メインコンテンツへスキップ
見出し画像

NASを狙うランサムウェアと、バックアップ体制の作り方｜外からアクセスできるということ

    梟 〜GLEANINGS〜

    NASを設置して、スマートフォンの写真が自動で吸い上がるようになる。
    パソコンのフォルダも夜のうちに同期される。
    外出先からも中身を見られるように設定して、ようやく便利になった、と感じる瞬間があります。

    その最後の設定が、いちばん危ないところです。
    外から入れるということは、外から狙えるということでもあります。

    NASは家庭や中小オフィスに広く置かれている割に、管理者がいません。
    ファームウェアの更新も、パスワードの見直しも、置いた本人がやらなければ誰もやらない。
    だからこそ狙われてきました。
    実際に起きたことと、メーカーが公式に挙げている対策を整理します。

    この記事は、IPA・警察庁・メーカー公式のセキュリティアドバイザリをもとに、2026年9月時点の内容にしています。

    NASを入れたら、まずこの3つ

    自動バックアップ

    NASのもっとも基本的な使い方が、パソコンやスマートフォンのデータを自動でバックアップする用途です。
    専用アプリを使えば、パソコンの特定フォルダやスマートフォンの写真フォルダを、決まった時間に自動でNASへ同期できます。

    手でコピーする作業から解放されると同時に、「気づいたらバックアップが取れていなかった」という事故がなくなります。
    バックアップが続かない最大の理由は面倒さなので、自動化そのものが対策になります。

    複数のパソコンがある家庭やオフィスでは、それぞれの端末から個別にNASへバックアップを取る形にしておくと、1台が壊れてもデータは手元に残ります。

    リモートアクセス

    NASは家庭内・社内のネットワークにつなぐ機器ですが、多くの製品はインターネット経由で外出先からアクセスする機能を持っています。
    出先のスマートフォンから自宅のNASにある書類を確認する、外出先のパソコンから会社のNASのファイルを開く、といった使い方ができます。

    便利な機能ですが、この記事の後半で扱う話と直結しています。
    あとで戻ってきます。

    メディアサーバーと写真管理

    保存した写真や動画を、テレビやスマートフォンから視聴できるようにするメディアサーバー機能を持つ製品も多くあります。
    家族の写真と動画を一箇所にまとめ、家庭内のプライベートな配信サービスのように使えます。

    SynologyやQNAPは、スマートフォンの写真を自動でNASへ上げ、顔認識で整理して検索しやすくする専用アプリも提供しています。
    クラウドの写真サービスと似た使い勝手を、自分の管理下にあるストレージで実現できるのがポイントです。

    一歩進んだ使い方

    上位モデルでは、Dockerなどのコンテナ技術を使ってNAS上でアプリケーションを動かすこともできます。
    家庭内に簡易的なWebサーバーを立てる、監視カメラの映像を録画するシステムを組む、といった使い方です。

    ここまで来ると、ファイルの置き場所というより小さなサーバーです。
    そして小さなサーバーである以上、サーバーと同じ運用が必要になります。

    便利さの代償：管理画面を外に出すということ

    リモートアクセスを有効にするというのは、突き詰めると、自宅のネットワークの中にあった機器の入口をインターネット側に開くということです。

    NASの管理画面には、既定のポート番号が決まっています。
    QNAPであれば8080と443、SynologyであればHTTP 5000・HTTPS 5001です。
    攻撃する側から見れば、探すべき番号があらかじめ分かっている状態です。

    QNAPは2022年1月7日に公開した注意喚起の中で、ランサムウェアとブルートフォース攻撃はあらゆるネットワーク機器を広く標的にしていると述べ、インターネットへの露出そのものが最大のリスク要因だとしています。

    この構図は、NAS特有のものではありません。
    警察庁が令和8年3月に公表した資料によれば、令和7年のランサムウェア被害の報告件数は226件で、被害組織へのアンケートでは侵入経路のうちVPN機器が6割以上を占めています。
    外から入れるようにした機器が、そのまま入口になっている、という点は共通しています。

