個人や小規模オフィスで使われるNAS（ネットワーク接続ストレージ）が、近年ランサムウェア攻撃の標的として急増しています。
ファイルが突然暗号化され、復旧のために仮想通貨で身代金を求められる深刻な被害が多発。大切なデータを守るには、正しい知識と事前の対策が欠かせません。
本記事では、NASの基本から攻撃手口、実際の被害、具体的な対策までを網羅的に解説します。
NASとは？便利だけど狙われやすい理由
NAS（Network Attached Storage）は、ネットワークを通じて複数のデバイスからアクセスできる共有ストレージです。家庭では写真や動画の保存、企業ではファイルサーバとして活用されており、QNAPやSynologyなどが代表的なメーカーです。
しかしその便利さと裏腹に、インターネットを介して接続されることで、外部からの不正アクセスに晒されるリスクも生まれます。特に初期設定のまま使用していたり、セキュリティ対策が不十分な状態では、攻撃者にとって格好の標的となってしまいます。
攻撃手口は？NASが狙われる4つのルート
NASが攻撃を受ける主な経路は、設定ミスやセキュリティの甘さに起因するケースがほとんどです。ここでは、実際に報告されている代表的な侵入手口を4つに分類し、それぞれの仕組みと注意点について詳しく解説します。
1. インターネットに公開されたNAS
NASの管理画面やファイル共有ポートがインターネット上に開かれていると、攻撃者がスキャンツールを使って容易に発見・侵入することができます。特にUPnP（Universal Plug and Play）が有効になっていると、自動でポート開放されることがあり、ユーザーが意図せずNASを外部公開しているケースも。こうした設定ミスは、DeadBoltのようなランサムウェアに悪用される典型的なパターンです。
2. 脆弱なパスワードや初期アカウントの放置
「admin／12345」などの初期設定のままNASを運用していると、ブルートフォース攻撃により簡単に突破されてしまいます。攻撃者は自動化されたツールを用いて、ありふれたパスワードを次々に試し、わずか数分でログインに成功することもあります。定期的なパスワード変更や、多要素認証の設定がされていないNASほど、被害に遭いやすいのが現実です。
3. ファームウェアやアプリの脆弱性
NAS本体のOSや、Photo StationやBackupアプリなどの付属ソフトに脆弱性が存在する場合、それを突かれて不正アクセスされるリスクがあります。QlockerやeCh0raixなど、実際に脆弱なアプリを狙って侵入したケースが多数報告されています。NASを長期間アップデートしていない、あるいは古い非推奨アプリを放置していると、非常に危険です。
4. ゼロデイ攻撃（未知の脆弱性）
まだ発見・修正されていないソフトウェアの欠陥を狙った攻撃が「ゼロデイ攻撃」です。DeadBoltはゼロデイを利用していたとされ、最新のソフトウェアを使用していたにもかかわらず、被害に遭ったユーザーも多くいます。ゼロデイに対して完全な防御は難しいですが、ベンダーから緊急パッチが提供された際には迅速に適用することが唯一の対策となります。
NASに感染するとどうなる？被害の実態
NASがランサムウェアに感染した場合、どのような被害が起きるのかを知っておくことは非常に重要です。ファイルの暗号化、金銭の要求、データ流出のリスクなど、現実に起きた深刻な影響について具体的に見ていきましょう。
ファイルの暗号化
NASに保存された写真・書類・音楽・動画などのファイルが、突如としてアクセス不能になります。これはランサムウェアが対象ファイルを強力な暗号アルゴリズム（AESやRSAなど）で暗号化し、ユーザーが通常の手段では開けなくなるためです。
暗号化されたファイルは拡張子が「.locked」や「.deadbolt」などに書き換えられ、元のファイル名も変更される場合があります。ファイルを復元するには、攻撃者が持つ「復号鍵」が必要となり、それなしでは自力での回復はほぼ不可能です。
特に業務ファイルや個人の思い出写真など、代替の効かないデータが狙われた場合の被害は計り知れません。
身代金の要求
NASが暗号化されると、通常は画面上に脅迫文（ランサムノート）が表示され、「一定額のビットコインを支払えば復号鍵を提供する」といった内容が記載されます。要求額は数万円から十数万円相当が多く、支払い方法にはTorブラウザ経由の支払いポータルが指定されることが一般的です。
最近では、単なる復旧要求に留まらず「ファイルを抜き取っており、支払わなければ公開する」と脅す“二重脅迫”の手口も増えています。しかも、金銭を支払っても本当に復号鍵が提供される保証はなく、泣き寝入りするケースも少なくありません。
経済的・心理的損失
NASへの攻撃は、単なるデータの損失だけにとどまりません。暗号化によって作業が完全に停止したり、大切な写真や業務データを失ったことによる精神的ショックも深刻です。
