Synology NASを狙うランサムウェア攻撃の概要
Synology NASを標的とするランサムウェア攻撃では、インターネットから到達できる状態で運用され、かつ更新が遅れている機器が主な標的になります。攻撃者は利用者に不審なメールやリンクをクリックさせなくても、ネットワーク越しにNASの脆弱性を悪用して侵入できる場合があります。DSM 7を含むDSMのアップデート状況と、外部公開の有無をあわせて確認することが重要です。
ネット公開されたNASが狙われる理由
NASのDSM管理画面やファイル共有サービスをインターネットへ直接公開すると、攻撃者が世界中から機器を探索できる状態になります。公開中のSynology NASは、脆弱性の有無や古いDSMのバージョン、弱い認証設定などを自動的に調査する攻撃の対象になり得ます。
とくに、ルーターのポート開放やUPnPによって意図せず外部アクセスが有効になっているケースには注意が必要です。今回報告されている事案でも、「古いDSM」と「インターネットからアクセス可能なNAS」の組み合わせがリスクを高めるとされています。二要素認証を設定していても、認証前に悪用できる脆弱性に対しては、単独では十分な防御になりません。
未修正のDSM脆弱性を悪用する攻撃手法
攻撃者は、DSMに存在する修正済みの脆弱性を悪用し、NAS上で不正な操作を実行したり、ファイルを読み書きしたりする可能性があります。報道・分析では、ログインなしで外部から攻撃できる深刻度の高い脆弱性が悪用された可能性も指摘されています。
悪用された脆弱性については見解に違いがあります。Synologyは2024年に修正した「Synology-SA-24:20」関連の脆弱性を挙げる一方、セキュリティ企業360は、2026年9月18日に修正されたCVE-2026-13639およびCVE-2026-13684が侵入に使われたと分析しています。いずれの見解であっても、修正プログラムを適用していないDSMをネットワーク上に公開し続けることが危険である点は共通しています。
「Synology製NASでランサムウェア被害。9月18日の修正未適用なら攻撃のおそれ」といった注意喚起があるように、特定の日付の更新だけでなく、DSM 7を最新の修正版まで継続してアップデートすることが大切です。
ファイル暗号化と身代金要求による主な被害
ランサムウェアに感染すると、NASに保存された写真、業務文書、動画、バックアップデータなどが暗号化され、通常は開けなくなります。報告されているC3RB3Rとされるランサムウェアでは、暗号化されたファイルの拡張子が「.L0CK3D」に変更され、各フォルダーに「read-me3.txt」という身代金要求メモが作成されるとされています。
身代金要求では、復号ツールの提供と引き換えにビットコインの支払いを求め、期限を過ぎると要求額を増額すると脅す手口が確認されています。しかし、支払っても復号ツールが提供される保証はなく、データが完全に戻るとも限りません。Synologyも復号ツールや補償を提供していないとされるため、被害時には身代金の支払いを急ぐのではなく、安全なバックアップやスナップショットから復元できるかを確認する必要があります。
古いDSMを運用し続けるリスク
古いDSMを運用し続ける最大のリスクは、すでに公表・修正済みの脆弱性を攻撃者に悪用されることです。脆弱性の詳細や攻撃手法は、修正後に広く知られる場合があります。そのため、アップデートが長期間遅れたNASほど、攻撃者にとって侵入しやすい対象になります。
実際に、NASのWebインターフェースを外部公開し、セキュリティパッチの適用が約18か月遅れていた環境で、ファイル暗号化被害が報告されています。技術知識がある管理者であっても、更新管理と公開設定の見直しが不十分であれば被害を受けるおそれがあります。
DSM 7では、対象機種・系統に応じて修正済みバージョンへの更新が必要です。たとえば、DSM 7.4-90075以降、DSM 7.3.2-86009-4以降、DSM 7.2.2-72806-9以降、DSM 7.2.1-69057-12以降が案内されています。利用中の機種で提供されている最新版を確認し、自動アップデートと更新通知も有効にして、修正の適用漏れを防ぎましょう。
※最新バージョン適用はこちら
まず確認したいNASの公開状況とDSMのバージョン
Synology NASのランサムウェア対策では、まず「インターネットから到達できる状態になっていないか」と「DSM 7が修正版へ更新されているか」を確認することが重要です。古いDSMを搭載したSynology NASがネットワーク上で直接公開されていると、利用者の操作やパスワード入力を必要としない脆弱性を悪用されるおそれがあります。二要素認証を設定していても、脆弱性そのものを突く攻撃は防げない場合があるため、公開設定とアップデート状況をセットで点検してください。
インターネットからDSMにアクセスできるか確認する方法
