ACCOUNT INCIDENT TRIAGE
NASに不審なログイン・知らない管理者がある時
身に覚えのないログイン通知、管理者、共有リンク、設定変更があれば、パスワード変更だけで終わらせません。外部公開を止め、ログと時系列を残し、NAS・ルーター・クラウド・接続端末の範囲を分けます。
表示と状態を分けて考える
知らないIP・時刻のログイン
日時、送信元IP、ユーザー名、成功・失敗、対象サービスを保存します。IPだけで人物や攻撃者を断定しません。
知らない管理者・権限変更
作成時刻、所属グループ、共有権限、最近の操作を記録します。記録前の削除は調査材料を失います。
身に覚えのない共有リンク・ポート
リンク、DDNS、UPnP、ポート転送、リモートアクセスの有効状態を記録して遮断します。
失敗ログインが大量にある
総当たり攻撃の可能性があります。成功ログ、同一ユーザー、二要素認証、外部公開の有無を合わせて確認します。
状態を変えにくい確認順序
- NASを外部から隔離するインターネット公開、ポート転送、DDNS、共有リンクを止めます。調査端末とローカル管理経路は分けます。
- 時系列とログを保存する最初の通知、成功・失敗ログイン、設定変更、追加ユーザー、アプリ、共有アクセスを時刻順に記録します。
- 影響する認証情報を洗い出すNAS、メーカーID、メール、ルーター、クラウド、バックアップ先、接続端末で再利用した認証情報を確認します。
- 信頼できる別端末から認証を更新する侵害が疑われる端末を使わず、長く固有のパスワードと二要素認証へ更新し、不要なトークン・セッションを失効します。
- クリーンな復旧計画を作る侵入経路と影響範囲を確認し、必要ならメーカー・セキュリティ専門家と再構築、データ確認、再接続条件を決めます。
状態別の次の行動
やってはいけない操作
- 通知だけを消してNASを公開し続ける
- 記録前にログ、ユーザー、共有リンクを全削除する
- 侵害が疑われるPCから全パスワードを変更する
- 同じパスワードを少し変えて再利用する
- 原因未確認のままバックアップ先や別NASへ再接続する
- 工場出荷状態への初期化だけで対応完了と判断する
公式情報で確認する
- IPA：セキュリティインシデント対応の基本隔離、5W1Hでの時系列整理、証拠保全、復旧の考え方
- Synology：総当たり攻撃とアカウント保護管理者資格情報を狙う攻撃と二段階認証等の公式案内
- QNAP：NASセキュリティの推奨設定外部公開、管理者、更新、アカウント保護の公式確認項目
- IPA：サイバーセキュリティ相談・届出窓口被害や不正アクセスが疑われる時の公的相談先
製品名が同じでも、型番・OS・ファームウェア・RAID方式で操作は異なります。画面上の警告全文と対象版を照合し、公式指示を優先してください。
よくある質問
まずパスワードを変更すれば十分ですか？
変更は必要ですが、侵入経路、追加アカウント、APIキー、共有リンク、接続端末が残れば再侵入される可能性があります。先に外部公開を止めてログを保存し、信頼できる別端末から関連アカウントを順に変更します。
怪しい管理者アカウントはすぐ削除しますか？
被害拡大を止めるため無効化が必要な場合がありますが、削除すると作成時刻や権限などの証拠を失うことがあります。画面・ログ・設定を保存し、重要案件では専門家の指示を受けてください。
NASを初期化すれば安全になりますか？
初期化だけでは、漏えいしたパスワード、ルーターの公開設定、感染端末、クラウドアカウントなどNAS外の原因を除けません。影響範囲を確認し、クリーンな再構築と認証情報の更新を一組で行います。
約1分・登録不要
不正アクセスとデータ損失の危険度を判定
暗号化、削除、物理障害、バックアップ状況を加えて、データ原本を守る次の行動を整理します。
無料で緊急度を判定する →対象：QNAP QTS・QuTS hero／Synology DSM／Buffalo LinkStation・TeraStation等／最終確認日：2026年8月31日