NASは、社内ファイルや顧客情報、バックアップデータを集中管理できる便利な機器です。一方で、外部公開設定や管理アカウントに問題があると、第三者に不正アクセスされ、ファイルの閲覧、持ち出し、削除、暗号化などの被害につながる可能性があります。

NASへの不正アクセスでは、見覚えのない管理者アカウントが追加されたり、共有フォルダの権限が変更されたりするだけでなく、同じネットワークに接続されたパソコンやサーバーへ被害が広がることもあります。ランサムウェアに感染した場合は、NAS内のデータだけでなく、接続端末やバックアップまで暗号化されるおそれがあります。

また、焦ってNASを初期化したり、ログや不審なアカウントを削除したりすると、侵入時刻や侵入経路、操作内容を確認するための証拠が消える恐れがあります。被害拡大を止めながら、現在の状態を記録し、原因調査へつなげることが重要です。

そこで本記事では、NASへの不正アクセスが疑われる場合に今すぐ行うべき初動対応、不正アクセスを疑うサイン、被害範囲の確認方法、フォレンジック調査で侵入経路を特定する考え方までを解説します。

NASへの不正アクセスが疑われる時に今すぐ行うこと

NASへの侵入が疑われる場合は、被害の拡大を止めることと、調査に必要な証拠を残すことを優先します。初期化や復旧を急ぐ前に、ネットワーク隔離と現状記録を進めてください。

NASをネットワークから隔離する

最初に行うべきことは、NASを社内LANとインターネットから切り離すことです。侵入者との通信や外部へのデータ送信、ほかの端末への横展開を止める目的があります。

有線接続であればLANケーブルを抜き、必要に応じてルーターやスイッチ側でNASの通信を遮断します。複数のネットワークインターフェースやWi-Fi機能がある場合は、すべての接続経路を確認してください。

ただし、業務システムやバックアップ処理への影響が大きい場合は、情報システム担当者やCSIRTと連携し、影響範囲を確認しながら隔離します。

電源を切らずに現在の状態を記録する

不正アクセスが疑われても、原則としてNASの電源をすぐに切らないことが重要です。電源を落とすことで、メモリ上の情報や一時ログが失われる可能性があります。

管理画面の表示、エラー内容、ファイルの状態、CPUやディスク使用率、接続中ユーザーなどを記録してください。ファイル拡張子が変わっている場合や、身代金要求文が表示されている場合も画面を保存します。

ただし、ファイル削除や暗号化が現在も進行している場合は、被害拡大を止めるためにシャットダウンを検討することがあります。判断が難しい場合は、専門家へ早急に相談してください。

ログや設定情報を証拠保全する

NASに残る認証ログ、アクセスログ、システムイベント、共有フォルダの変更履歴などを保存します。

ログは可能であれば外部ストレージへコピーし、取得日時と保存先を記録してください。原本へ直接編集や削除を行うと、後から内容の信頼性を説明しにくくなることがあります。

ルーター、ファイアウォール、VPN、認証サーバー、接続端末のログも、NASへの侵入経路を確認する手がかりになります。

管理者アカウントと共有権限を確認する

NASのユーザー一覧を確認し、見覚えのない管理者アカウントや、急に権限が強くなったアカウントがないかを確認します。

共有フォルダが外部公開されていないか、匿名アクセスが有効になっていないか、アクセス権が必要以上に広がっていないかも確認してください。

不審なアカウントを見つけた場合は、削除前にアカウント名、作成日時、権限、最終ログインなどを記録します。

接続端末への被害拡大を確認する

NASが侵害されている場合は、接続していたパソコンやサーバーにも被害が広がっている可能性があります。

不審なログイン、マルウェア感染、ファイル暗号化、遠隔操作ソフトの追加などがないか確認してください。NASへアクセスしていた管理端末や、同じ認証情報を使っている機器は優先して確認する必要があります。

一台の端末からNASへ侵入された可能性もあるため、NASだけでなくネットワーク全体を対象に調査する視点が重要です。

NASへの不正アクセスでは、隔離後も侵入経路や操作内容を確認しなければ、別の端末やアカウントから再侵入される可能性があります。初期化やログ削除を進める前に、証拠を保全した状態で被害範囲を確認することが重要です。

NASへの不正アクセスが疑われる主なサイン

NASへの侵入は、ログイン異常、ファイルの変化、通信量の増加、設定変更などとして現れることがあります。単なる機器故障や運用ミスと区別するため、複数の兆候を確認してください。

見覚えのない管理者やユーザーが追加されている

ユーザー一覧に作成した覚えのないアカウントがある場合は、不正アクセスを疑う必要があります。

特に管理者権限が付与されたアカウントや、通常使用しない名称のアカウントが追加されている場合は注意してください。保守業者や過去の担当者が正規に作成した可能性もあるため、管理記録と照合します。