外出先のスマートフォン回線や、社内・自宅とは別のネットワークから、NASのグローバルIPアドレスまたはDDNSのアドレスにアクセスしてみます。DSMのログイン画面が表示される場合、DSMの管理画面はインターネットへ公開されています。一般的には「https://ドメイン名:5001」などでアクセスできる構成が該当します。
あわせて、ルーターのポート転送設定を確認してください。DSMでよく使われるTCP 5000番・5001番ポートのほか、Web Station、SSH、FTP、WebDAVなどのポートが外部公開されていないかを確認します。ルーターのUPnPが有効な場合、意図せずポートが自動開放されることもあるため、不要であれば無効化することが望ましいです。
DSM上では、［コントロールパネル］から［外部アクセス］、［ログインポータル］、［QuickConnect］などの設定を確認します。ただし、QuickConnectを有効にしていることと、DSMのポートを直接公開していることは同じではありません。重要なのは、ルーターでDSMの管理用ポートが外部へ転送されていないかを個別に確認することです。
DSM 7のバージョンと更新状況を確認する手順
DSMへ管理者アカウントでログインし、［コントロールパネル］の［更新と復元］を開くと、現在利用しているDSM 7のバージョンと更新の有無を確認できます。［DSMの更新］画面で更新が提供されている場合は、更新内容を確認したうえで速やかに適用してください。
関連情報では、少なくとも次のバージョン以降へ更新することで、2024年に修正された脆弱性と、2026年9月18日に修正されたとされる脆弱性への対策になると案内されています。
DSM 7.4では7.4-90075以降、DSM 7.3では7.3.2-86009-4以降、DSM 7.2では7.2.2-72806-9以降、DSM 7.2.1では7.2.1-69057-12以降が目安です。ただし、対応する更新版は機種やDSMの系統によって異なります。画面に表示される更新情報だけでなく、Synology公式のダウンロードセンターおよびセキュリティアドバイザリーで、自身の機種に対応する最新版を確認してください。
「Synology製NASでランサムウェア被害。9月18日の修正未適用なら攻撃のおそれ」とする分析も報じられているため、過去に脆弱性対応をした記憶があっても、その後の更新を止めている場合は注意が必要です。更新後は再起動の有無、DSMへのログイン、共有フォルダー、バックアップジョブなどが正常に動作することも確認します。
※最新バージョン適用はこちら
セキュリティアドバイザリーで対象脆弱性を確認する
DSMのアップデートは、単に最新版かどうかだけでなく、自分のNASが報告済みの脆弱性の影響を受けるかを確認することが大切です。Synology公式サイトのSecurity Advisory（セキュリティアドバイザリー）で、利用中のDSMバージョン、対象機種、修正済みバージョンを照合してください。
今回のランサムウェア攻撃に関しては、Synologyが2024年12月に修正した「Synology-SA-24:20」に関連する脆弱性が悪用されたとの説明がある一方、外部のセキュリティ企業は、2026年9月18日に修正されたCVE-2026-13639およびCVE-2026-13684が侵入に使われた可能性を分析しています。悪用された脆弱性について見解の違いはあるものの、いずれの想定でも古いDSMを更新し、インターネットから直接到達できる状態を解消する対策が有効です。
特に、認証なしで遠隔から攻撃され得るとされる脆弱性では、パスワードの強化や二要素認証だけに依存できません。アドバイザリーに記載された修正バージョンへ更新済みであることを確認し、判断に迷う場合は、より新しい安定版DSMへ更新する方針を取るとよいでしょう。
サポート終了機種で確認すべき対応方針
古いSynology NASでは、DSM 7へアップグレードできない、または新たなセキュリティ更新が提供されない場合があります。サポート終了機種は、重大な脆弱性が公表された後も修正プログラムを適用できない可能性があるため、インターネットへ直接公開したまま使い続けることは避けるべきです。
まず、Synologyの製品サポート状況と、お使いのモデルで利用可能な最終DSMバージョンを確認します。修正済みDSMを利用できない場合は、DSMの外部公開を停止し、NASを家庭内・社内ネットワーク専用として運用する方法を検討してください。外部からアクセスする必要がある場合も、NASの管理画面を公開するのではなく、更新が継続されているルーターやファイアウォールのVPN機能を経由する構成が適しています。
