要点
- 更新していない古い NAS（ネットにつなぐファイル置き場）が実際に攻撃されていると Synology が警告し、報道によると使われているのは C3RB3R というランサムウェアだ。
- 攻撃に使われているのは、2024年に修正が出た欠陥だ。つまり、更新をしていれば防げた機器が被害にあっている。
- 写真や仕事のファイルが暗号化され、元に戻すためのお金を求められる。すぐに DSM（NAS の OS）を最新にしてほしい。
何が起きたか
Synology は2026年10月29日、公式のお知らせを出した。お知らせによると、攻撃者は「2024年12月に修正した欠陥」を使い、古い DSM を動かす NAS を狙っている。目的は、データを暗号化して身代金を取ることだという。
Synology は、くわしくは advisory（欠陥と修正版の案内）Synology-SA-24:20 を見るよう案内している。この advisory は2024年11月に出たもので、もっとも重い欠陥は CVE-2024-10441 だ。ネットの向こうから、ログインしなくても NAS の上でプログラムを動かせてしまう欠陥で、重さは10点中9.8点とされている。ただし、今回の攻撃にどの欠陥が使われたのかを、Synology はお知らせの中ではっきり言っていない。
この攻撃に使われているランサムウェアが C3RB3R（Cerber とも呼ばれる）だというのは、BleepingComputer の報道と、被害を受けた利用者の報告による。Synology のお知らせには、この名前は出てこない。
BleepingComputer の報道によると、暗号化されたファイルの名前の末尾には「.L0CK3D」が付く。また「read-me3.txt」という脅迫文が残される。脅迫文は、ダークウェブ（ふつうのブラウザでは見られないサイト）で「復号ツール」を買うよう求めるという。
Synology がこうした「いま攻撃が起きている」という警告を出すのは、めったにない。BleepingComputer は、前回は2019年だったと伝えている。
日本の利用者への影響
日本でどれだけ使われているか、日本で被害が出ているかは、一次情報からは分からない。
ただ、攻撃はネットから届く NAS を広く狙うものだ。国による違いはないと考えたほうがよい。BleepingComputer によると、ネットから見える Synology の NAS は、世界で38万台を超えるという調べがある。
今すぐやること
- DSM の版を確かめる。 管理画面で、いま入っている DSM の版を確かめる。下の「技術者向けの詳細」にある版より古ければ、当たっている。
- DSM を最新にする。 Synology は、古い版を使う人にすぐの更新を強く勧めている。
- 自動更新をオンにする。 これも Synology の勧めだ。次の欠陥が見つかったときも、自動で直る。
- 管理画面を外から開けないようにする。 ルーターのポート開放などで、家や会社の外から管理画面に入れる設定になっていないか見直す。BleepingComputer の記事でも、管理画面をネットから閉じるよう勧めている。外から使いたいなら、VPN（安全な専用の通り道）を通す。
- バックアップを別の場所にも取る。 NAS そのものが暗号化されると、NAS の中のバックアップも一緒に失われうる。外付けのディスクを使い終わったら外す、またはクラウドに取るなど、NAS とは別の場所に写しを置く。
背景
ネットにつないだままの NAS は、昔からランサムウェアに狙われてきた。2019年には eCh0raix というランサムウェアが、パスワードの総当たりで Synology の NAS に入り込んだ。
BleepingComputer によると、C3RB3R は、同じ Cerber という名で知られた昔のランサムウェアのサービスから名前を借りたものだ。これまでに Atlassian Confluence や GitLab といった仕事で使うサーバーも、古い欠陥を突かれて狙われた。
今回の話で大事なのは、修正が出てからおよそ2年がたっていることだ。NAS は一度置くと、何年も更新しないまま動かしがちだ。そうした機器がまとめて狙われている。
なお、Synology は2026年9月にも、DSM の別の重い欠陥を直す advisory（Synology-SA-26:13）を出している。今回の攻撃に使われたのはこちらの欠陥だとみる報道もあるが、Synology はそう言っておらず、未確認だ。どちらにしても、最新の DSM にすれば両方とも直る。
技術者向けの詳細
Synology-SA-24:20（Synology が今回の攻撃で示した advisory）の修正版
- DSM 7.2.2: 7.2.2-72806-1 以降
- DSM 7.2.1: 7.2.1-69057-6 以降
- DSM 7.2: 7.2-64570-4 以降
- DSM 7.1: 7.1.1-42962-7 以降
- DSM 6.2: 6.2.4-25556-8 以降（重さは Moderate）
- 含まれる CVE: CVE-2024-10441（Critical, CVSS 9.8, system plugin daemon でリモートからコード実行）、CVE-2024-50629（Moderate, 5.3）、CVE-2024-10445（Moderate, 4.3）
- 回避策（Mitigation）は無し。更新だけが対策。advisory の初版は2024-11-05、DSM 6.2 は2024-12-05 に追加された。
Synology-SA-26:13（2026-09-18、今回の攻撃との関係は未確認）の修正版
- DSM 7.4: 7.4-90075 以降
- DSM 7.3: 7.3.2-86009-4 以降
- DSM 7.2.2: 7.2.2-72806-9 以降
- DSM 7.2.1: 7.2.1-69057-12 以降
- Critical の CVE-2026-13684（SCGI）、CVE-2026-13639（ログイン処理）ほか。両方を満たすには、各系列の最新版にする。
版の確かめ方
- SSH が使えるなら、次でビルド番号を見られる。
cat /etc.defaults/VERSION
侵入された跡（BleepingComputer の報道による）
- 暗号化されたファイルの拡張子:
.L0CK3D - 脅迫文のファイル名:
read-me3.txt
見直す設定
- ルーターで DSM の管理ポート（初期値 5000/5001）を外に開けていないか
- 外からの利用は VPN 経由にする。自動ブロックと 2 段階認証も有効にする
- スナップショットと、NAS の外（オフラインやクラウド）へのバックアップを分けて持つ