更新日：2026年7月21日｜カテゴリ：バックアップ・データ保護

NASをインターネットに公開していたら、翌日にはデータが暗号化されていた——そんな被害が実際に報告されています。NASはとても便利な反面、設定を間違えると世界中から攻撃対象になるリスクがあります。

結論から言うと、NASのセキュリティで最優先すべきは「2段階認証の有効化」「デフォルトポートの変更」「自動ブロックの設定」の3つです。 この3つを設定するだけで、自動化された無差別攻撃の多くを大きく減らせます（すべての攻撃を防げるわけではありません）。

この記事では、Synology DSMを例に、初心者でもすぐ実践できる7つのセキュリティ設定を順番に解説します。QNAP QTSでも同様の設定が可能なので、ぜひ参考にしてください。

この記事でわかること

  • NASが攻撃されると何が起きるか（リスクの把握）
  • 今日からできる7つのセキュリティ設定（手順付き）
  • 外出先からNASにアクセスする安全な方法
  • やってはいけないNG設定

NASが攻撃されると何が起きる？

NASはネットワーク上のストレージです。インターネットに公開すれば世界中からアクセスできる反面、悪意あるユーザーからも狙われます。主な被害は次の3種類です。

被害の種類 具体的な内容 被害の深刻度
ランサムウェア データが暗号化され、復号と引き換えに金銭を要求される ★★★（最高）
不正アクセス 個人ファイル・写真・文書が流出する ★★★
踏み台攻撃 自分のNASが第三者への攻撃に利用される ★★☆

特に2020年以降、QNAPやASUSTORを狙ったDeadBolt、Synologyを狙ったeCh0raixなどのランサムウェア攻撃が世界規模で発生しています。日本の家庭用NASも例外ではありません。

参考: ランサムウェア対策特設ページ（IPA 独立行政法人 情報処理推進機構）

今日からできる7つのセキュリティ設定

ポート変更・ファイアウォール・admin無効化は、設定を誤ると自分自身がNASにアクセスできなくなる（ロックアウトされる）場合があります。手順やポート番号はDSMのバージョンや環境によって異なります。変更前に復旧手段（Synologyのリセット方法・予備の管理者アカウント）を確認し、自己責任で実施してください。

① 2段階認証（2FA）を有効にする（最重要）

パスワードが漏れても、2段階認証があれば不正ログインを防げます。Synology DSMでの設定手順は次の通りです。

  1. DSMにログイン → 右上のアカウントアイコン → 「個人設定」
  2. 「セキュリティ」タブ → 「2段階認証」→「今すぐ開始」
  3. Google AuthenticatorやSynology Secure SignInアプリをスマホにインストール
  4. QRコードをスキャンして認証コードを登録

管理者アカウントだけでなく、全ユーザーに2FAを強制することを推奨します（DSM 7.2の場合、コントロールパネル → セキュリティ → 「アカウント」タブ → 2段階認証の強制ルール。DSM上の表記は「2要素認証」です）。

② デフォルトポートを変更する

SynologyのデフォルトHTTPポートは5000番（HTTPS: 5001番）です。攻撃者はこのポートを自動的にスキャンしています。5000番を使い続けることは、玄関に「鍵はここ」と貼り紙するようなものです。

変更手順： コントロールパネル → ログインポータル → DSM → HTTPポートとHTTPSポートを任意の番号（例：10000〜49151の範囲のランダムな番号（8080や8443は攻撃者のスキャン対象に含まれやすいため避ける））に変更。

ただし、ポート変更はセキュリティの補助手段です。これだけに頼らず、他の設定と組み合わせましょう。

③ 自動ブロックを設定する

一定回数ログインに失敗したIPアドレスを自動的にブロックする機能です。ブルートフォース攻撃（パスワードの総当たり）に非常に有効です。

設定手順： コントロールパネル → セキュリティ → 保護 → 自動ブロックを有効にする → 「5分間に5回失敗したらブロック」程度が目安。

④ ファイアウォールを有効にする

NASへのアクセスをIPアドレスや国単位で制限できます。「日本からのアクセスのみ許可」に設定するだけで、海外からの攻撃の大半を遮断できます。

設定手順： コントロールパネル → セキュリティ → ファイアウォール → 有効にする → ルール追加で「日本（JP）のみ許可」を設定。

⑤ HTTPSを強制する

HTTP（暗号化なし）でアクセスすると、通信内容が盗聴される恐れがあります。常にHTTPSでアクセスするよう強制しましょう。

設定手順： コントロールパネル → ログインポータル → DSM → 「HTTPSにリダイレクト」を有効にする。

⑥ 管理者アカウント「admin」を無効にする

NASのデフォルト管理者名「admin」は攻撃者に丸見えです。別のユーザー名で管理者アカウントを作成し、「admin」アカウントは無効化しましょう。

手順： コントロールパネル → ユーザーとグループ → 新しい管理者アカウントを作成 → adminアカウントを「無効」に変更。

⑦ DSMを常に最新バージョンに更新する

Synologyは脆弱性が発見されるたびにDSMのアップデートを配信しています。自動更新を有効にするか、少なくとも月1回は更新確認を行いましょう。

設定手順： コントロールパネル → 更新とリストア → DSMの更新 → 「重要な更新を自動インストール」を有効。

外出先から安全にNASにアクセスする方法

外出先からNASにアクセスしたい場合、Synology VPNサーバー（OpenVPN）またはSynology QuickConnectを使うのが最も安全です。具体的な設定手順はiPhoneからのアクセス方法とTailscale活用記事をご覧ください。