ただし、ネットワーク内部からの侵害や、ほかの端末を経由した攻撃の可能性までなくなるわけではありません。サポート終了機種では、重要データの保管先を新しいNASやクラウド、外付けストレージへ移行し、NAS本体とは分離したバックアップを確保してください。業務利用や重要な写真・文書を扱う環境では、継続的にセキュリティ更新を受けられる機種への移行を優先することが安全です。
DSM 7を安全に更新する手順
Synology NASをインターネット経由で利用している場合は、DSM 7を修正済みの最新版へ速やかにアップデートすることが重要です。今回報告されているランサムウェアは、古いDSMの脆弱性を悪用して、ネットワーク越しにNASへ侵入するおそれがあります。更新作業では、DSM本体だけでなくパッケージや設定も確認し、万一の不具合に備えながら進めてください。
更新前に設定と重要データをバックアップする
DSM 7のアップデート前には、NAS内の重要データとDSMの設定を必ずバックアップします。更新は通常安全に実施できますが、電源断、ストレージ障害、互換性の問題などで予期せぬトラブルが起こる可能性があります。写真、業務文書、共有フォルダー内のデータなどは、外付けUSBドライブ、別のNAS、クラウドストレージなど、NAS本体とは別の保存先にも退避してください。
DSMの設定は、「コントロールパネル」から設定バックアップの機能を利用して保存します。ユーザー、共有フォルダー、ネットワーク、権限などの設定を保管しておけば、万一DSMの再設定が必要になった際の負担を軽減できます。ただし、設定バックアップだけではファイルそのものは保護できないため、データバックアップと併用することが大切です。
ランサムウェア対策としては、NAS内にだけバックアップを置く構成は避けるべきです。NASが暗号化されると、同じ本体内に保存したバックアップも影響を受けるおそれがあります。Hyper Backupなどを利用し、世代管理されたバックアップを外部・遠隔地へ保管してからDSM 7を更新すると安心です。
Package Centerのパッケージも更新する
DSMを更新した後は、Package Centerでインストール済みパッケージのアップデートも確認します。古いパッケージには脆弱性やDSM 7との互換性問題が残っている場合があり、DSM本体だけを最新にしてもリスクを完全には下げられません。
Package Centerを開き、「更新」または「インストール済み」の一覧で更新可能なパッケージを確認してください。Hyper Backup、Snapshot Replication、Synology Drive Server、Web Station、Media Server、VPN Serverなど、外部公開やデータ保護に関係するパッケージは優先して更新します。利用していないパッケージがある場合は、更新するだけでなく停止・削除も検討しましょう。不要なサービスを減らすことは、Synology NASの攻撃対象領域を小さくする対策になります。
パッケージによっては、更新後にサービスの再起動や設定確認が必要です。特にWebサイト公開、VPN、同期、バックアップに使うパッケージは、更新前に設定内容を記録し、更新後に正常動作を確認してください。
DSMの自動更新と更新通知を設定する
更新漏れを防ぐには、DSMの自動更新と更新通知を有効にします。「コントロールパネル」の更新設定から、DSMアップデートの確認頻度や自動インストールに関する項目を設定できます。緊急性の高い脆弱性では、修正版の公開から短期間で攻撃が始まることもあるため、手動確認だけに依存しない運用が必要です。
ただし、業務で利用しているSynology NASでは、更新により一部のパッケージや独自設定へ影響が出る可能性もあります。自動インストールを使う場合でも、更新通知を受け取れるメールアドレスを設定し、適用状況を定期的に確認してください。重要なNASでは、更新内容を確認したうえでバックアップ後に手動適用する運用も有効です。
2026年9月18日の修正未適用なら攻撃のおそれがある、というセキュリティ企業の分析も報じられています。悪用された脆弱性については見解の相違があるものの、少なくとも古いDSMを使い続ける合理的な理由はありません。DSM 7.4-90075以降、DSM 7.3.2-86009-4以降、DSM 7.2.2-72806-9以降、DSM 7.2.1-69057-12以降といった修正版を目安に、利用機種で提供される最新のDSMへ更新してください。
※最新バージョン適用はこちら
更新後にサービスとログインを確認する
DSM 7のアップデート後は、管理画面へログインできること、共有フォルダーにアクセスできること、必要なパッケージが正常に動作していることを確認します。PCやスマートフォンからSynology Drive、ファイル共有、バックアップ、VPN、監視カメラなど、実際に利用しているサービスを一通りテストしてください。