復旧にかかるコストも、専門業者への依頼や新規機器の購入費、業務停止中の損失などを含めると非常に高額になることがあります。
企業であれば取引先からの信用を失う恐れもあり、個人であっても長年蓄積したデジタル資産を失うことで大きなストレスを抱えることになります。
過去に発生した主な被害事例
実際に起きた被害事例から学ぶことは、今後の対策に大きく役立ちます。ここでは、NASを狙った代表的なランサムウェア攻撃を時系列で紹介し、それぞれの特徴や被害状況を整理します。
Qlocker（2021年）
QNAP製NASを標的にしたQlockerは、7-Zipでファイルをパスワード付きアーカイブ化し、0.01BTCの支払いを要求しました。
短期間で数千台以上が感染し、多くの個人ユーザーや小規模オフィスが大切なデータを失いました。HBSアプリの脆弱性が悪用されたことで、QNAPは緊急アップデートを配信し、被害拡大を防ごうとしました。
DeadBolt（2022年）
DeadBoltは、QNAPやASUSTOR製NASのログイン画面を改ざんし、ファイルを「.deadbolt」形式で暗号化。
ゼロデイ脆弱性を突いたとされ、ユーザーの操作を一切受け付けない状態にされてしまうのが特徴です。この事件では数千台単位での被害が確認され、メーカー側も被害者への復旧支援と再発防止策の発表に追われました。
eCh0raix（2019年〜）
eCh0raixは、QNAP・Synology双方のNASを狙うランサムウェアで、弱いパスワードや既知の脆弱性を起点に感染します。個人ユーザーを中心に被害が広がり、身代金は100〜300ドル程度と低めに設定されています。
支払いを促すために「安価で簡単に復旧できる」と見せかける点も、eCh0raixの巧妙さの一つです。
Checkmate（2022年）
Checkmateは、SMB（Windowsのファイル共有）サービスをインターネットに公開していたNASに対し、辞書攻撃で侵入する手法をとります。既知の脆弱性は使っておらず、ユーザー側の設定ミスが被害拡大の原因となりました。
拡張子「.checkmate」が付けられた暗号化ファイルが残され、復旧の難しさが報告されています。
一般ユーザーができるNASセキュリティ対策
「NASが危ない」と聞いて不安になった方もご安心ください。日常的に実施できるセキュリティ対策を行うことで、被害のリスクは大幅に低減できます。ここでは、一般ユーザーでもすぐに実践できる基本的な対策を紹介します。
1. ソフトウェアを常に最新の状態に保つ
NASのOSやアプリは、セキュリティ更新を受け取れるよう自動更新を有効にし、定期的に管理画面をチェックしましょう。メーカーが発表する脆弱性情報やアップデート通知を見逃さず、できるだけ早く適用することが大切です。
特に、Photo StationやBackupなどNASに標準搭載されているアプリには、過去に深刻な脆弱性が見つかった例もあるため注意が必要です。
2. 強力なパスワードと多要素認証の導入
NASにアクセスするすべてのアカウントには、8文字以上の強力なパスワードを設定しましょう。英字・数字・記号を組み合わせ、誕生日や「password」などの単純なワードは避けます。
さらに、多要素認証（2FA）を使うことで、不正ログインのリスクを格段に下げられます。たとえパスワードが漏れても、スマホ認証などがあれば防衛できます。
3. インターネットへの公開を制限する
外出先からNASにアクセスしたい場合でも、直接インターネットに公開するのではなく、VPN（仮想プライベートネットワーク）を活用しましょう。
特にSMBやFTPなどのサービスは外部公開しないのが鉄則です。UPnPは無効に設定し、必要なポート開放も最小限にとどめることが、リスク回避につながります。
4. 定期的なバックアップとスナップショット
どんなに対策しても、ゼロデイ攻撃や設定ミスは完全に防ぎきれません。そのため、データを守る最終手段として「バックアップ」が不可欠です。
NASとは別のHDDやクラウドストレージに定期的にバックアップを取り、スナップショット機能も有効にしておくと、万が一の際に直前の状態に復元できます。バックアップこそが、最大のセキュリティ対策です。
まとめ：NASは守ってこそ活かせる
NASはとても便利なツールですが、セキュリティ対策を怠ればランサムウェアの餌食になります。簡単な設定ミスやパスワードの甘さが原因で、大切なデータが失われてしまう事例は後を絶ちません。特に最近は、個人や小規模オフィスでもNASを利用するケースが増えているため、「自分には関係ない」とは思わないことが重要です。
基本に忠実なセキュリティ設定、日々のアップデート、堅牢なパスワード、バックアップ体制。これらを地道に守ることが、あなたの大切な情報を守る最善策となります。
コメント