NASのポート開放が危険な理由｜ランサムウェア被害事例と安全な代替手段

「外出先からNASのファイルを見たいので、ルーターのポートを開放しようと思う」——中小企業のテレワーク環境づくりで、よく出てくる相談です。検索すると設定手順はすぐに見つかりますが、その手軽さとは裏腹に、NASのポート開放は重大なセキュリティリスクを伴います。

結論から述べると、NASのポート開放は原則避けるべきです。 実際に2021年以降、インターネットに公開されたNASを狙ったランサムウェア攻撃が世界的に多発し、NASメーカー自身が「NASをインターネットに直接公開しないでほしい」と繰り返し注意喚起しています。

この記事では、ポート開放の仕組みとなぜ危険なのか、実際に起きた被害事例、そしてポート開放なしで外部アクセスを実現する安全な代替手段を、IT専任担当者がいない中小企業の方にもわかるように解説します。

ポート開放とは何か：仕組みをおさらい

ポート開放（ポートフォワーディング）とは、ルーターに「インターネット側の特定ポートに届いた通信を、LAN内の特定機器へ転送する」よう設定することです。

通常、社内LANの機器はルーターのNAT機能によってインターネットから直接見えない状態にあります。ポート開放はこの「見えない壁」に意図的に穴を開け、外部からNASへ直接通信できるようにする設定です。

【ポート開放した状態】
インターネット上の誰でも → ルーター（開放ポート） → NAS

ここで重要なのは、穴を通れるのが「自分」だけではないという点です。開放したポートには、世界中の誰でも接続を試みることができます。 アクセスしてきた相手が自社の従業員なのか攻撃者なのかを、ルーターは区別してくれません。

ポート開放と固定IPアドレスの関係など、仕組みの基礎はポート開放と固定IPアドレスの関係を解説した記事も参考にしてください。

なぜ危険なのか：インターネットは常時スキャンされている

「うちみたいな小さな会社のNASなんて、誰も狙わないだろう」と思うかもしれません。しかし、現実の攻撃は人間が標的を選ぶのではなく、自動化されたプログラムがインターネット全体を機械的にスキャンする形で行われます。

このことは、公的機関の観測データからも裏付けられています。情報通信研究機構（NICT）が未使用のIPアドレス群を観測した「NICTER観測レポート2024」によると、1つのIPアドレスに対して年間約240万パケットもの攻撃関連通信が届いています。 単純計算で数十秒に1回のペースで、何らかの調査・攻撃のパケットが飛んでくる状態です。

また、セキュリティ企業Palo Alto Networksの調査（2022年）では、新しい脆弱性（CVE）が公表されてから15分以内に、攻撃者によるスキャンが始まった事例が報告されています。

攻撃者のスキャンプログラムは、IPアドレスを片っ端から巡回して開いているポートを探します。ポートが開いていれば、その先にある機器の種類とバージョンを特定し、既知の脆弱性への攻撃やパスワードの総当たり（ブルートフォース攻撃）を自動で仕掛けます。

つまり、ポートを開放した時点で「会社の規模」や「データの価値」に関係なく、攻撃対象リストに載るのと同じ状態になります。狙われるかどうかは運ではなく、公開しているかどうかで決まるのです。

実際に起きた被害：NASを狙ったランサムウェア

「NASが狙われる」というのは想像上の話ではありません。2019年以降、QNAPやSynologyといった主要メーカーのNASを標的にしたランサムウェア攻撃が実際に相次ぎ、各メーカーが公式のセキュリティアドバイザリを発行しています。

eCh0raix：弱いパスワードと古いファームウェアが狙われた

2019年から活動が確認されているランサムウェア「eCh0raix」は、QNAP製NASを中心に感染を広げました。QNAPは公式アドバイザリで、弱いパスワードを使用しているデバイスや、古いファームウェアのまま運用されているデバイスが感染しやすいと説明し、強力なパスワードの設定・ブルートフォース対策・ファームウェア更新を呼びかけています。

日本でもJPCERT/CCが2020年に、QNAP製NASを狙うこのランサムウェアについて注意喚起を出しており、脆弱性の悪用を狙ったとみられる通信を実際に観測したと報告しています。

またSynologyも2019年に、管理者アカウントの認証情報を総当たりで破り、データを暗号化する攻撃について緊急の注意喚起を出しました。2021年には「StealthWorker」と呼ばれるボットネットによるブルートフォース攻撃の増加を公式に発表し、自動ブロックや多要素認証の有効化を推奨しています。

Qlocker：脆弱性を突いてファイルを人質に

2021年4月には、QNAP製NASを標的とするランサムウェア「Qlocker」の攻撃キャンペーンが発生しました。QNAPは公式声明で、バックアップアプリ「HBS 3」の脆弱性（CVE-2021-28799）が悪用されたことを認めています。感染したNASでは、保存されていたファイルがパスワード付きの圧縮アーカイブに変換され、解除と引き換えに身代金が要求されました。