あわせて、「ログセンター」で更新直後のエラーや不審なログイン記録がないかを確認します。身に覚えのない管理者アカウント、見慣れないIPアドレスからのアクセス、設定変更などが見つかった場合は、すでに不正アクセスを受けている可能性があります。その場合はNASをネットワークから隔離し、パスワード変更、アクセスログの保全、バックアップおよびスナップショットの確認を優先してください。
また、更新後もNASのDSM管理画面をインターネットへ直接公開し続けると、将来新たな脆弱性が見つかった際に再び危険にさらされます。DSM 7を最新化したうえで、不要なポート開放を閉じ、UPnPを無効化し、必要に応じてVPNやQuickConnectなどを利用する構成へ見直すことが、ランサムウェア被害の予防につながります。
ネット公開を見直して侵入経路を減らす
Synology NASのランサムウェア対策では、DSMを更新するだけでなく、外部からNASへ到達できる経路そのものを減らすことが重要です。特に、古いDSMを搭載したSynology NASをインターネットへ直接公開している環境は、認証を突破せずに悪用され得る脆弱性の標的になるおそれがあります。DSM 7を最新化したうえで、現在使っている公開設定が本当に必要かを確認し、不要な接続経路を閉じましょう。
不要なポート開放とUPnPを停止する
ルーターでDSM用のポートや各種サービス用ポートを開放していると、インターネット上の第三者からSynology NASへ直接アクセスできる状態になります。外出先からの利用を想定して設定したポート転送が、使われないまま残っているケースも少なくありません。ルーターの管理画面でポート転送設定を確認し、利用目的が不明なもの、現在は使っていないものは削除してください。
あわせて、UPnP（Universal Plug and Play）による自動ポート開放も見直します。UPnPを有効にしていると、NASやアプリケーションの要求に応じてルーターのポートが自動的に開放されることがあります。意図しないネットワーク公開を避けるため、必要性を十分に確認できない限りは、ルーター側のUPnPを無効化する方法が安全です。
外部公開が必要なサービスだけを明確にし、必要最小限のポートだけに限定することが基本です。ただし、ポート番号を標準値から変更するだけでは本質的な防御にはなりません。脆弱性を狙う攻撃ではポートスキャンが行われるため、DSM 7のアップデートと公開範囲の制限を組み合わせる必要があります。
DSMの管理画面を直接公開しない選択肢
DSMの管理画面はNASの設定変更、アカウント管理、ファイル操作などを行える重要な入口です。そのため、DSMのWebインターフェースをインターネットへ直接公開する運用は、可能な限り避けるべきです。今回報じられたSynology NASへのランサムウェア攻撃でも、ネットワーク経由で到達可能なNASが主な標的とされています。
管理作業は自宅や社内のローカルネットワークから実施し、外部から管理する必要がある場合は、後述するVPNを経由して内部ネットワークへ接続してからDSMへアクセスする構成を検討してください。これにより、DSMのログイン画面や管理用ポートを不特定多数に公開せずに済みます。
なお、二要素認証を有効にしていても、認証前に悪用できる脆弱性に対しては十分な防御になりません。「強固なパスワードを設定しているから公開しても安全」とは考えず、管理画面を外部へ直接出さないことを優先しましょう。
VPNやSynology QuickConnectを適切に利用する
外出先からSynology NASへアクセスする必要がある場合は、DSMを直接公開する代わりにVPNの利用を検討します。VPNで自宅や社内ネットワークへ安全に接続してからNASへアクセスすれば、DSMの管理画面をインターネットにさらさずに運用できます。VPNアカウントにも長く複雑なパスワードと二要素認証を設定し、利用者を必要な人に限定してください。
Synology QuickConnectも、ポート転送を手動設定せずにNASへ接続する選択肢です。利用する場合は、QuickConnect IDを推測されにくいものにし、DSMとパッケージを常に更新してください。また、共有リンクの作成範囲や有効期限、アクセス権限を必要最小限に設定することが大切です。
VPNとQuickConnectのどちらを使う場合でも、不要になったアカウントや共有リンクを放置しないようにします。アクセスログを定期的に確認し、見覚えのない接続や失敗ログが続いていないかを確認する運用も有効です。
ファイアウォールと地域制限でアクセスを絞る
DSM 7のファイアウォール機能を有効にし、NASへ接続できる送信元IPアドレスやネットワークを制限しましょう。たとえば、社内の固定IPアドレス、自宅回線、VPN用ネットワークなど、利用が必要な接続元だけを許可するルールを設定します。許可対象を限定できない場合でも、不要なサービスやポートへの通信を拒否する設定が重要です。
