NASのファイルがランサムウェアで暗号化されるとき、攻撃者がNAS本体に入っているとは限りません。多くは、共有フォルダをドライブとして割り当てた社内の端末が感染し、その端末の権限で共有上のファイルを上書きしていきます。この記事では、NASが暗号化される3つの経路を整理し、SMB1の無効化と署名の必須化、共有の書き込み権限の絞り込み、FSRMによる早期検知をPowerShellの設定例で示す内容です。そのうえで、スナップショットとオフライン世代をどう組み合わせれば戻せるのか、NASのまま守るか構成ごと見直すかの判断基準まで扱います。
まとめ：NASのランサムウェア対策は書ける端末を絞り消せない世代を別に持つこと
NASを守る設定は、侵入を防ぐ側と、暗号化されても戻す側の2系統に分かれます。前者で効くのは、SMB1を止めて署名を必須にすること、共有ごとに書き込める利用者を部署単位へ絞ること、管理画面をインターネットに出さないことです。後者で効くのは、NAS内のスナップショットに加えて、NASの管理者権限では消せない世代を1つ別系統に置くことになります。
優先順位をつけるなら、最初に手を付けるのは「消せない世代」です。警察庁の集計では、バックアップから戻せなかった理由の最多がバックアップ自体の暗号化・消去でした。侵入を完全に防ぐ前提は置けないため、戻す手段が攻撃者の手の届く範囲にあるかどうかを先に確かめてください。
NASが暗号化される経路を確認する：SMB共有・管理画面・バックアップ削除の流れ
対策の順番を決めるには、どの経路で暗号化されるかを先に押さえる必要があります。経路は3つあり、それぞれ効く対策が異なります。
感染端末が割り当てたドライブ経由でSMB共有のファイルを上書きする経路
最も多いのは、NASではなく利用者の端末が先に感染する経路です。ランサムウェアは端末のローカルディスクに加え、割り当て済みのネットワークドライブや到達できる共有フォルダを順に暗号化します。NAS側から見ると、正規の利用者が正規の認証でファイルを書き換えているだけに映ります。
このため、NASのファームウェアを最新にしていても被害は防げません。被害の範囲を決めるのは、感染した端末のアカウントがどの共有に書き込めたかです。全社員が全共有にフルアクセスできる構成なら、1台の感染でNAS全体が暗号化されます。事務用NASが暗号化された佐賀大学のランサムウェア被害と事務NASの経緯でも、端末側の停止が初動の中心になりました。
インターネットに公開した管理画面やNAS自体の脆弱性から直接侵入される経路
2つ目は、NAS本体が直接狙われる経路です。リモートワーク向けにNASの管理画面や写真共有・ファイル共有のアプリをルーターのポート転送で公開していると、NAS製品の脆弱性を突いてNAS上で直接暗号化が実行されます。2022年には、インターネットに公開された写真共有アプリの脆弱性を突いてNAS上のファイルを暗号化する攻撃が起き、メーカーはルーターのポート転送とUPnPの無効化、公開サービスの取り下げを呼びかけました。
社内ネットワークへの入口となるVPN機器も同じ扱いです。警察庁の令和8年上半期のサイバー空間をめぐる脅威の情勢では、ランサムウェアの侵入経路の有効回答36件のうち18件がVPN機器でした。VPN機器の版数管理はVPN脆弱性を何で優先するかの判断で、管理者アカウントの保護は多要素認証（MFA）の実装方式で詳しく扱っています。
シャドウコピーやスナップショットを先に消してから暗号化する攻撃者の手順
3つ目は、経路というより攻撃の順番です。攻撃者は暗号化の前に、戻す手段を消します。MITRE ATT&CKのT1490（Inhibit System Recovery）には、その際に使われるコマンドが列挙されています。
vssadmin.exe delete shadows /all /quiet
wmic shadowcopy delete
wbadmin.exe delete catalog -quiet
vim-cmd vmsvc/snapshot.removeall上の3行はWindowsのシャドウコピーとバックアップカタログ、最後の行はVMware ESXiの仮想マシンのスナップショットを消すものです。NASの管理者権限を奪われれば、NAS内のスナップショットも同じように管理画面から消されます。警察庁の同じ集計で、バックアップから復元を試みた有効回答40件のうち戻せたのは11件にとどまり、戻せなかった29件の理由の最多は暗号化・消去の14件でした。スナップショットがあることと、戻せることは別の話です。
SMB共有の設定を見直す：SMB1無効化・署名・書き込み権限をPowerShellで点検
ここからはWindows Serverをファイルサーバーとして使っている場合の設定例です。SynologyやQNAPなどのNAS製品でも、最小のSMBバージョンや署名の要否は管理画面のファイルサービス設定に並んでおり、考え方は共通です。Linux上のSambaで共有している場合はSambaとSMBの仕組みも参照してください。
