Synology NAS のランサムウェア被害について、2026 年 10 月 29 日に Synology から注意喚起が出ました。古い DSM（NAS を動かしている Synology の OS）のまま使われている機器が攻撃を受け、データを暗号化されて身代金を求められている、という内容です。暗号化されたファイルは名前の最後に「.L0CK3D」が付き、フォルダーには「read-me3.txt」という脅迫文が置かれると報告されています。
事務所の共有フォルダや、家族の写真の置き場として Synology の NAS を使っている方は少なくないと思います。ただ、NAS は一度設定すると何年も触らない機器です。いま普通に動いていることは、安全だという証拠になりません。この記事では、自分の NAS が対象かの確かめ方と、もしファイル名が変わっていたときの正しい順番を整理します。
先に結論：狙われているのは、修正が入っていない古い DSM の Synology NAS です。今日やることは、DSM のバージョンを確かめて最新に更新し、自動更新を有効にし、管理画面を不要にインターネットへ出していないか見直すこと。
すでにファイル名が「.L0CK3D」になっている場合は、初期化や名前の付け直しをせず、まず LAN ケーブルを抜いてネットワークから切り離してください。更新しても、暗号化されたファイルは元に戻りません。
Synology NAS のランサムウェア「C3RB3R」で何が起きているのか
Synology の発表は短いものです。2024 年 12 月までに修正済みの脆弱性を使って、古い DSM の機器を狙う攻撃が確認された。だから DSM をすぐ更新し、自動更新を有効にしてほしい。参照先として、2024 年に公表した「Synology-SA-24:20」が案内されています。
Synology は、2024 年 12 月に修正した脆弱性を悪用する攻撃者を確認したとし、脆弱な版の DSM を使っているすべての利用者に、すぐに DSM を更新し、自動更新を有効にするよう強く求めている。
出典：Synology「Ransomware attack targeting outdated DSM versions」（2026 年 10 月 29 日）
C3RB3R とは
名前は数字が混ざっていて読みにくいのですが、「サーベラー」系の名前です。セキュリティ企業の 360 は、10 月に NAS の被害の相談を複数受けて検体を集め、このランサムウェアを特定したと報告しています。
用語：C3RB3R とは、360 が古くからあるランサムウェア「Cerber」の亜種と位置づけている、Synology の NAS 上のファイルを暗号化するランサムウェアのことです。ファイルごとに別の鍵で中身を暗号化し、名前の最後に「.L0CK3D」を付けます。L0CK3D の「0」は英字の O ではなく数字のゼロです。
侵入口の説明が食い違っている
ここが今回ややこしい所です。Synology は「2024 年に修正済みの脆弱性」として SA-24:20 を挙げています。一方 360 は、自分たちが調べた事例の侵入口を、2026 年 9 月 18 日に公表された「Synology-SA-26:13」の CVE-2026-13639 と CVE-2026-13684 だとしています。どちらも深刻度は最高ランクの Critical（CVSS 9.8）で、外部から任意のファイルを読み書きできてしまう欠陥です。
Synology の発表は各攻撃で使われた CVE を特定しておらず、360 の報告と同じ被害者・同じ侵入経路を指しているのかは、公開情報からは分からない。食い違いは、新しいゼロデイや、最新の DSM への攻撃を示すものではない。
出典：Gridinsoft「Synology NAS Ransomware Locks Files as Sources Disagree on Entry」
読者にとっての結論は同じです。2024 年の修正も、2026 年 9 月の修正も、両方入っている DSM にする。つまり、いま出ている最新の DSM に上げておけば、どちらの説明が正しくても入口はふさがります。
自分の Synology NAS がランサムウェアの対象か確かめる
まず DSM のバージョンを見ます。ブラウザーで NAS の管理画面（DSM）にログインし、「コントロール パネル」の「情報センター」を開くと、「DSM バージョン」として「DSM 7.2.2-72806 Update 4」のような表記が出ます。この番号を、下の表の修正版と比べてください。