海外からのアクセスが不要な環境では、地域制限を活用して国内など必要な地域からの接続だけを許可する方法もあります。ただし、地域制限はIPアドレスの位置情報に基づく補助的な対策です。国内の踏み台サーバーやVPNを経由した攻撃を完全に防げるわけではないため、DSM 7の更新、不要な公開の停止、強固な認証と併用してください。
「Synology製NASでランサムウェア被害。9月18日の修正未適用なら攻撃のおそれ」といった注意喚起が示すように、アップデートの遅れとネットワーク公開が重なると危険性が高まります。NASの外部公開を最小化し、必要なアクセスだけを適切に許可することで、攻撃者に見つけられ、侵入を試みられる機会を減らせます。
アカウントとDSMの基本設定を強化する
DSM 7を修正版へアップデートして脆弱性を解消することに加え、アカウントや管理機能の設定を見直すことも重要です。Synology NASをネットワーク上で運用する以上、パスワードの使い回し、不要な管理者権限、公開したままのサービスなどが侵入のきっかけになり得ます。ランサムウェア対策として、利用者・権限・接続元を必要最小限に絞り込みましょう。
強固なパスワードと二要素認証を有効にする
DSMの全アカウント、とくに管理者権限を持つアカウントには、他サービスと使い回さない長く複雑なパスワードを設定します。英大文字・小文字、数字、記号を組み合わせ、推測されやすい社名、氏名、生年月日、製品名などは避けてください。複数人で管理する場合も、共用アカウントではなく個人ごとのアカウントを作成すると、操作履歴の確認や退職・異動時の権限削除がしやすくなります。
あわせて、DSMの二要素認証（2FA）を有効化します。パスワードが漏えいした場合でも、認証アプリなどによる追加確認がなければログインしにくくなるため、不正アクセス対策として有効です。特に管理者アカウントと、外部からDSMへアクセスする可能性がある利用者には必須の設定と考えましょう。
ただし、認証なしで悪用できる脆弱性を突く攻撃に対しては、二要素認証だけでは防げません。「Synology製NASでランサムウェア被害。9月18日の修正未適用なら攻撃のおそれ」とされる事案への対策では、2FAを過信せず、DSM 7のアップデート、ネット公開の見直し、バックアップを組み合わせる必要があります。
既定の管理者アカウントを無効化する
DSMには既定の管理者アカウントとして「admin」が用意されている場合があります。既定名のアカウントは攻撃者にも把握されており、総当たり攻撃やパスワードリスト攻撃の標的になりやすいため、そのまま使用し続けるべきではありません。
まず、adminとは異なる名前の管理者アカウントを作成し、ログインと管理操作が問題なく行えることを確認します。その後、既定のadminアカウントを無効化してください。作業中に管理者アカウントを削除・無効化してDSMへ入れなくなることを防ぐため、代替の管理者アカウントでログインできることを必ず確認してから実施します。
なお、管理者権限は必要な担当者だけに付与します。日常的なファイル利用やバックアップ確認には一般ユーザーを使い、設定変更やパッケージ管理が必要なときだけ管理者アカウントを使用する運用にすると、誤操作やアカウント侵害時の影響を抑えられます。
自動ブロックとアカウント保護を設定する
DSM 7では、ログイン失敗を繰り返す接続元を遮断する「自動ブロック」や、特定アカウントへの不審なログイン試行を抑止するアカウント保護機能を設定できます。インターネットへ公開されたSynology NASは、常に自動化されたスキャンやパスワード攻撃を受ける可能性があるため、これらの機能を有効にしておきましょう。
自動ブロックでは、一定回数のログイン失敗が発生したIPアドレスをブロックする条件と、ブロック期間を設定します。失敗回数を極端に少なくすると正規利用者も締め出すおそれがあるため、利用環境に応じて調整してください。また、社内や自宅など信頼できる固定IPアドレスを許可リストへ登録する場合も、登録範囲を必要最小限にとどめます。
設定後は、DSMのログで失敗したログイン試行、ブロックされたIPアドレス、管理者アカウントへのアクセス履歴を定期的に確認します。不審な試行が急増している場合は、パスワード変更だけでなく、NASの外部公開、ポート開放、ファイアウォール設定、DSMの更新状況も見直すことが大切です。
不要なサービスと権限を整理する
利用していないサービスを稼働させたままにすると、攻撃対象となる機能や設定ミスの可能性が増えます。DSMのコントロールパネルやPackage Centerを確認し、使っていないファイル共有プロトコル、リモート接続機能、Webサービス、メディアサーバー、パッケージは停止または削除してください。特に外部アクセスを伴う機能は、本当に必要かを定期的に判断します。
共有フォルダの権限も重要です。全ユーザーに読み書き権限を与えるのではなく、部署・用途・利用者ごとに必要な共有フォルダだけへアクセスを許可します。日常業務で不要なユーザーに管理者権限や削除権限を与えないことは、アカウント侵害時だけでなく、誤削除や内部不正による被害の抑制にもつながります。