Get-SmbServerConfigurationでSMB1と署名・暗号化の設定を確認
最初に、いまの設定を変更せずに読み取ります。管理者権限のPowerShellで次を実行してください。
# SMBサーバーの現状を読み取るだけ（変更はしない）
Get-SmbServerConfiguration |
Select-Object EnableSMB1Protocol, AuditSmb1Access,
RequireSecuritySignature, EncryptData, RejectUnencryptedAccessEnableSMB1ProtocolがTrueなら、SMB1が有効なまま残っています。MicrosoftのSMBv1の検出と無効化の手順によれば、SMB1はWindows 11とWindows Server 2019以降では既定でインストールされません。古いサーバーから移行してきた環境や、古い複合機のために戻した環境で残っていることが多い項目です。
SMB1の無効化・署名必須化をWindows Server 2025の既定に合わせる手順
いきなりSMB1を止めると、SMB1でしか接続できない複合機やスキャナーが共有フォルダへ保存できなくなります。先に数週間、SMB1で接続してくる端末を記録してから止めるのが安全です。
# 1. SMB1で接続してくる相手を記録する（イベントID 3000）
Set-SmbServerConfiguration -AuditSmb1Access $true -Force
Get-WinEvent -LogName "Microsoft-Windows-SMBServer/Audit" -MaxEvents 50
# 2. 記録が空になったらSMB1を止め、署名を必須にする
Set-SmbServerConfiguration -EnableSMB1Protocol $false -RequireSecuritySignature $true -Force署名の必須化は、Windows 11 24H2とWindows Server 2025では既定になりました。同じ手順のページには、署名に対応しない他社製のSMBサーバーやゲスト認証の共有へ接続できなくなる場合があると書かれています。Microsoftの案内は、署名を外して回避するのではなく、相手側で署名を有効にするか機器を更新することです。パラメーターの一覧はSet-SmbServerConfigurationのリファレンスで確認できます。
通信の暗号化まで求める場合はEncryptDataをTrueにします。SMBのセキュリティ機能の解説のとおり、既定のRejectUnencryptedAccessがTrueのままだとSMB 3.x未満の相手は拒否されるため、署名と同じく接続相手の棚卸しを先に済ませてください。
共有ごとの書き込み権限を部署単位に絞りEveryoneフルコントロールを外す
1台の感染で暗号化される範囲は、その利用者が書き込める共有の範囲と一致します。共有のアクセス許可にEveryoneのフルコントロールが残っていないかを確かめ、部署のグループに付け替えます。
# 共有 accounting の現状を確認する
Get-SmbShareAccess -Name "accounting"
# Everyone を外し、部署グループに変更権限、閲覧だけの人に読み取り権限を付ける
Revoke-SmbShareAccess -Name "accounting" -AccountName "Everyone" -Force
Grant-SmbShareAccess -Name "accounting" -AccountName "CORP\Accounting" -AccessRight Change -Force
Grant-SmbShareAccess -Name "accounting" -AccountName "CORP\Accounting-Read" -AccessRight Read -Force共有のアクセス許可とNTFSのアクセス許可は、厳しい方が効きます。共有側だけ絞ってもNTFS側でEveryoneに書き込みを許していれば、別の共有経由で書けてしまう場合があります。両方を同じグループ設計にそろえることが前提です。閲覧しかしない部署を読み取り専用にするだけで、その部署の端末が感染しても共有は暗号化されません。
暗号化の兆候を早く捕まえる：FSRMのファイルスクリーンと書き込み量の監視
権限を絞っても、書き込める共有は残ります。そこで、暗号化が始まった時点で気付き、端末を切り離すまでの時間を縮める仕組みを置きます。
FSRMのファイルスクリーンで既知の拡張子と脅迫文ファイルの保存を止める
Windows Serverのファイルサーバーリソースマネージャー（FSRM）には、特定のパターンのファイル保存を記録または拒否するファイルスクリーンがあります。ランサムウェアが付ける拡張子や、脅迫文のファイル名をパターンとして登録します。