DeadBolt：メーカーが「インターネットに公開されたNASが標的」と明言

2022年に登場した「DeadBolt」は、この問題の本質を最もはっきり示した事例です。QNAPは2022年1月の公式声明で、DeadBoltが「保護のないままインターネットに公開されたすべてのNASを広く標的にしている」と明言し、ユーザーに対して次の対応を緊急要請しました。

• ルーターのポートフォワーディング（NAS管理ポートの8080番・443番など）を無効化する
• ルーターのUPnPによるポートフォワーディングを無効化する
• ファームウェアを最新版に更新する

つまり、「ポート開放をやめてほしい」というのは第三者の推測ではなく、NASメーカー自身が公式に出している対策指示なのです。QNAPは公式のセキュリティベストプラクティスでも、管理ポートのポート転送やUPnPを無効化し、代わりにクラウド中継（myQNAPcloud Link）やVPN（QVPN）を使うよう案内しています。

これらの事例に共通する教訓はシンプルです。NASをインターネットから直接届く場所に置かないこと。 ポート開放は、その真逆を行く設定だということです。

UPnPによる「意図しないポート開放」にも注意

「ポート開放の設定なんてした覚えがない」という場合でも、安心はできません。多くの家庭用・小規模オフィス向けルーターには UPnP（Universal Plug and Play） という機能があり、LAN内の機器がルーターに依頼するだけで、自動的にポートが開放される仕組みになっています。

UPnPは、ゲーム機やビデオ会議など「外部との通信が必要な機器」を手軽に使えるようにするための機能です。しかし、NASのリモートアクセス機能を有効にした際などに、UPnP経由で自動的にポートが開放されるケースがあります。管理者が把握しないままNASがインターネットに公開されている——これがUPnPの怖さです。

このリスクはメーカーも公式に認識しており、QNAPは2022年、ランサムウェア対策の一環としてルーター側のUPnPポートフォワーディングを無効化するようユーザーに公式に要請しました。利便性の裏で、機器が意図せず公衆ネットワークにさらされ得るためです。

対策はシンプルで、NAS側とルーター側の両方でUPnPによる自動ポート開放を無効化し、現在開いているポートを棚卸しすることです。ルーターの管理画面でポートフォワーディング設定の一覧を確認し、身に覚えのない転送設定がないかを点検してください。

特に開放してはいけないポート

ポート開放の危険度は、どのポートを開けるかによっても変わります。次のポートは特に攻撃対象になりやすく、インターネット側への開放は避けるべきです。

特に445番ポート（SMB）は、社内でファイル共有に使う分には問題ありませんが、インターネットへの開放は絶対に避けてください。SMB公開のリスクと安全な共有フォルダ運用については、共有フォルダに外部から安全にアクセスする方法で詳しく解説しています。

また、NASの管理画面ポートの開放も危険です。管理画面を乗っ取られると、データの窃取だけでなく、NASそのものを攻撃の踏み台にされる恐れがあります。

安全な代替手段3つ：ポート開放なしで外部アクセスを実現する

「ポート開放が危険なのはわかった。では外出先からNASを使いたいときはどうすればいいのか」——答えは、外部から直接NASへ届く経路を作らない方式を選ぶことです。代表的な選択肢は次の3つです。

代替手段1：メーカー純正のクラウド中継サービス

SynologyのQuickConnect、QNAPのmyQNAPcloudなど、NASメーカーが提供するクラウド中継サービスを使う方法です。NAS側からメーカーのサーバーへ接続を確立するため、ポート開放なしで外部アクセスできます。

設定が簡単で個人利用には十分ですが、通信が必ずメーカーのサーバーを経由するため速度が安定しにくく、業務での大容量ファイルのやり取りには不向きな面があります。

代替手段2：VPNを構築する

VPN（Virtual Private Network）で社内ネットワークへの暗号化トンネルを作り、その中でNASにアクセスする方法です。接続後は社内LANにいるのと同じ状態になるため、NAS自体をインターネットに公開する必要がありません。

ただし、従来型のVPN構築には固定IPアドレスの取得やVPN対応ルーターの設定が必要で、VPN用ポートの開放も発生します。また、VPN機器自体の脆弱性を放置すると侵入経路になり得るため、VPN機器の脆弱性対策もあわせて確認してください。

代替手段3：クラウド型リモートアクセスVPNを利用する

社内に置いた専用機器がクラウドサーバーへ「内側から」接続を確立し、そのトンネル経由で外部からアクセスする方式です。社内側からVPNを張るため、固定IPの取得もルーターの設定変更もポート開放も不要で、社内ネットワークを一切外部公開せずに済みます。