また、利用を継続するパッケージは最新バージョンへ更新し、不要になったアカウント、古い連携設定、使用していないアクセスキーなどは削除します。DSM 7のアップデートで脆弱性を修正しても、不要なサービスや過剰な権限が残っていればリスクは下がり切りません。NASの役割に合わせて構成を簡素化し、必要な機能だけを安全に運用することがランサムウェア対策の基本です。
ランサムウェア被害を防ぐバックアップ設計
DSM 7のアップデートやネットワーク公開設定の見直しは重要ですが、それだけでランサムウェアの被害を完全に防ぐことはできません。未知の脆弱性や設定ミス、不正アクセスなどによってSynology NAS内のデータが暗号化された場合でも、独立したバックアップがあれば復旧できる可能性を確保できます。Synology製NASでランサムウェア被害が報じられている状況では、「侵入を防ぐ対策」と「侵入された後でも戻せる対策」を併せて実施することが大切です。
3-2-1ルールでバックアップを複数世代保管する
バックアップの基本は、3-2-1ルールです。これは、データを合計3コピー保有し、2種類以上の異なる媒体に保存し、そのうち1コピーはNASとは別の場所に保管する考え方です。例えば、Synology NAS上の元データに加え、USB外付けドライブへのバックアップ、クラウドまたは遠隔地の別NASへのバックアップを用意します。
さらに、バックアップは1世代だけでなく、複数世代を保持してください。ランサムウェア感染に気付かないままバックアップを実行すると、暗号化済みのファイルで正常なバックアップが上書きされるおそれがあります。日次・週次・月次などの世代管理を設定し、感染前の時点まで戻れる状態を維持することが重要です。
実際に、Synology NASが暗号化された事例でも、3-2-1構成でバックアップを分離していたことで、身代金を支払わずにデータを復旧できる可能性が残されていました。バックアップは「ある」だけでは不十分であり、NAS本体の障害や侵害の影響を同時に受けない配置にする必要があります。
Hyper Backupで外部と遠隔地へ退避する
DSM 7では、Hyper Backupを利用して共有フォルダー、パッケージのデータ、システム設定などをバックアップできます。保存先にはUSB外付けドライブ、別のSynology NAS、rsync対応サーバー、対応クラウドストレージなどを選択できます。まずは外付けドライブへ退避する構成でも効果がありますが、火災・盗難・落雷などの物理的な被害にも備えるには、遠隔地やクラウドにもコピーを持つことが望ましいです。
ランサムウェア対策としては、バックアップタスクで世代管理を有効にし、古い復元ポイントを一定期間保持します。また、バックアップ先の認証情報はNASの管理者アカウントと使い回さず、アクセス権限も必要最小限に設定してください。可能であれば、バックアップ完了後に外付けドライブを取り外す、またはバックアップ専用のアカウントを利用するなど、侵害されたNASからバックアップ先を操作されにくくする工夫も有効です。
なお、Synology nasをネットワーク経由で別拠点へバックアップする場合は、通信経路の保護も欠かせません。VPNや暗号化通信を利用し、バックアップ先のDSM管理画面を安易にインターネットへ直接公開しないようにします。
Snapshot Replicationで復旧ポイントを確保する
対応するSynology NASとファイルシステムでは、Snapshot Replicationによって共有フォルダーやLUNの時点復元用コピーを作成できます。スナップショットは変更前の状態を記録する仕組みであり、誤削除や意図しないファイル変更だけでなく、ランサムウェアによる暗号化後から感染前の状態へ戻す手段としても役立ちます。
スナップショットは、重要な共有フォルダーを対象に、業務量に応じて時間単位または日単位で取得します。保存期間は短すぎると、感染発覚時には正常な世代が消えている可能性があります。運用に必要な期間を考慮しつつ、複数の復旧ポイントを残す設定にしてください。
ただし、同一NAS内のスナップショットだけに依存するのは危険です。NASそのものが侵害された場合や、ストレージ障害・盗難・災害が起きた場合には、スナップショットも利用できなくなるおそれがあります。可能であればSnapshot Replicationで別のSynology NASへ複製し、Hyper Backupによる外部バックアップと組み合わせて運用します。
バックアップ先をNAS本体から分離する
元データとバックアップを同じSynology NAS内にだけ保存する構成は、ランサムウェア対策として不十分です。NASが侵害されてファイルが暗号化された場合、同じボリュームや同じ管理権限でアクセスできるバックアップデータも、削除・暗号化・改ざんされるおそれがあります。