# 暗号化後の拡張子や脅迫文の名前をファイルグループにする（パターンは例示）
New-FsrmFileGroup -Name "Ransom-Patterns" -IncludePattern @("*.locked", "*.encrypted", "*DECRYPT*", "*RECOVER*FILES*")
# まず記録だけの受動スクリーンで1〜2週間、業務ファイルの誤検知が無いか確かめる
New-FsrmFileScreen -Path "D:\Shares" -IncludeGroup "Ransom-Patterns" -Active:$false
# 誤検知が無ければ、保存そのものを拒否する能動スクリーンに切り替える
Set-FsrmFileScreen -Path "D:\Shares" -ActiveNew-FsrmFileScreenのリファレンスにあるとおり、-Activeを付けたスクリーンは違反する書き込みを失敗させ、通知を出します。通知にメール送信の動作を付けておけば、最初の暗号化ファイルが保存された時点で管理者が気付けます。
拡張子で検知できない暗号化に備える：監視の限界と端末側の対策の分担
ファイルスクリーンには明確な限界があります。拡張子を変えない種類や、毎回ランダムな拡張子を付ける種類は検知できません。リファレンスにも、スクリーン作成前に保存されたファイルには効かないと明記されています。
このため、FSRMは「早く気付くための網の1つ」と位置づけ、主役にはしません。実務では、EDRなど端末側の検知で感染端末を自動隔離し、ファイルサーバー側では1分あたりの書き込み・名前変更の件数が平常時の数十倍に跳ねたことを監視の条件にする、という分担が現実的です。感染が分かった後の隔離と証拠保全の順番はランサムウェアの初動対応の手順にまとめています。
スナップショットとオフライン世代を設計する：消せない世代を別系統に置く
侵入と暗号化を防ぎ切れなかったときに戻せるかどうかは、世代の置き場所で決まります。ここが対策の本丸です。
NAS内スナップショットだけでは管理者権限を奪われると一緒に消える理由
NASのスナップショットは、利用者の端末が感染しただけの場合には強力です。利用者の権限ではスナップショットを消せないため、数分前の状態へ共有フォルダごと戻せます。SynologyのSnapshot Replicationの仕様では、Btrfsボリュームの共有フォルダで最短5分間隔のスナップショットを取得でき、上限は共有フォルダあたり1,024個です。
弱点は、NASの管理者アカウントを奪われた場合です。スナップショットの削除は管理画面の正規の操作なので、管理者権限があれば暗号化の前に全世代を消せます。NAS内のスナップショットは「利用者端末の感染」への備えであり、「NAS管理者の乗っ取り」への備えにはなりません。
Synologyのイミュータブルスナップショットを使う条件とBtrfs・対応機種の確認
この弱点を埋めるのが、保護期間中は管理者でも削除できないイミュータブルスナップショットです。Synologyではイミュータブルスナップショットの解説のとおり、スナップショットやレプリケーションのスケジュール設定で保護期間を指定します。仕様ページには対応モデルでのみ利用できると書かれているため、導入前に機種と、ボリュームがBtrfsかどうかを確認してください。ext4のボリュームでは共有フォルダのスナップショット自体が使えません。
保護期間は長くすれば安全というものではありません。保護期間中のスナップショットは容量を解放できないため、暗号化で大量のファイルが書き換わると、その差分がそのまま空き容量を圧迫します。侵入から気付くまでの日数を上回る期間を置きつつ、ボリュームの空きに余裕があるかを先に見積もることが条件になります。
オフライン世代とクラウドの消せない複製を組み合わせる世代数の目安
イミュータブルスナップショットも、NAS本体が壊れたり盗まれたりすれば一緒に失われます。そこで、NASの外に最低1つ世代を置くことが必要です。置き場所ごとに、消される条件と戻す速さが異なります。
| 世代の置き場所 | 消される条件 | 戻す速さ |
|---|---|---|
| NAS内スナップショット | NAS管理者の乗っ取り | 数分 |
| イミュータブルスナップショット | NAS本体の故障・盗難 | 数分 |
| 外付けディスク・テープ（切り離し） | 接続中の感染のみ | 数時間〜数日 |
| クラウドの消せない複製 | 保持期間の経過 | 容量と回線次第 |
実務の目安は、NAS内の短い間隔のスナップショットで日常の誤削除と端末感染に備え、週1回以上の切り離した外付け世代か、クラウドの消せない複製で乗っ取りと故障に備える2層です。クラウド側をS3 Object LockやAWS Backupで作る手順はイミュータブルバックアップの実装手順と保持期間の決め方で扱っています。フル・差分・増分の世代数と容量の見積もりはシステムバックアップの方式の選び方が参考になります。