深夜や休日に不審なログインが記録されている

通常は利用しない時間帯や、見覚えのないIPアドレスからログインが行われている場合は、第三者が認証情報を使っている可能性があります。

ログイン成功だけでなく、短時間に大量の失敗が記録されている場合は、総当たり攻撃やパスワードリスト攻撃を受けている可能性があります。

共有フォルダやアクセス権が変更されている

共有範囲が突然広がったり、外部アクセスが有効になったりしている場合は注意が必要です。

管理者が意図せず設定を変更した可能性もありますが、ほかの不審なログインや通信が同時に確認されている場合は、侵入者がデータへアクセスしやすいよう設定を変更した可能性があります。

ファイルが削除・暗号化・改ざんされている

ファイル名や拡張子が変わっている、ファイルを開けない、身代金要求文が保存されている場合は、ランサムウェア感染を疑う必要があります。

一部のファイルだけが消えている場合や、更新日時が一斉に変化している場合も、不正操作の可能性があります。

CPU・ディスク・通信量が急増している

利用者が少ない時間帯にもかかわらず、CPUやディスク使用率が高い場合は、不審なプログラムや大量のファイル操作が行われている可能性があります。

外向き通信量が急増している場合は、データが外部へ送信されている可能性もあります。バックアップや同期処理など正規の動作と照合してください。

管理画面へログインできない

正しいパスワードで管理画面へ入れない場合は、認証情報を変更された可能性があります。

単なるアカウントロックや障害の場合もありますが、設定変更通知や未知アカウントの追加が重なっている場合は、管理権限を奪われた可能性があります。

複数の異常が重なっている場合は侵害を前提に対応する

NASの動作が一時的に重くなったことや、ログインに一度失敗したことだけでは、不正アクセスと断定できません。

ただし、未知アカウント、深夜のログイン、権限変更、ファイル暗号化などが同時に確認された場合は、侵害が継続している恐れがあります。

ログや画面を保存し、NASと関連端末をネットワークから隔離してください。

NASへの不正アクセスを調査する方法

NASへの侵入を確認するには、認証ログ、ファイルアクセス、設定変更、外部通信、接続端末を時系列で確認します。

認証ログと接続元IPを確認する

管理画面、ファイル共有、SSH、FTP、VPNなどのログイン記録を確認します。

利用アカウント、接続元IP、成功・失敗、日時を整理し、正規利用者の作業記録と照合してください。

共有フォルダのアクセス履歴を確認する

どのユーザーが、どのフォルダやファイルへアクセスしたかを確認します。

大量のファイル閲覧、コピー、削除、更新などが短時間に行われていないかを確認してください。

管理者権限と設定変更を確認する

アカウント追加、権限変更、外部公開、ポート設定、バックアップ設定などに不審な変更がないかを確認します。

変更日時とログイン履歴を照合することで、誰が設定を変更した可能性があるかを整理できます。

外部通信とデータ流出の可能性を確認する

NASやルーター、ファイアウォールのログを確認し、通常利用しない外部IPへの通信がないかを調べます。

外向き通信が多い時間帯と、ファイルアクセスの時刻を照合することで、データ持ち出しの可能性を確認しやすくなります。

接続端末の感染や横展開を確認する

NASへ接続していたパソコンやサーバーに、不審なプロセス、ユーザー、遠隔操作、ファイル暗号化などがないかを確認します。

侵入済みのパソコンからNASへアクセスされた場合もあるため、認証情報を保存していた管理端末は優先的に調査してください。

侵入経路が分からない場合はフォレンジック調査会社に相談する

不審なログインや設定変更を確認できても、どの端末から侵入されたのか、どのファイルが閲覧・持ち出されたのかを社内だけで判断できない場合があります。

フォレンジック調査では、NAS、ルーター、ファイアウォール、接続端末に残るログや操作履歴を分析し、侵入時刻、接続元、使用されたアカウント、ファイル操作、外部通信などを整理します。

NASを初期化したり、ログやアカウントを削除したりすると、侵入の痕跡が消える恐れがあります。情報漏えいやランサムウェア被害が疑われる場合は、現在の状態を保ったまま専門会社へ相談することが重要です。

