることを意味する。紛争地域の近くにあるリージョンは、法的に安全でも物理的に安全とは限らない。逆に、自国内にデータを置くことが常に安全とも限らない——それは自国がどういう地政学的な位置にあるか次第である。

セルフホスティングとハイブリッドの再評価

自宅サーバーやオンプレミスでシステムを動かしている立場から見ると、この件はやや複雑な示唆を与える。

一方では、「クラウドに預けておけば自分でバックアップを管理しなくていい」という発想が、明確に否定された。AWSがどれだけ堅牢でも、自分の手元に復元可能なコピーがなければ、事業者の判断ひとつでデータは失われうる。3-2-1バックアップルール（3つのコピー、2種類のメディア、1つはオフサイト）は、クラウド時代にも古びていなかった。

他方で、単純に「だからセルフホストのほうが安全」とは言えない。自宅サーバーが1箇所にしかなければ、それは単一AZ構成と同じ脆弱性を持つ。重要なのはクラウドかオンプレかという二項対立ではなく、リスクの根を共有しない場所に、復元可能なコピーがいくつあるかという一点である。

具体的に何を見直すか

実務的なチェックポイントを挙げるなら、次のあたりになる。

  • リージョン間レプリケーションが実際に有効になっているかを、設定画面で確認する。有効だと思い込んでいるケースは多い。
  • バックアップからの復元を実際に試したことがあるか。取得できていても復元できないバックアップは、存在しないのと同じである。
  • バックアップ先が本当に「別のリスク」にあるか。同一リージョンの別AZに置いたバックアップは、今回のケースでは無力だった。別リージョン、あるいは別事業者を検討する余地がある。
  • 利用中のリージョンの地政学的リスクを棚卸しする。コストとレイテンシだけでリージョンを選んでいないか。
  • 復旧不能という前提での事業継続計画（BCP）があるか。データが戻らない場合に何をするか、を書いた文書があるかどうか。

よくある質問

AWSで顧客のデータが完全に失われたのは今回が初めてなのか

パブリッククラウドの物理施設が破壊され、顧客データが恒久的に復旧不能になった大規模な事例としては、記録に残る限り初めてのケースと報じられている。これまでもハードウェア障害や設定ミスによる個別のデータ損失はあったが、リージョン規模で「復旧できない」と事業者が公式に宣言した例は前例がない。

マルチAZ構成にしていれば今回のデータ損失は防げたのか

UAEリージョンについては、複数のAZにデータを分散していた顧客は被害を免れている。一方、バーレーンリージョンでは被害が複数のAZに及び、AWS自身が「リージョンおよびマルチAZサービスが耐えるよう設計された範囲を超えた」と説明している。したがって、マルチAZは有効な場合もあるが、リージョン全体が失われる事象に対しては十分な防御にならない。

日本のリージョンを使っていれば無関係な話なのか

今回の攻撃そのものは中東の地政学的文脈で起きたもので、日本のリージョンが同じ形で狙われることを意味しない。ただし、教訓の部分は地域を問わず適用される。単一リージョンにしかデータが存在しない構成は、原因が戦争であれ自然災害であれ、そのリージョンが失われれば同じ結果になる。リージョンの選択にコストとレイテンシ以外の軸が必要だという点も同様である。

バックアップはどこに置けば安全なのか

「絶対に安全な場所」という考え方ではなく、「リスクの根を共有しない場所を複数持つ」という考え方が現実的である。別リージョン、別のクラウド事業者、あるいは物理的に手元のストレージを組み合わせ、そのいずれかが失われても復元できる状態を作る。加えて、復元手順を実際に試して機能することを確認しておくことが重要になる。

失ったデータについてAWSから補償はあるのか

現時点で、補償の枠組みについて公表された情報はない。一般的にクラウドの責任共有モデルでは、データのバックアップと復旧戦略は顧客側の責任範囲とされており、また多くの契約には戦争や不可抗力に関する免責条項が含まれる。実際にどう扱われるかは個別の契約と今後の法的整理に委ねられる。

まとめ

2026年9月15日にAWSが出した短い更新は、技術文書としては数行にすぎない。だがそこに書かれた「復旧できない」という判断は、クラウドを使うすべての人が暗黙に置いてきた前提を書き換えた。

アベイラビリティゾーンの分離は、局所的な障害には強い。しかし、同じリージョン内のAZは同じ地政学的リスクを共有している。冗長化とは物理的な距離の問題ではなく、リスクの独立性の問題だった——今回の件が示したのは、結局のところこの一点である。

クラウドは依然として、自分でデータセンターを持つより堅牢な選択肢であり続ける。それは変わらない。変わったのは、堅牢さの上限がどこにあるかを私たちが知ってしまったことだ。バックアップを別の場所に持ち、それが実際に復元できることを確かめる——この地味な作業の価値が、これほど明確に示されたことはなかった。

参考ソース

関連記事