導入判断：NASのまま守る組織とファイルサーバーごと見直す組織の分かれ目
ここまでの設定を入れれば、多くの組織はNASのまま使い続けられます。ただし、設定では埋まらない構成もあります。
NASのまま守ってよい条件：管理画面非公開・世代を外に持てる中小規模
次の条件をすべて満たすなら、NASを入れ替える必要はありません。管理画面と共有アプリをインターネットに公開していないこと。SMB1を止めても業務が回ること。共有ごとの書き込み権限を部署単位で管理できる規模であること。そして、NASの管理者権限では消せない世代を1つ外に持てることです。
この場合の投資は、イミュータブルスナップショット対応機種への更新か、外付けディスクの切り離し運用の追加で済みます。数十人規模の事業所で、ここにクラウドのファイル共有やEDRを一度に足すのは過剰です。
NASを見直すべき場面：SMB1依存の機器やサポート切れのOSが残る構成
反対に、次のどれかに当てはまる構成はNASの設定変更では守り切れません。SMB1でしか接続できない業務機器が残っていて止められない場合。NASのOSがメーカーのサポート期限を過ぎ、脆弱性の修正が出ない場合。遠隔地から使うためにNASの管理画面を公開し続けなければ業務が回らない場合です。
こうした構成では、共有の置き場所をクラウドストレージへ移すか、VPNの先に置き直すかを含めて構成ごと見直してください。移行先の比較はクラウドストレージの比較とファイルサーバー代替の判断で整理しています。どこから侵入され、侵入後にどの共有まで届くのかを外部の目で確かめたい場合は、一創の脆弱性診断・セキュリティ診断でVPN機器・NAS・共有権限をまとめて点検できます。
NASのランサムウェア対策のよくある質問：感染時の初動・RAID・SMB署名
NASのランサムウェア対策について、よく寄せられる質問に答えます。
NASがランサムウェアに感染したら最初に何をすべきですか？
NASをネットワークから切り離し、共有をマウントしている端末のうち書き込みが突出しているものを特定して、その端末も切り離します。NASの電源を落とすかどうかは、調査に使う記録を残すかどうかと合わせて判断します。スナップショットが残っていても、感染端末を切り離す前に戻すと再び暗号化されるため、戻すのは切り離しの後です。IPAのランサムウェア対策特設ページには、相談窓口と復号ツールの探し方が案内されています。
NASのRAIDはランサムウェア対策になりますか？
なりません。RAIDはディスクの故障に備える仕組みで、書き込まれた内容はすべてのディスクへ同時に反映されます。ランサムウェアが暗号化したファイルも、RAIDの全ディスクに正しく書き込まれます。RAIDとは別に、時点を戻せるスナップショットと、NASの外に置いた世代が必要です。
スナップショットがあれば身代金を払わずに戻せますか？
利用者の端末が感染しただけなら、多くの場合は戻せます。NASの管理者権限を奪われた場合は、暗号化の前にスナップショットごと消されている可能性が高く、戻せる保証はありません。警察庁の集計でも、戻せなかった理由の最多はバックアップの暗号化・消去でした。保護期間付きのイミュータブルスナップショットか、NASの外の世代があって初めて「戻せる」と言えます。
夜間にNASの電源を切っておくと対策になりますか？
電源を切っている時間帯は暗号化されないため、被害を受ける時間は短くなります。ただし、業務時間中に感染端末から暗号化されれば防げません。攻撃者が侵入してから暗号化するまで潜伏する場合もあるため、電源の管理は補助にとどめ、書き込み権限の絞り込みと外部の世代を先に整えてください。
SMB署名を必須にすると古い複合機が接続できなくなりますか？
なる可能性があります。署名に対応しない複合機やスキャナーは、署名を必須にしたファイルサーバーへ保存できなくなります。先に複合機のファームウェア更新で署名に対応できるかを確かめ、対応しない機器は保存先を専用の共有に分けたうえで入れ替えの計画を立ててください。署名を外して回避する方法は、Microsoftも推奨していません。
関連記事
- 佐賀大学のランサムウェア被害：約8万人分と患者情報に流出の可能性、事務NASの経緯と犯行声明の掲載状況：事務NASが暗号化された事案の経緯と、書き込み元の端末を特定する手順があります。
- イミュータブルバックアップとは：S3 Object Lock・Vault Lockの実装手順と保持期間の決め方：NASの外に置く消せない複製をクラウドで作る手順です。
- ランサムウェアの初動対応：感染発覚から隔離・証拠保全・報告・復旧までの手順：感染が分かった後の隔離と報告の順番を整理しています。
- Sambaとは｜SMBのLinux実装の仕組みとNFSとの使い分け・AD連携を実装目線で解説：Linux上でSMB共有を運用している場合の前提知識です。
- システムバックアップとは？フル・差分・増分の違いと取得手順・方式の選び方を解説：世代数と容量の見積もりに使う方式の違いをまとめています。