    NASを狙った攻撃は、実際に起きている

    DeadBolt

    QNAPとAsustor製のNASを標的にしたランサムウェアです。
    インターネットに公開された管理画面や、修正されていない脆弱性を突いて侵入し、保存されたファイルを暗号化して身代金を要求しました。

    規模については、オランダ警察が2022年10月14日に公表しています。
    DeadBoltは世界でQNAPとAsustorの2万台を超える機器を暗号化し、そのうち少なくとも1,000台がオランダ国内だった、という内容です。

    同じ発表には、対処の顛末も書かれています。
    オランダ警察は、身代金をビットコインで送金したあとに取引を取り消すという方法で150以上の復号鍵を入手し、被害者の約9割に鍵を渡しました。
    Europolやフランス当局を含む13カ国が協力した作戦です。

    裏を返せば、鍵が返ってきたのは警察が異例の手を打ったからであって、通常はそうなりません。

    eCh0raix

    QNAPとSynologyの両方を標的にしたランサムウェアです。
    QNAPは2019年7月にセキュリティアドバイザリを公開しており、2020年にも改めてアドバイザリを出しています。

    2020年9月には、QNAPとSynologyの両方を狙う亜種が登場しました。
    Palo Alto NetworksのUnit 42が2021年8月に公開したレポートによれば、この亜種はQNAPのバックアップソフトの脆弱性（CVE-2021-28799）を突いて侵入していました。
    同レポートの時点で、インターネットに公開されていた機器はQNAPが約24万台、Synologyが約3,500台とされています。

    同じレポートは、対策として、攻撃者が総当たりで破りにくい複雑なログインパスワードを設定することも挙げています。
    脆弱性を放置することと、推測されやすいパスワードを使い続けること。
    どちらも入口になりうる、という整理です。

    2025年、NASは競技会の主役だった

    近年、NASのリスクは新種のランサムウェアという形よりも、脆弱性が次々と見つかるという形で表れています。
    それが最もはっきり出たのが、2025年10月21日から23日にかけて行われたセキュリティ競技会Pwn2Own Irelandでした。

    この大会では全体で73件の未知の脆弱性が実証され、賞金総額は1,024,750ドルに達しました。
    NASは中心的な標的のひとつで、QNAP TS-453E、Synology DiskStation DS925+、Synology BeeStation Plus、Synology ActiveProtect DP320 が、いずれも突破されています。
    初日には、QNAPのルーターとNASを組み合わせた課題で8件の脆弱性を連鎖させ、10万ドルの賞金が出ました。

    メーカーの対応も公開されています。
    QNAPは2025年11月8日に深刻度Criticalのアドバイザリを出し、QTS 5.2.7以降で修正しました。
    Synologyは11月10日にBeeStation向けの修正を公開しており、こちらのCVE-2025-12686はCVSS 9.8、認証なしでリモートから任意のコードを実行できるものでした。

    その後も止まっていません。
    2026年3月にはSynologyがTelnetサーバーの脆弱性（CVE-2026-32746、CVSS 9.8）に対応し、2026年6月にはMailPlus Serverの不適切な認可の脆弱性（CVE-2026-13136）を修正しています。
    こちらはCVSS 10.0、最高値です。

    こうして並べると、ひとつのことが見えてきます。
    競技会で破られるということは、破る技術が存在するということです。
    そして修正は出ています。
    危険なのは脆弱性があること自体ではなく、修正が出ているのに当てないことです。

    なお、IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公表）でも、組織向けの1位は「ランサム攻撃による被害」でした。
    2016年に初めて選出されて以来、11年連続の選出です。

