1. 何が起きたか
NASメーカーのSynologyは2026年10月29日（台北発）、2024年12月に修正された脆弱性を突き、古いバージョンのDSMを使う機器を狙ってデータを暗号化し身代金を要求する攻撃を確認したと発表しました。すべての利用者に今すぐDSMを更新するよう求め、自動更新を有効にすることも勧めています（Synologyの発表）。
発表文が参照している公式勧告Synology-SA-24:20は2024年11月5日の公開で、深刻度は最高の「Critical」です。そのうちCVE-2024-10441（CVSS 9.8）は、遠隔の攻撃者が任意のコードを実行できる欠陥とされています。修正版はDSM 7.2.2が7.2.2-72806-1以降、7.2.1が7.2.1-69057-6以降、7.2が7.2-64570-4以降、7.1が7.1.1-42962-7以降で、勧告に回避策は載っていません（Synology-SA-24:20）。
米BleepingComputerの報道によると、Synologyは今回悪用されている脆弱性を特定していません。同社は2024年11月の勧告にリンクしており、BleepingComputerはDSMの管理画面へのインターネットからのアクセスを遮断し、DSMを更新するよう利用者に勧めています。被害者には「C3rb3r Decryptor」という復号ツールを、ダークウェブのページで数千ドルで買うよう求める脅迫文が表示されるといいます。同紙は、Synologyが利用者へ攻撃を警告する勧告を出すのは2019年8月以来だとも伝えています（BleepingComputer）。被害の相談は10月17日からBleepingComputerのフォーラムに立っていました（フォーラムのスレッド）。
2. なぜ中小企業に関係するのか
BleepingComputerによれば、インターネットから見える状態のSynology製NASは、調査団体Shadowserverの集計で38万台を超えます。ただし同紙は、そのうち更新済みの台数やおとり用の機器の数は分からないと断っています（BleepingComputer）。つまり、台数は参考値にとどまりますが、「公開されたまま古いDSMを使い続けている機器」が攻撃者の標的になる構図は、Synology自身の発表で裏付けられています。
NASは、見積書、顧客リスト、受発注データ、バックアップを置く場所として、中小企業の事務所に置かれていることが多い機器です。社外から自宅や出張先でファイルを見るために管理画面を公開し、導入した担当者が退職してからは誰も更新していない、という状態は珍しくありません。今回の修正版は2024年に出ているため、更新していない機器は、約2年の間、公開された欠陥を放置していたことになります。
当社の見方 危ないのは、バックアップを同じNASの中にしか持っていない会社だと当社は見ています。データが暗号化されると、業務データと一緒にバックアップも使えなくなり、脅迫文の指示に従って数千ドルを払うか、取引記録を失うかの二択になります。払っても復号できる保証はありません。対策の費用は、更新の確認と、NASの外にもう1つ複製を持つ作業で済みます。まず、今週中にDSMのバージョンと、管理画面がインターネットから開いていないかを確かめてください。
3. 中小企業がいま確認すること
- 事務所や倉庫、自宅にあるSynology製NASの台数と、管理している担当者を洗い出す
- DSMのバージョンが、SA-24:20の修正版（7.2.2-72806-1、7.2.1-69057-6、7.2-64570-4、7.1.1-42962-7、6.2.4-25556-8）以降か、機器の管理画面で見る
- 古い場合は更新前に、NAS以外の場所（別の機器やクラウド）に最新のバックアップがあることを確認してから更新する
- 管理画面（外部からのアクセス）がインターネットに公開されていないかをルーターの設定で確認し、必要ならVPN経由に変える
- DSMの自動更新を有効にし、更新の通知が届く連絡先を、退職しても残る共有アドレスに変える
当社の展望
今後6か月から2年で、2年前の勧告を足がかりにした攻撃が、NASやルーターなど「入れたまま忘れた機器」に集中すると当社は見ています。同じ時期に、取引先が見積書や顧客データの預け先を確認する場面が増え、機器の管理状況を説明できない会社は、取引の条件を厳しくされるでしょう。逆に、機器の一覧、更新の担当者、NAS外のバックアップを整えた会社は、事故の際にも数日で業務を戻せます。機器の棚卸しと更新の見張りをAIと保守担当に任せる仕組みを、いま布石として作る時期です。
この記事に関するよくあるご質問
SynologyのNASがランサムウェアに狙われていると聞きました。何をすればよいですか
Synologyは2026年10月29日、2024年12月に修正された脆弱性を突く攻撃を確認したとして、DSMの即時更新を求めました。管理画面でDSMのバージョンを確認し、SA-24:20の修正版より古ければ、NAS以外にバックアップがあることを確かめてから更新してください。自動更新の有効化も勧められています。
NASの管理画面をインターネットに公開していても大丈夫ですか
安全とは言えません。BleepingComputerは、DSMを更新するとともに、管理画面へのインターネットからのアクセスを遮断するよう利用者に勧めています。外出先から使う必要がある場合は、VPN経由に切り替えるのが一般的な対処です。
参考
- Synology: Synology urges users to update DSM following ransomware attacks on outdated DSM versions (2026-10-29)synology.com
- Synology: Synology-SA-24:20 DSM (PWN2OWN 2024)synology.com
- BleepingComputer: Synology warns of C3RB3R ransomware attacks targeting NAS devicesbleepingcomputer.com
- BleepingComputer Forums: C3RB3R ransomware encrypting NAS devices (*.L0CK3D extension / read-me3.txt)bleepingcomputer.com