| DSM の系統 | この版以上に | 根拠 |
|---|---|---|
| DSM 7.4 | 7.4-90075 | SA-26:13 |
| DSM 7.3 | 7.3.2-86009-4 | SA-26:13 |
| DSM 7.2.2 | 7.2.2-72806-9 | SA-26:13 |
| DSM 7.2.1 | 7.2.1-69057-12 | SA-26:13 |
| DSM 7.2 | 7.2-64570-4 | SA-24:20 |
| DSM 7.1 | 7.1.1-42962-7 | SA-24:20 |
| DSM 6.2 | 6.2.4-25556-8 | SA-24:20 |
表の版は「最低限ここまで」という目安で、最新版という意味ではありません。7.2.2 で言えば、2024 年の修正（72806-1）だけでは足りず、2026 年 9 月の修正（72806-9）まで上げる必要があります。各版の一次情報は、Synology の Synology-SA-26:13 と Synology-SA-24:20 で確かめられます。
ここ、見落としがちです：DSM 7.2 や 7.1 は、2026 年 9 月の SA-26:13 の表に載っていません。載っていないことは「影響がない」という意味ではありません。古い系統のまま使っている場合は、その機種で新しい系統の DSM に上げられるかを、Synology のダウンロードセンターで機種名から確かめてください。
更新と自動更新の設定
更新は DSM の中からできます。手順の前に、更新中は NAS が再起動し、その間は共有フォルダが使えなくなることを、使っている人に伝えておいてください。
- DSM にログインし、「コントロール パネル」の「更新と復元」を開く。
- 「DSM 更新」の画面で、更新できる版が出ていればダウンロードして更新する。
- 同じ画面の「更新設定」で、重要な更新を自動でインストールする設定にする。
- 「パッケージ センター」を開き、入っているパッケージにも更新が無いか確かめる。
外から管理画面に入れる設定になっていないか
もう一つ見てほしいのが、DSM の管理画面がインターネットから直接見える状態になっていないかです。ルーターで NAS のポート（初期設定では 5000 番・5001 番）を外へ開けている、DDNS で外から管理画面にアクセスしている、といった設定は、脆弱性があったときに真っ先に入口になります。
外出先からファイルを使いたいだけなら、管理画面ごと公開するのではなく、VPN を通して家や事務所のネットワークに入る形のほうが安全です。QuickConnect を使っている場合も、本当に外から使っているのかを一度考えてみてください。使っていないなら、止めておく理由のほうが多いと私は思っています。
ファイル名が「.L0CK3D」になったら？感染したときの症状
360 の報告をまとめた Gridinsoft の記事によると、感染した NAS では次のようなことが起きます。共有フォルダを開いて、いつもの Word や写真のファイル名の最後に「.L0CK3D」が付いていたら、まず疑ってください。
- ファイル名の最後に「.L0CK3D」が付き、ダブルクリックしても開けない
- あちこちのフォルダーに「read-me3.txt」という見覚えのないテキストファイルがある
- read-me3.txt には、試しに復号してみせるという話と、Tor（匿名化の仕組み）の支払いページへの案内が書かれている
- NAS 自体は普通に応答し、DSM にもログインできる
最後の点が厄介です。暗号化が進んでいる最中でも、NAS は普段どおり応答することがあると報告されています。画面が真っ黒になるわけでも、警告音が鳴るわけでもない。気づいたときにまだ暗号化が続いている可能性を考えて、次の章の順番で動いてください。
メモ：脅迫文が「試しに 1 ファイル復号してみせる」と持ちかけるのは、攻撃者の売り込みです。1 ファイル戻ったからといって、全部が戻る保証にはなりません。
見つけたときにやってはいけないこと・やること
慌てると、手が勝手に「元に戻そう」とします。名前を戻してみる、NAS を初期化して入れ直す、身代金の案内を読み込む。どれも、残っていたかもしれない手がかりやデータを減らす方向に働きます。
注意：NAS の初期化やディスクの組み直しは、暗号化されたファイルや脅迫文、ログといった調べる材料を消してしまいます。また、拡張子の「.L0CK3D」を消しても中身は暗号化されたままなので、ファイルは開けません。まずネットワークから外すことだけをやってください。