    メーカーが公式に挙げている設定

    ここからは、QNAPとSynologyが公式に案内している内容です。
    どちらか一方を使っている場合でも、考え方は共通しています。

    QNAPが挙げているもの

    2022年1月7日の注意喚起では、次の手順が示されています。

    1. Security Counselorを開き、NASが外部のIPアドレスから直接アクセスできる状態になっていないか確認する

    2. ルーターのポートフォワーディングを無効にする（管理サービスの既定ポートは8080と443）

    3. UPnPを無効にする（myQNAPcloudの自動ルーター構成の設定から)

    4. QTSを最新版に更新する

    5. 外部からのアクセスが必要なら、直接公開せず、myQNAPcloud Linkのような純正のサービスを使う

    Synologyが挙げているもの

    公式ブログのセキュリティ10項目では、次のような内容が挙げられています。

    • 既定のadminアカウントを無効にする。administratorのようなよくある名前も避ける

    • 使い回さない強固なパスワードを設定する

    • DSMの自動更新を有効にし、通知を設定する

    • 2段階認証を有効にする

    • Security Advisorを実行し、設定上の問題をスキャンする

    • IPの自動ブロック、アカウント保護、HTTPS、ファイアウォールを使う

    • 既定ポート（HTTP 5000、HTTPS 5001、SSH 22）を変更する

    • 使わないならSSHとTelnetを無効にする

    • 共有フォルダを暗号化する

    同じ発想の注意喚起は、公的機関からも出ています。
    JPCERT/CCが2019年12月に公開した「Wi-Fiルータを安全に使う上での注意」は、対象こそWi-Fiルータですが、ファームウェアを最新に保つこと、デフォルト設定を見直すこと、そして管理画面のパスワード・ファイアウォール・ポートフォワーディング・UPnPを重点的に確認することを挙げており、確認すべき項目はNASとほぼ重なります。

    長い一覧に見えますが、実際にやることは3つに集約できます。
    外に開く範囲を最小にすること、自動更新を有効にすること、そしてログインを固めることです。

    3-2-1ルールと、挿しっぱなしにしない理由

    321ルール

    バックアップの基本として広く知られているのが3-2-1ルールです。
    IPAは「日常における情報セキュリティ対策」の中で321ルールとして、データを3つ持ち（運用データ1つとバックアップデータ2つ）、2種類の異なる媒体でバックアップし、そのうち1つは異なる場所で保管する、と説明しています。

    米国のCISAも同じ内容を示しており、重要なファイルのコピーを3つ、異なる種類の記録媒体を2つ、1つは拠点から離れた場所に保管する、としています。

    なお、これをさらに発展させた3-2-1-1-0という形も見かけますが、これを示しているのはバックアップ製品のベンダーの資料で、公的機関の側にこの形はありません。
    まずは321から始めれば十分です。

    NASは、バックアップ「先」であって、バックアップ「そのもの」ではない

    ここが、NASを入れた人がいちばん取り違えやすいところです。

    IPAが公開している「ランサムウェアの脅威と対策」には、感染した端末から見える範囲、つまり共有フォルダやファイルサーバー上で書き込み権限のある領域のファイルも暗号化される、と明記されています。
    LAN内のNASは、まさにこの範囲に入ります。

    パソコンからNASへ自動同期している構成は、パソコンが感染したとき、その暗号化がNASへも及ぶ構成でもあるということです。
    NASにコピーがあるから安心、とはなりません。

    外付けHDDは、書き終えたら抜く

    同じIPAの資料には、はっきりした記述があります。
    外付けHDDやUSBメモリは、パソコンに接続していない状態であればランサムウェアの影響が及ばないため、バックアップ時のみ接続することが望ましい、というものです。

    NASのバックアップ用に外付けHDDを買ったとして、それを常時つないだままにしておくと、NASが暗号化されたときに一緒にやられます。
    バックアップが終わったら外して、別の場所にしまう。
    手間はかかりますが、この一手間が3-2-1の「1」にあたります。

    JPCERT/CCのランサムウェア対策特設サイトも、定期的なバックアップと世代管理に加えて、オリジナルとは別のネットワークにバックアップデータを保管することを推奨しています。

