Synology NASでランサムウェア被害、感染の疑いがあれば更新前に隔離を

KISAは2026年11月3日、Synology NASを狙ったランサムウェア攻撃への注意を呼びかけました。予防のための更新は必要ですが、すでに暗号化などの兆候がある機器では、更新を進める前にネットワークからの隔離と証拠の保全を優先します。

兆候がなければ、機種に対応した更新を

感染の兆候がない機器は、そのモデルでサポートされる最新版のDiskStation Manager（DSM）と、インストール済みパッケージに更新します。DSMは細かな更新番号まで確認し、サポート終了版を使っている場合は、対応するバージョンへの移行や機器の買い替えを検討してください。

Synologyの10月29日付発表では、2024年12月に修正済みの脆弱性を悪用し、サポート終了版DSMの機器に保存されたデータを暗号化する攻撃が報告されています。

なお、同じ発表にあるPHP2Shellは、一部のPHP依存パッケージに影響する別の問題です。Web StationやWordPressなどが対象で、Synology Driveは対象外です。今回の暗号化被害がPHP2Shellによるものだとは発表されていません。

管理画面の公開を絞り、バックアップは別に守る

NASの管理画面をインターネットに直接さらす範囲を減らし、不要なポート転送、リモート接続、サービスを無効にします。遠隔利用が必要ならVPNなどの管理された接続経路を使い、ファイアウォールで接続元と利用できるサービスを制限します。

標準の管理者アカウントは無効化し、他のサービスと使い回さない強固なパスワードと多要素認証を設定してください。

重要なデータは、NASから切り離したオフラインの記録媒体か、変更・削除を制限したバックアップに保管し、定期的に復元を試します。常時接続の外付けディスクや同期先のデータも被害を受ける可能性があるため、それぞれ保護が必要です。

ファイルが開かないときは、初期化せず証拠を残す

保存ファイルが突然開けなくなったり、拡張子がL0CK3D、locked、lock3d、lock3Dなどに変わったり、身代金を求める文書が現れたりしたら、感染を疑います。まずNASのネットワーク接続を遮断し、連動する同期・バックアップ処理を停止してください。

身代金要求の文書、暗号化されたファイル、システム・アクセスログは残し、発見時刻、機種名、DSMのバージョン、行った操作を記録します。初期化・フォーマット・再インストールや、ファイルの削除・上書きはしないでください。不必要な電源オフ、再起動、更新も避けます。

KISAの公式サイトにある侵害事故のオンライン申告窓口から報告し、対応・復旧支援を求めたうえで、その案内に従ってください。出所不明の復旧ソフトや、復旧を保証して金銭を要求する業者の利用にも注意が必要です。