少なくとも1つは、NAS本体から論理的・物理的に分離した保存先を用意しましょう。具体的には、普段は取り外して保管するUSBドライブ、別拠点に設置したNAS、クラウドストレージ、バックアップ専用サーバーなどが候補です。別NASを利用する場合も、元NASと同じ管理者パスワードを設定したり、相互に自由な管理アクセスを許可したりしないよう注意が必要です。
特に、9月18日の修正未適用なら攻撃のおそれが指摘されるような脆弱性では、認証なしで悪用される可能性も報じられています。この種の攻撃では、二要素認証だけでは防げない場合があります。DSM 7を速やかにアップデートするとともに、侵入された場合でもバックアップに到達されない構成を整えることが重要です。
復元テストでバックアップの有効性を確認する
バックアップは、正常に復元できて初めて役に立ちます。定期的にテスト用フォルダーや一部の重要データを復元し、ファイルが開けるか、必要な世代が残っているか、復元に必要な時間はどの程度かを確認してください。Hyper Backupを利用している場合は、Hyper Backup VaultやHyper Backup Explorerなどを用いてバックアップ内容を確認する方法もあります。
復元テストでは、写真、文書、データベース、業務用ファイルなど、実際に失うと困るデータを対象にします。また、共有フォルダーだけでなく、DSM設定、ユーザー・権限設定、利用中のパッケージに関する復旧手順も整理しておくと、被害後の復旧を迅速に進めやすくなります。
万一、ファイルの拡張子が「.L0CK3D」に変更されていたり、「read-me3.txt」のような身代金要求メモが見つかったりした場合は、バックアップ先へすぐに接続して上書きしないでください。まずNASをネットワークから隔離し、スナップショットや外部バックアップに感染前のデータが残っているかを確認します。身代金の支払いではなく、安全性を確認したバックアップから復元できるよう、平時から手順とデータを検証しておくことが最善の備えです。
感染や不正アクセスが疑われる場合の初動対応
Synology NASでファイルが開けない、拡張子が「.L0CK3D」に変更されている、フォルダー内に「read-me3.txt」が作成されているといった状況は、ランサムウェア被害の兆候です。不審なログイン履歴や見覚えのない設定変更がある場合も、不正アクセスを前提に対応してください。復旧を急いでNASを再起動したり、データを書き換えたりすると、調査や復元に必要な情報が失われるおそれがあります。被害拡大の防止、証拠保全、侵入経路の遮断、バックアップからの安全な復旧を順に進めることが重要です。
NASをネットワークから隔離して被害拡大を防ぐ
まず、影響が疑われるSynology NASをネットワークから隔離してください。LANケーブルを抜く、NASが接続されているスイッチポートを無効化する、ルーターやファイアウォールでNASとの通信を遮断する、といった方法があります。DSMのWeb管理画面をインターネット公開している場合は、ポート転送、UPnP、自動ルーター設定なども停止します。
隔離の目的は、攻撃者による暗号化処理の継続、ほかの端末や共有フォルダーへの横展開、NASからの情報持ち出しを防ぐことです。ただし、電源断や初期化は安易に行わないでください。稼働中の情報やログが失われ、原因調査が難しくなる場合があります。業務環境で影響範囲が大きい場合は、社内の情報システム担当者やセキュリティ事業者の指示を受けながら隔離を実施します。
暗号化ファイルや身代金要求画面を記録する
隔離後は、被害状況を記録します。暗号化されたファイル名と拡張子、身代金要求メモ、DSMの警告画面、不審なプロセスやタスク、ログイン履歴などを、スクリーンショットや写真で保存してください。今回報告されている事案では、拡張子が「.L0CK3D」に変更され、各フォルダーに「read-me3.txt」が置かれるケースがあるとされています。
あわせて、被害に気付いた日時、最後に正常にファイルを開けた日時、外部公開していたサービス、DSMのバージョン、インストール済みパッケージ、管理者アカウントの一覧を記録します。DSMの［ログセンター］で、ログイン失敗の急増、未知のIPアドレスからのアクセス、管理者権限の変更などを確認することも有効です。これらの情報は、Synologyサポートや専門家へ相談する際、状況を正確に伝える材料になります。
身代金要求メモに記載されたURL、メールアドレス、暗号資産アドレスを不用意に操作・連絡しないことも大切です。身代金を支払っても復号ツールが提供される保証はなく、さらなる要求や情報悪用につながる可能性があります。まずは、安全なバックアップやスナップショットから復元できるかを確認してください。
アカウント情報を変更して不正アクセスを遮断する
