セキュリティニュース
Synology の NAS がランサムウェア「C3RB3R」に狙われています — 古い DSM のままだとデータを暗号化。すぐ更新を
ひとことで言うと
- 社内のファイル置き場によく使われる Synology の NAS が、ランサムウェア「C3RB3R」に狙われています。中のファイルを暗号化され、身代金を要求されます。
- 狙われているのは、OS（DSM）を古いまま使っている NAS。Synology は「2024年12月に直した欠陥が使われている」としています。CVE-2024-10441（CVSS 9.8）を含む欠陥です。
- インターネットから見える Synology の NAS は、世界で38万台以上あります。
- DSM を最新に更新し、管理画面をインターネットに出さないでください。バックアップが NAS の中だけなら、別の場所にも取りましょう。
この記事は 11月3日時点の情報です。
何が原因か
NAS（ネットワークにつなぐファイル置き場）は、中身は小さな Linux のコンピューターです。Synology の NAS では、その OS を DSM と呼びます。
Synology によると、今回の攻撃に使われているのは、2024年12月までに修正版が出ていた欠陥です。中心の CVE-2024-10441 は、DSM の部品（プラグインを扱う仕組み）が、外から受け取った値の扱いを誤るものです。そのため、ログインなしで、外から好きなプログラムを動かせてしまいます。この欠陥は、2024年のハッキング大会（Pwn2Own）で見つかったものです。
つまり、2年近く DSM を更新していない NASが狙われている、ということです。
| 項目 | 内容 |
|---|---|
| 狙われる製品 | Synology の NAS（DSM を古いまま使っているもの） |
| 使われている欠陥 | Synology の説明では Synology-SA-24:20（CVE-2024-10441 など） |
| 攻撃の条件 | NAS の管理画面などがインターネットから見えていること |
| 被害 | ファイルが暗号化され、拡張子が .L0CK3D に。各フォルダに身代金の案内（read-me3.txt） |
別の説もある
中国のセキュリティ会社 360 は、2026年9月に直った別の欠陥（CVE-2026-13639 / 13684）が使われていると指摘しているとも報じられています。どちらの欠陥でも、最新の DSM に更新すれば両方ふさがります。
何が起きたか
- 2024年11〜12月：Synology が修正版を順に公開（DSM 7.2 系・7.1 系・6.2 系）
- 2025年3月：欠陥の詳しい内容が公開される
- 2026年9月：別の重大な欠陥8件を直す修正版（SA-26:13）を公開
- 2026年10月上旬：C3RB3R による暗号化の被害が出始めたと報じられる
- 2026年10月29日：Synology が「古い DSM が狙われている。すぐ更新を」と注意を呼びかけ
- 2026年11月2〜3日：海外のセキュリティ報道で広く伝わる
被害の件数は公表されていません。暗号を解く道具（復号ツール）も、今のところ無料のものは見つかっていません。米 CISA の「悪用中」リストや、JPCERT/CC の注意喚起には、11月3日時点でまだ入っていません。
それが一番の落とし穴だ！
NAS は、電源を入れたら何年も放っておかれる機械の代表だ。だが中身は立派なコンピューターだぞ。更新しなければ、2年前の穴が開いたままだ。
しかも社内の大事なファイルが全部そこにある。攻撃者にとっては、一番おいしい的なんだ！
どんな問題があるか
- 社内のファイルが一度に使えなくなる：見積書、図面、会計のデータなど、NAS に置いたものがまとめて暗号化されます
- NAS の中のバックアップも道連れ：「バックアップは NAS の別フォルダに取っている」という場合、バックアップごと暗号化されるおそれがあります
- 身代金を払っても戻る保証はない：払ったお金は次の犯罪に使われ、データが戻らないことも多いのです
- 情報が持ち出されるおそれ：暗号化の前に、データを盗み出す手口も一般的です。取引先や個人の情報があれば、届け出や連絡が必要になることもあります
外からつなげる設定が入口になる
Synology の NAS には、社外からファイルにアクセスするための便利な機能があります。ルーターの設定でポートを開けたり、外部から管理画面を開いたりできるものです。便利な分、攻撃者からも見えるようになります。今回のように古い DSM だと、そこが入口になります。