IT専任担当者がいない中小企業が業務用NASへの外部アクセスを整えるなら、この方式が最も導入しやすい選択肢です。

3つの方法の安全性・速度・コストの詳しい比較は、NASに外出先からアクセスする3つの方法と安全な選び方をご覧ください。

なお、クラウド型リモートアクセスVPNの「だれリモVPN」なら、専用機器「FLINT plus」をNASと同じ社内LANに挿すだけで、ポート開放なしの外部アクセス環境が整います。

どうしてもポート開放する場合の最低限の対策チェックリスト

事情があってポート開放を選ばざるを得ない場合でも、次の対策を必ずセットで実施してください。1つでも欠けると、リスクは大きく跳ね上がります。

• 開放するポートを必要最小限に絞り、445（SMB）や管理画面ポートは開放しない
• NASのファームウェアとアプリを常に最新の状態に保つ
• 初期の管理者アカウント（admin等）を無効化し、別名の管理者アカウントを作る
• パスワードは英大小文字・数字・記号を含む12文字以上にする
• 二要素認証（2FA）を有効化する
• ログイン失敗を繰り返すIPアドレスを自動ブロックする機能を有効化する
• UPnPによる自動ポート開放をNAS側・ルーター側の両方で無効化する
• 接続元IPアドレスを制限できる場合は、許可IPを絞り込む
• スナップショットやオフサイトバックアップなど、NAS本体と切り離したバックアップを用意する
• アクセスログを定期的に確認する

これらを継続的に運用する負荷を考えると、多くの中小企業にとっては、そもそもポート開放が不要な方式へ切り替えるほうが現実的です。

FAQ

Q1. ポート番号を標準から変更すれば安全になりますか？

安全にはなりません。攻撃者のスキャンは全ポートを対象に行われることが多く、ポート番号の変更は無差別な攻撃を多少減らす程度の効果しかありません。ポートの先にあるNASの脆弱性や弱いパスワードが解消されるわけではないため、根本的な対策にはならないと考えてください。

Q2. HTTPSで暗号化していればポート開放しても安全ですか？

通信の暗号化と、機器を公開するリスクは別の問題です。HTTPSは通信の盗聴を防ぎますが、NASの管理画面やアプリに脆弱性があれば、暗号化された経路越しに攻撃されます。「暗号化しているから公開してよい」とはなりません。

Q3. DDNSを使うのとポート開放は何が違いますか？

DDNS（ダイナミックDNS）は変動するIPアドレスに固定の名前を付けるサービスで、それ自体に通信を通す機能はありません。外部からNASへアクセスするにはポート開放が別途必要になるため、「DDNSを使う＝ポート開放のリスクを負う」構成になっている場合がほとんどです。

Q4. すでにポート開放して運用しています。まず何をすべきですか？

最初に、ルーターのポートフォワーディング設定とUPnPの状態を確認し、開いているポートを棚卸ししてください。あわせてNASのファームウェア更新、管理者パスワードの変更、二要素認証の有効化を行い、不審なログイン履歴がないかログを確認します。その上で、VPNやクラウド中継など、ポート開放が不要な方式への移行を検討することをおすすめします。

Q5. ルーターを最新機種にすれば、ポート開放しても大丈夫ですか？

ルーターの新旧は本質的な対策になりません。ポート開放は「ルーターがあえて通信を素通しする設定」なので、その先のNASが攻撃にさらされる構図は変わらないためです。ルーターのファームウェア更新は重要ですが、それとは別に「NASを公開しない」構成を検討してください。

まとめ：ポート開放に頼らない外部アクセスへ

NASのポート開放は、外部アクセスを実現する最も原始的な方法ですが、インターネット上の常時スキャンにさらされ、ランサムウェアをはじめとする攻撃の入り口になり得ます。NASメーカー自身がインターネットへの直接公開を避けるよう注意喚起している以上、業務データを保存するNASでのポート開放は原則避けるべきです。

外出先からのアクセスが必要なら、メーカー純正のクラウド中継サービス、VPN、クラウド型リモートアクセスVPNといった「外部に穴を開けない」方式を選びましょう。特にIT専任担当者がいない中小企業では、固定IP取得・ルーター設定・ポート開放のすべてが不要なクラウド型リモートアクセスVPNが、安全性と導入のしやすさを両立できる選択肢です。

だれリモVPN — ポートを1つも開けずに、NASへの安全な外部アクセスを実現

専用機器「FLINT plus」を社内LANに挿すだけ。固定IP不要・ルーター設定変更不要・ポート開放不要で、AES-256/SHA-384の二重暗号化VPN環境を構築。機器費用0円・初月無料・契約期間なし。最短2日で導入できます。