不正アクセスが疑われる場合、NASを隔離した状態で管理者アカウントを含むすべての重要アカウントを見直します。DSMへアクセスする管理者・利用者アカウント、Synology Account、メール通知用アカウント、バックアップ先のクラウドストレージ、VPN、ルーターなど、NASに関係する認証情報を変更してください。同じパスワードを使い回しているサービスがあれば、そちらも変更が必要です。
特に、既定の「admin」アカウントが有効になっている場合や、見覚えのない管理者アカウントが存在する場合は注意が必要です。不要なアカウントを無効化または削除し、利用中の管理者アカウントには長く一意のパスワードと二要素認証を設定します。ただし、脆弱性を悪用する攻撃では、二要素認証だけで侵入を防げない可能性があります。アカウント対策と並行して、DSM 7を修正版へ更新し、NASの直接公開を停止することが不可欠です。
外部からDSMへ接続するために開放していたポート、QuickConnect、DDNS、VPN、リバースプロキシの設定も点検します。不要な設定は無効化し、再公開が必要な場合でも、原因調査とアップデート、設定の見直しを終えてから慎重に再開してください。
安全なバックアップからデータを復元する
復元は、NASが安全な状態であることを確認してから実施します。侵害の疑いが残る状態でバックアップを戻すと、復旧後のデータが再び暗号化されたり、バックアップ先まで被害が及んだりするおそれがあります。まずDSM 7を最新の修正版へアップデートし、不要な外部公開を止め、アカウントとアクセス権を見直してください。Synology製NASでランサムウェア被害が発生した場合も、Synologyはバックアップまたはスナップショットからの復元を基本的な対応として案内しています。
復元元は、感染前の時点で取得され、NAS本体から分離されていたバックアップを優先します。Hyper Backupで外付けストレージ、別のNAS、クラウドストレージへ保存したデータや、Snapshot Replicationで保持している変更前のスナップショットを確認してください。バックアップ先が同じNAS内の共有フォルダーだけである場合、元データとともに暗号化されている可能性があるため、状態を慎重に確認します。
いきなり全データを戻すのではなく、可能であれば隔離した検証環境に少量のデータを復元し、ファイルが正常に開けるか、マルウェアや不審なスクリプトが含まれていないかを確認します。復旧完了後も、しばらくはDSMのログ、管理者アカウント、ネットワーク通信を監視してください。
Synologyサポートと専門機関へ相談する
被害の原因や影響範囲を自力で判断できない場合は、Synologyサポートへ相談してください。問い合わせ時には、NASの機種名、DSMバージョン、発生日時、ネットワーク公開状況、暗号化されたファイルの拡張子、身代金要求メモ、取得したログなどを提示すると、確認を進めやすくなります。特に、DSMの更新が遅れていた場合や、インターネットからDSMへ到達できる設定だった場合は、その点も正確に伝えます。
企業・団体で利用しているNASは、情報システム部門、契約中のセキュリティ事業者、必要に応じて警察や公的な相談窓口にも連絡してください。個人情報、顧客情報、取引先データなどが保存されていた場合は、法令・契約・社内規程に基づく報告や通知が必要になることがあります。
今回のように、9月18日の修正未適用なら攻撃のおそれが指摘されるケースでは、単にファイルを復元するだけでは不十分です。Synology NASのネットワーク公開設定、DSM 7の更新状況、管理者権限、バックアップの分離状況まで総合的に見直し、同じ侵入経路を残さないよう対策を完了させてください。
省スペースPC GEEKOMをお探しの方はこちら
※こちらから購入すると支払時に3,500円引き
※支払時に3,500円の値引きがない場合はクーポンコードを入力してください。
クーポンコード
TAKESHI
TAKESHI
購入はこちらをクリック↓↓↓
GEEKOM PC購入時の注意点
電源コードがアース付きの3ピンとなってます。3ピン→2ピンの変換をお持ち出ない方は購入を Officeもついていません。必要な方はこちらより購入を
Office（Word Execl等）が必要な方はこちら
Word Execl Outlook
Word Execl Outlook PowerPoint
-
-
高性能ミニPC Amazonでの評判がすごく良いGEEKOM OS搭載ですぐに使用可能
台湾の新興PCメーカーGEEKOMギコム高性能の小型PCを専門的に製造、販売 当ブログ購読者限定3,500円OFFのクーポンコード公開 省スペースデスクトップで高性能 CPUもINTELとAMD両方ともラインナップ やめとけというかたもいるが評判はすこぶる良い
続きを見る
#Synology #NAS #ネット公開中 #要確認 #DSM 7 #更新 #ランサムウェア,対策