    現実的な運用としては、日次でNASからクラウドへ自動同期し、月に一度は外付けHDDへ書き出して物理的に外す、という二層構えになります。
    そしてもう1つ、忘れられがちなのが復元テストです。
    バックアップは取れているかどうかではなく、戻せるかどうかで価値が決まります。
    年に一度でいいので、実際にファイルを復元してみてください。

    実際に被害が出た朝に何をするかは、別の記事で配っています。
    時間帯ごとの手順と、報告書式6種をまとめています。

    PR

    まとめ

    • NASは自動バックアップ、外出先からのアクセス、メディアサーバーと、使い方の幅が広い機器です。同時に、小さなサーバーでもあります

    • 管理画面をインターネットに直接公開しないことが、いちばん効く対策です。既定のポート番号は攻撃する側にも分かっています

    • DeadBoltは世界で2万台を超えるNASを暗号化しました。鍵が戻ったのは、警察が異例の作戦を実行したからです

    • 2025年のPwn2Own IrelandではQNAPとSynologyのNASが軒並み突破され、その後もCVSS 9.8や10.0の脆弱性が修正されています。修正は出ています。当てるかどうかの問題です

    • メーカーが挙げている対策は、外に開く範囲を絞る、自動更新を入れる、ログインを固める、の3つに集約できます

    • LAN内のNASは、感染したパソコンから暗号化される範囲に入ります。バックアップ用の外付けHDDは、書き終えたら物理的に外してください

    皆さんのNASは、外からアクセスできる設定になっているでしょうか。

    参考・引用元

    公的機関

    メーカーのセキュリティ情報

    その他

    実務で使う書式について

    この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
    規程のひな形、対応フロー、チェックシート、報告書式などです。

    実務で使う書式・キット
    https://note.com/yunta_fukurou/m/mfc25857fab40

    関連する記事

    被害が出たあとの費用をどう手当てするかについては、別の記事で扱っています。
    サイバー保険で支払われる範囲と、身代金の扱いをまとめています。
    https://note.com/yunta_fukurou/n/nc8c453f2160b

    NASに限らない組織全体の備えは、こちらで扱っています。
    技術的な対策と、組織としての備えを分けてまとめています。
    https://note.com/yunta_fukurou/n/nfe61bcc9fc3c

    実際に感染したあと、最初の3日間に何が起きるかは、別の記事で扱っています。
    この記事で作ったバックアップ体制が、どこで効いてくるかにあたります。
    https://note.com/yunta_fukurou/n/n10bc6d66e71e

    バックアップの取り方そのものは、別の記事で通して扱っています。
    3-2-1ルールの出どころと、クラウドの標準機能で何日戻せるか、戻せるかを年1回で確かめる方法をまとめています。
    https://note.com/yunta_fukurou/n/nacbfdb5577fd

    NASや共有フォルダに置く書類には、保存の義務がかかっているものがあります。
    電子で受け取った請求書や領収書を電子のまま残す義務と、置き場の決め方は別の記事で扱っています。
    https://note.com/yunta_fukurou/n/nbe7a8a0cb5de

    NASの仕組みと、2026年時点での選び方については別の記事にまとめています。
    https://note.com/yunta_fukurou/n/n52ad8513a230

    NASを置いている家庭のWi-Fi側については、別の記事で扱っています。
    ゲストWi-Fiで機器を分ける考え方と、総務省が挙げている5項目をまとめています。
    https://note.com/yunta_fukurou/n/n3551cc36bb7f

     
     

    梟 〜GLEANINGS〜

     
     
    Digital Workplace Architect｜社内外のIT・AIの導入と運用 IT・AI・セキュリティと周辺機器の「今さら聞けない」を一次情報で解説。書式・キットも。 Amazonのアソシエイトとして、梟 〜GLEANINGS〜は適格販売により収入を得ています。

    あなたへのおすすめ