ネットワークから外すのは、NAS の背面の LAN ケーブルを抜くのがいちばん確実です。電源を切るのは、ケーブルを抜けないときの最後の手段にします。電源を切ると、メモリ上に残っている記録が消えるためです。
- read-me3.txt（開いて読むのはよいが、消さない）
- 「.L0CK3D」が付いたファイルのいくつか
- DSM のバージョン（情報センターの画面の写真でよい）
- 入れていたパッケージの一覧
- DSM のログ（ログセンターなど）
そのうえで、攻撃より前のバックアップやスナップショットが、別の場所に無事に残っているかを確かめます。外付け HDD に取っていたなら、その HDD を感染した NAS やパソコンにつなぐ前に一度止まって考えてください。つないだ先がまだ汚染されていれば、バックアップも巻き込まれます。復旧は、侵入口をふさいだきれいな環境に戻すのが原則です。
身代金については、払っても復号される保証はありません。仮に戻ったとしても、どこから入られたかを調べないまま使い続ければ、同じ穴からまた入られます。Synology のサポートか、ランサムウェアの対応に慣れた専門家に相談するのが先です。当店でも、NAS からのデータの取り出しや、残っているバックアップの確認は、ご来店か出張でうかがいます。
NAS だけをバックアップにしない
今回の件で考えておきたいのは、NAS を「バックアップの置き場」として使っている場合です。パソコンのデータを NAS に逃がしていて、その NAS が暗号化されたら、元と控えが同時に失われます。NAS は便利な共有の場所ですが、それ一台でバックアップを名乗るのは心もとない。
考え方は単純で、NAS とは別の場所に、普段はつながっていないコピーを 1 つ持つことです。月に一度つないでコピーし、終わったら外して保管する外付け HDD。あるいは、NAS から書き換えられない形で保存できるクラウドのバックアップ。同じ NAS の中に取ったスナップショットは便利ですが、NAS そのものを乗っ取られたときの備えとしては、別の場所のコピーと組み合わせて考えてください。
ここ、見落としがちです：NAS に常時つながったままの USB HDD は、NAS と一緒に暗号化される側に入ります。「つなぎっぱなしの外付け HDD がバックアップ」になっているなら、それは別の場所のコピーとは言えません。
ルーターや NAS のように「入れたら何年も触らない機器」が狙われる流れは、今回に限った話ではありません。同じ型の話として、古いルーターを狙う攻撃の記事も書いています。
よくある質問
Synology の NAS が普通に動いていれば、ランサムウェアの心配はありませんか？
動いているかどうかでは判断できません。C3RB3R は暗号化の最中でも NAS が普段どおり応答することがあると報告されています。DSM のバージョンを確かめて最新に更新し、自動更新を有効にし、管理画面をインターネットに直接出していないかも確認してください。
ファイル名の最後に「.L0CK3D」が付いてしまいました。名前を戻せば開けますか？
戻りません。中身が暗号化されているため、拡張子を消しても開けません。まず NAS の LAN ケーブルを抜いてネットワークから切り離し、初期化や上書きをしないでください。そのうえで、攻撃より前のバックアップが別の場所に残っているかを確かめます。
身代金を払えばデータは戻りますか？
払っても復号される保証はありません。さらに、どこから侵入されたかを調べずに使い続けると、同じ方法でまた入られるおそれがあります。データの状態を残したまま、Synology のサポートかランサムウェアの対応に慣れた専門家に相談してください。
まとめ
Synology NAS を狙うランサムウェア C3RB3R は、修正の入っていない古い DSM が入口とされています。Synology は 2024 年の SA-24:20 を、360 は 2026 年 9 月の SA-26:13 を挙げていて説明は食い違っていますが、最新の DSM に上げておけば、どちらの入口もふさがります。
今日やるのは、DSM のバージョンの確認と更新、自動更新の設定、外からの入口の見直しの 3 つです。もしファイル名が「.L0CK3D」になっていたら、初期化より先に LAN ケーブルを抜く。そして NAS とは別の場所に、普段つながっていないコピーを 1 つ持っておく。自分で判断がつかないときは、ご来店か出張で一緒に確かめます。