うちの NAS は外から見えている？ 確かめ方の目安
次のどれかに当てはまれば、インターネットから NAS に届く状態になっている可能性があります。
- ルーターで、NAS に向けたポートを開けている
DSM の管理画面は、初期設定ではポート 5000（HTTP）/ 5001（HTTPS） を使います。ルーターの「ポート転送」や「静的 IP マスカレード」の設定に、これらが NAS あてに登録されていないか確かめます。 - ルーターの「UPnP」が有効で、NAS が自分でポートを開けている
DSM には、ルーターに自動でポートを開けさせる機能があります。知らないうちに開いていることがあります。 - 社外から、ブラウザで NAS の管理画面やファイルを開けている
出張先や自宅から NAS を使えているなら、何らかの形で外につながっています。
当てはまるかどうか判断がつかなければ、ルーターと NAS の設定画面を、設置した会社に見てもらうのが確実です。
臨時の対処（すぐ更新できないとき）
Synology の案内では、公式の回避策はありません。更新までのつなぎとして、次の守りが有効です。
- 管理画面をインターネットに出さない
ルーターで NAS に向けて開けているポートを閉じ、社内からだけ管理画面を開けるようにします。社外から使う必要があるなら、VPN を経由します。 - 使っていない外部公開の機能を止める
Web サイトの公開、外部からのファイル共有など、使っていない機能は止めます。 - すぐに別の場所へバックアップを取る
NAS とは別の機械や、ネットから切り離せる場所（外付けのディスクなど）に、今のデータを写しておきます。 - 管理者のパスワードを強くし、二段階認証を有効にする
今回の欠陥はログインなしで狙えますが、ほかの攻撃への備えとして大切です。
正しい対処
- DSM を、使っている系統の最新版に更新する
少なくとも次の版以降にします（Synology-SA-24:20 の修正版）。
| DSM の系統 | この版以降に |
|---|---|
| 7.2.2 | 7.2.2-72806-1 |
| 7.2.1 | 7.2.1-69057-6 |
| 7.2 | 7.2-64570-4 |
| 7.1 | 7.1.1-42962-7 |
| 6.2 | 6.2.4-25556-8 |
ただし、2026年9月の別の欠陥（SA-26:13）もふさぐため、各系統の最新版（7.2.2 なら 7.2.2-72806-9 以降、7.3 系・7.4 系はそれぞれの最新版）まで上げるのがおすすめです。
- 自動更新を有効にする
Synology も自動更新を推奨しています。「気づいたら2年前のまま」を防げます。 - サポートの終わった古い機種は、買い替えを計画する
新しい DSM に対応していない機種は、修正版が出なくなります。 - バックアップを「3か所・2種類・1つは切り離して」持つ
NAS が暗号化されても、ネットから切り離したバックアップがあれば元に戻せます。書き換えできないバックアップ（イミュータブルバックアップ）も有効です。 - もし暗号化されたら
NAS をネットから外し、電源は切らずに専門の会社や警察に相談します。身代金の支払いは、すすめられていません。
よくある話だ！ まず「社内に NAS が何台あるか」を確かめろ。そのうえで、入れてくれた会社やパソコンを見てくれている会社にこう聞け！
「Synology の NAS を狙ったランサムウェア（C3RB3R）について確認させてください。弊社の Synology の NAS の DSM のバージョンを教えてください。最新版に更新されていなければ、更新をお願いします。あわせて、管理画面やファイル共有がインターネットから見える設定になっていないか、バックアップが NAS とは別の場所にもあるか、確認をお願いします。」
「NAS の中にバックアップがあります」は、バックアップじゃない。同じ場所は一緒にやられるからな！
まとめ
- 原因は、2024年に直っていた欠陥を、DSM を更新せず放置していたこと
- ランサムウェア C3RB3R が NAS のファイルを暗号化。世界で38万台以上の NAS がネットから見えている
- つなぎは管理画面をネットに出さない・別の場所へバックアップ、正しい対処は DSM を最新に更新して自動更新をオン
- NAS の中のバックアップだけでは守れない。切り離したバックアップを持つ