方法 安全性 設定の手軽さ 速度
QuickConnect（Synology中継） ○ ◎（簡単） △（中継のため遅め）
VPN（OpenVPN） ◎（最高） △（やや複雑） ○
ポート開放（直接公開） △（リスクあり） ○ ◎

初心者にはQuickConnectを、セキュリティを最優先にするならVPNをおすすめします。ポートを直接開放するのは、上記の7つの設定をすべて完了してからにしてください。

使わないプロトコル（AFP・WebDAV・FTP）は無効にする

NASは初期状態で複数のファイル共有プロトコルが動いていることがあります。外部アクセスを安全にする基本は、使っていないプロトコルを止めておくことです。使わない入り口は、それ自体が攻撃の的になり得るためです。

  • AFP：主に古いMac向けの共有方式。現在のmacOSはSMBで接続できるため、Macでも基本は不要です。使っていなければコントロールパネル＞ファイルサービスで無効化します。
  • WebDAV：ブラウザやアプリからHTTP経由でファイルにアクセスする方式。外部公開すると狙われやすいため、使う場合も必ずHTTPS（WebDAV over HTTPS）に限定し、不要なら無効化します。
  • FTP：通信が暗号化されない方式。どうしても使う場合はFTPS（暗号化FTP）にし、匿名ログインは無効にします。

「使うかもしれない」で有効のままにせず、実際に使うプロトコルだけを残すのが安全です。

WiFi・LAN内でも共有権限を絞る

自宅のWiFiに侵入されたり、家族の端末がマルウェアに感染したりすると、LAN内からNASが狙われます。外部対策だけでなく、内側の権限（アクセス権）も見直しておきましょう。

  • ゲストアカウントは無効にする（初期で有効な機種があります）。
  • 共有フォルダごとに、ユーザー別のアクセス権（読み取り専用／読み書き）を必要最小限に設定する。
  • 家族用と管理用のアカウントを分け、日常利用で管理者アカウントを使わない。
  • WiFiルーター側も、推測されにくいパスワードとWPA2/WPA3で保護する。

LAN内は「信頼できる前提」で運用しがちですが、権限を絞っておくと、1台が感染してもNAS全体へ被害が広がりにくくなります。

さらに守りを固める4つの追加対策

SMBプロトコルの世代制御

Windowsとのファイル共有で使われるSMBには、SMBv1〜SMBv3の世代があります。古いSMBv1には既知の脆弱性が複数公開されているため、Microsoftも公式に「SMBv1の利用停止」を推奨しています。SynologyのDSMでは、コントロールパネル＞ファイルサービス＞SMBで「最大／最小プロトコル」を設定できます（Microsoft Learn参照）。一般的な家庭環境であれば、最小をSMB2、最大をSMB3に設定しておくと安全性と互換性のバランスが取れます。

暗号化の選択肢

  • 共有フォルダ単位の暗号化：DSMでは作成時に「暗号化する」を選ぶことで、AES-256で暗号化可能
  • SSL/TLS（HTTPS）：Web管理画面・各種サービスはHTTPS必須化
  • 外部バックアップ時の暗号化：Hyper Backupではクライアント側暗号化に対応
  • USB外付けHDDの暗号化：USB外付けHDDへのバックアップはHyper Backupのクライアント側暗号化を有効にして保存する

暗号化キーやパスワードを紛失すると復号できなくなるため、安全な場所に保管することが重要です。1Passwordなどのパスワードマネージャーや、信頼できる管理者の手元で物理的に保管する方法もあります。

バックアップこそが最後の砦

セキュリティ対策の頂点は「侵入されてもデータを失わない」状態を作ることです。3-2-1ルール（3つのコピー、2種類のメディア、1つはオフサイト）を意識し、Hyper BackupやActive Backupで外部HDD・クラウドへ定期バックアップしましょう。スナップショット機能（BtrfsのSnapshot Replication）を使えば、ランサムウェア被害時にも過去状態へ復元できます。万一暗号化被害に遭ってしまった場合の対処はNASデータ復旧ガイドも参考にしてください。

侵入されても失わないための最後の砦が、別デバイスへの複製です。据え置き用の外付けHDDを1台用意しておくと、3-2-1ルールの「2種類のメディア」を手軽に満たせます。まずは1台、バックアップ専用に確保しておくと安心です。

停電による不意のシャットダウンも、ファイルシステムの破損やRAIDの再構築を招くデータ破損の一因です。落雷や瞬電が起こりやすい地域、ブレーカーが落ちやすい家庭では特に無視できません。せっかくランサムウェア対策を固めても、物理的な電源トラブルでボリュームが壊れては元も子もありません。バックアップとあわせて、UPS（無停電電源装置）の導入も検討しましょう。家庭用NAS 1台なら400VAクラスで数分の猶予が確保でき、停電を検知したらNASを自動で安全にシャットダウンする連携設定も可能です。これで「書き込み中に電源が落ちてボリュームが壊れる」という最悪のケースを避けられます。停電のたびに手動で電源を落とす手間もなくなり、留守中や就寝中でも安心してNASを稼働させ続けられます。