NASへの不正アクセスで想定される被害

NASへの侵入を許すと、保存データの閲覧や削除だけでなく、ランサムウェア感染や社内ネットワークへの横展開につながる可能性があります。

機密情報や個人情報の漏えい

顧客情報、契約書、設計資料、従業員情報などが保存されている場合は、外部へ持ち出される可能性があります。

ファイルの削除・改ざん

ファイルを削除されたり、内容や更新日時を変更されたりすると、業務継続や証拠確認に影響します。

ランサムウェアによる暗号化

NAS上のファイルが一括で暗号化され、復号と引き換えに金銭を要求されることがあります。

バックアップデータの破壊

NAS自体をバックアップ先としている場合は、本番データとバックアップが同時に暗号化・削除される可能性があります。

他端末やサーバーへの横展開

NAS内に保存された認証情報や共有機能を悪用し、パソコンやサーバーへ攻撃が広がる場合があります。

業務停止や取引先への影響

共有ファイルを利用できなくなると、業務停止や納期遅延につながる可能性があります。情報漏えいが発生した場合は、顧客や取引先への報告が必要になることもあります。

ファイルが残っていても情報流出している可能性がある

NAS内のファイルが削除や暗号化されていなくても、第三者が閲覧やコピーを行っている可能性があります。

見た目の状態だけで判断せず、アクセスログや外部通信を確認することが重要です。

NASを安全に復旧する方法

NASの復旧は、侵入原因を遮断し、クリーンなバックアップを確認してから段階的に進めます。原因が残った状態で復元すると、再び侵害される可能性があります。

使用できるバックアップを確認する

オフラインバックアップや世代管理されたバックアップが残っているか確認します。

侵入後に作成されたバックアップには、不正ファイルや暗号化済みデータが含まれる可能性があるため、作成日時と内容を確認してください。

侵入経路と脆弱性を遮断する

外部公開、弱いパスワード、古いファームウェア、侵害済み端末など、侵入原因として考えられる経路を解消します。

原因を確認せずに復旧すると、サービス再開後すぐに再侵入される可能性があります。

NASを安全な設定で再構成する

証拠保全と調査が完了した後、必要に応じてNASを初期化し、最新のファームウェアを適用します。

不要サービスや外部公開を無効にし、新しい管理者アカウントとパスワードを設定してください。

クリーンなデータを段階的に復元する

侵害前と確認できるバックアップから、必要なデータを段階的に復元します。

一度にすべてを戻すのではなく、重要なフォルダから復元し、マルウェアや不審なファイルが含まれていないか確認します。

監視しながらサービスを再開する

サービス再開後は、ログイン、通信、ファイルアクセス、CPU使用率などを監視してください。

不審な通信やアカウント利用が再び発生していないことを確認しながら、利用範囲を広げます。

NASへの不正アクセスを防ぐための再発防止策

再発防止には、認証強化、外部公開の見直し、ファームウェア更新、権限管理、ログ監視を組み合わせることが重要です。

初期アカウントと弱いパスワードを廃止する

adminなどの初期管理者アカウントは無効化または名称変更し、推測されにくいパスワードを設定します。

多要素認証を有効にする

管理画面やクラウドサービスが対応している場合は、多要素認証を有効にしてください。

外部公開を停止してVPN経由へ変更する

ポート開放、DDNS、Webアクセスなどの直接公開を見直し、必要な外部接続はVPN経由へ限定します。

ファームウェアとアプリを最新化する

NAS本体だけでなく、追加アプリやルーターのファームウェアも定期的に更新します。

不要サービスと過剰な権限を削減する

Telnet、古いFTP、未使用の同期機能などを停止し、ユーザーごとに必要最小限の権限を設定します。

バックアップをオフライン・世代管理する

NASから常時アクセスできるバックアップだけでは、侵害時に同時に破壊される可能性があります。

オフラインやイミュータブルなバックアップを含め、複数世代を保持してください。

ログ監視と端末対策を強化する

NAS、ルーター、接続端末のログを集中管理し、不審なログインや大量通信を検知できるようにします。

パソコンやサーバー側でもEDRやセキュリティ製品を導入し、端末からNASへの横展開とNASから他端末への横展開の両方を監視します。

復旧後も継続的な監視と点検が必要になる

一度安全な設定へ変更しても、アカウント追加、機器更新、ネットワーク構成変更などにより、再びリスクが生じる可能性があります。

ログ、ユーザー、外部公開、バックアップ、更新状況を定期的に確認してください。

NASへの不正アクセスをフォレンジック調査で確認する方法

NASへの侵入原因や被害範囲を明らかにするには、NAS単体だけでなく、ルーター、ファイアウォール、接続端末の記録も確認します。

認証ログから侵入時刻と接続元を確認する

ログイン履歴、失敗記録、接続元IP、利用アカウントを分析し、侵入が始まった可能性のある時刻を整理します。

ファイル操作と権限変更を確認する

ファイルの閲覧、コピー、削除、暗号化、共有権限変更などの記録を確認します。

外部通信と情報流出の可能性を確認する

NASやネットワーク機器の通信ログを確認し、不審な外部IPへの接続や大量送信がないかを分析します。

接続端末への横展開を確認する

NASへ接続していた端末の認証履歴、プログラム実行、ファイル操作を確認し、被害がほかの機器へ広がっていないかを調べます。

侵入から発見までの時系列を整理する

最初の不正ログイン、アカウント追加、権限変更、ファイル操作、外部通信、発見までを時系列で整理します。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

NASへの不正アクセスが疑われる場合は、まず社内LANとインターネットから隔離し、現在の画面、ログ、ファイル状態、アカウント設定を記録してください。原則として電源を切らず、調査に必要な情報を残すことが重要です。

未知の管理者アカウント、深夜のログイン、共有権限の変更、ファイル暗号化、外向き通信量の増加などが確認された場合は、NASだけでなく、ルーターや接続端末への被害拡大も確認する必要があります。

復旧は、侵入原因を遮断し、安全なバックアップを確認してから進めます。侵入経路や情報流出の範囲が分からない場合は、初期化やログ削除を急がず、フォレンジック調査会社へ相談することが大切です。