問題が起こったのは台湾の情報通信機器メーカーD-Linkが発売したNAS（Network Attached Storage）製品「DNS-340L」「DNS-320L」「DNS-327L」「DNS-325」だ。危険な脆弱（ぜいじゃく）性が見つかったためだ。脆弱性の識別子は「CVE-2024-3273」だ。

D-LinkのDNS-320L（提供：D-Link）

　サイバーセキュリティを扱うShadowserverの研究者は、2024年4月8日、次のような内容をXへ投稿した（注1）。

　「攻撃者は、D-Linkのネットワークエリア・ストレージデバイスのコマンドインジェクションとハードコードされたクレデンシャルバックドアの脆弱性をスキャンし、積極的に悪用している」

サポートが終了したデバイスは頻繁に攻撃されている

　D-Linkは「これらの製品の利用を中止するよう、強く推奨する。この製品をこれ以上使用すると、製品に接続されたデバイスのリスクとなる可能性がある。この脆弱性に関するパッチは提供されておらず（注2）、今後も提供される予定はない」と述べた。

　同社は2024年4月4日のセキュリティアナウンスメントで、影響を受ける4つの製品のユーザーに対して、デバイスの利用を止めて別の製品に買い換えるよう勧告した（注3）。これらの製品のサポートは切れている。

　NASのようなネットワークデバイスは、経済的な動機に基づく攻撃者や国家に関連する攻撃者によく狙われる。Citrix Systems（注4）、Ivanti（注5）、Barracuda Networksが販売するネットワークデバイスの脆弱性（注6）は、2023年に広く攻撃の対象となった。

　航空企業のBoeingと（注7）、通信企業のComcastは（注8）、CitrixBleedと呼ばれるCitrixの脆弱性を悪用した攻撃によって影響を受けた。サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が運用する2つのシステムは（注9）、IvantiのリモートアクセスVPNの脆弱性を悪用した攻撃によって侵害された。

　Ivanti、Citrix Systems、Barracuda Networksの各デバイスは現在もベンダーによってサポートされている。だが、今回攻撃の対象となったD-Linkの製品はサービスを終了しており、ファームウェアのアップデートの対象外だ。影響を受けるD-LinkのNASデバイスを使用している企業の数は定かではない。D-Linkは台湾を拠点とするベンダーであり、NAS製品を中小企業向けに販売していた。

　2024年3月26日、脆弱性を発見したNetworkSecurityFishが調査結果をD-Linkと共有し、脆弱性を公表したことにより、D-LinkのNASデバイスのうち、9万2000台以上が脆弱だということが分かった。

　研究者は、GitHubの投稿で次のように述べた（注10）。

　「この脆弱性が悪用されると、D-LinkのNASデバイス上で任意のコマンドの実行が可能となり、攻撃者はコマンドを指定することで、機密情報への潜在的なアクセス、システム構成の変更、サービス拒否などが可能となる」