Security Advisorで定期診断する

DSMには標準でSecurity Advisorというセキュリティ診断ツールが入っています。「悪意のあるソフトウェアの有無」「パスワード強度」「ネットワーク設定の弱点」などを自動でチェックし、改善すべき項目を一覧で示してくれます。本記事の7つの設定を終えたら、まずSecurity Advisorでスキャンを実行し、指摘された項目を順に潰す——このループを月1回まわすのが、DSM運用の定番ベストプラクティスです。

参考: Synology NAS のセキュリティを強化するためにできることは何ですか？（Synology ナレッジセンター）

やってはいけないNG設定

  • パスワードを「123456」や「admin」のままにする：最初に試される文字列です
  • 全ポートをインターネットに開放する：SMBポート（445番）の直接公開は特に危険
  • ゲストアクセスをオンにしたまま外部公開する：認証なしで誰でもアクセス可能になります
  • DSMの更新を長期間放置する：既知の脆弱性が悪用されます

こんな人に向いているNASセキュリティ強化

  • NASをインターネット経由でアクセスしている人
  • 写真・仕事のファイルなど重要データを保存している人
  • 「設定したけど本当に大丈夫？」と不安な人

まとめ：7つの設定で不正アクセスを大幅に減らせる

設定優先度所要時間
① 2段階認証の有効化★★★5分
② デフォルトポートの変更★★★3分
③ 自動ブロックの設定★★★3分
④ ファイアウォールの有効化★★☆10分
⑤ HTTPSの強制★★☆2分
⑥ adminアカウントの無効化★★☆5分
⑦ DSMの自動更新設定★★☆2分

特に①②③は今すぐ設定してください。この3つを設定するだけで、多くの自動攻撃スクリプトによる侵入リスクを大きく下げられます。NASは便利なツールですが、セキュリティは後回しにせず初期設定で必ず対応しましょう。

FAQ（よくある質問）

Q1. NASをインターネットに公開しなければ攻撃されない？

基本的には外部からの攻撃は受けにくくなります。ただし、LAN内からのマルウェア感染や誤設定でのルーター穴あけには注意が必要です。

Q2. Synology以外（QNAP・Buffalo）でも同じ設定はできる？

はい。QNAPのQTSやBuffaloのWeb管理画面（設定画面）にも同等のセキュリティ設定があります。2FA・ファイアウォール・自動ブロックはSynology・QNAPの現行機種なら対応しています（メーカー・機種により対応状況は異なるため、購入前に仕様を確認してください）

Q3. QuickConnectを使うと危険？

Synologyが提供する公式サービスで、通信はSSL暗号化されています。ただし2FAを有効にしていないとパスワード漏洩時のリスクがあるため、必ず2FAと組み合わせてください。

Q4. ランサムウェアに感染したらデータは取り戻せる？

基本的には困難です。感染前にSynology Hyper Backupで外部バックアップを取っていれば復元できます。バックアップは必ず別のデバイス・クラウドに保管してください。

Q5. セキュリティ設定後にNASにアクセスできなくなった場合は？

ファイアウォールの設定ミスが多いです。Synologyの場合、リセットボタンを約4秒押す「モード1（ソフトリセット）」ではネットワーク設定と管理者パスワードのみ初期化され、保存データやユーザーデータは保持されます（再インストールを伴うモード2とは別物です）。手順は機種・DSMバージョンで異なるため、実施前にSynology公式のリセット手順を確認してください。

Q6. 2段階認証はどの方式がおすすめ？

SMSではなく、Google AuthenticatorやAuthyなどのTOTPアプリ、もしくはハードウェアセキュリティキー（FIDO2）を推奨します。SMSはSIMスワッピング攻撃のリスクがあります。

Q7. adminアカウントは無効化すべき？

はい、別の管理者アカウントを作成し「admin」を無効化（または削除）することをメーカーも推奨しています。デフォルトのアカウント名は攻撃のターゲットになりやすいためです。

Q8. UPnPは有効のままで大丈夫？

UPnPはルーターのポート開放を自動化する機能で、利便性が高い反面、意図しないポート開放のリスクがあります。家庭ルーター側でUPnPを無効化し、必要なポートのみ手動で設定する運用が安全です。

Q9. ランサムウェア対策で他に何ができる？

BtrfsのSnapshot Replicationで読み取り専用スナップショットを作成しておくと、ランサムウェアにファイルを暗号化されても、過去のスナップショットから復元できます。スナップショット保存先は別ボリュームや別NASにすると安全性が高まります。

Q10. 一度設定したら見直し不要？

いいえ。最低でも年1〜2回は設定を棚卸しし、不要なアカウント・パッケージ・公開ポートを削除しましょう。Security Advisor（DSM標準ツール）を定期実行するのも有効です。