登录
10月最后一周，技术论坛的评论区出现了一批相似的帖子：NAS里的照片、文档、代码仓库被加密，文件名后面多了.L0CK3D，每个文件夹里躺着一封read-me3.txt。
这不是某台设备的意外。10月29日，群晖罕见地发了一则新闻稿，确认正在发生针对NAS的在野攻击。 安全团队把这轮攻击归到C3RB3R家族，目标多是还在跑旧版DSM的设备。知乎快科技
从补丁发布到集中加密，中间隔了22个月。22个月里，任何一天点一下“更新”都可能避开。
这里有个分歧。群晖说，攻击者利用的是2024年12月就已修补的漏洞，CVE-2024-10441，CVSS 9.8。
360反勒索团队处置的样本，却指向2026年9月18日公告、当时已修复的CVE-2026-13639和CVE-2026-13684，两条也都是9.8。
两边的入口判断不一致，结论却一样：先把DSM升到最新。
但把责任全推给“没打补丁”也不完整。有人在路由器上把5001端口映射出去，有人开了UPnP让路由器自动打洞，有人给IPv6放行，把DSM登录页挂在网上。
公开报道里，这些中招设备有一个共同点：管理端都能被公网直接访问到。 扫描器不需要认识你，只需要找到一个能打开的登录页。知乎
很多人买NAS时，默认机器里那套系统是“经过验证”的，于是一直不升级；等发现时，勒索信已经躺在文件夹里。
10月29日，一位微博用户写下了自己家的遭遇：家里群晖被黑客破解加密C3RB3R，勒索5万块，25年积累的视频和照片被毁。微博
更麻烦的是“我有备份”的错觉。Hyper Backup把数据备份到同一台NAS的另一个存储池，或者接在NAS上的USB硬盘。
这些备份和主数据在同一台机器上，勒索软件会把它们一起加密。 RAID也会把加密后的文件同步到每一块盘；快照如果没设成不可变，也会被先删掉。备份目录对当前权限可写，就会和主数据一起被遍历。知乎
真正有用的，是把快照设成不可变。在DSM里对应WriteOnce，打开后，快照的删除按钮会被锁住。
今晚可以先做五件事。
一、打开路由器，关掉端口转发、DMZ和UPnP。尤其是5000、5001，以及你为Docker、WebDAV、相册开的那些端口。
二、查IPv6。没有公网IPv4不等于安全；运营商默认给的IPv6地址，防火墙一放行，和裸奔没区别。
三、把DSM升到最新。6.x分支不在这轮修复名单里，继续联网就是把已知漏洞挂在外面。默认admin账号停掉，两步验证打开。
四、远程访问换成VPN或组网，WireGuard、Tailscale、ZeroTier都行。让NAS在公网上“消失”，而不是把登录页挂出去。QuickConnect、DDNS至少不要用来暴露管理后台。
五、备份要有一份离开这台NAS：离线硬盘、另一台机器，或网盘的历史版本。备份账号不要有删除权限，定期真的恢复一次。
如果已经中招，先断外网，别急着重启或关机。内存里的进程和密钥可能还在，关机就没了。保留现场，再评估恢复。已有安全团队放出c3rb3r-rescue这类工具，在特定条件下能捞回部分文件，但不是万能钥匙。
这次事件最该记住的，不是“群晖不安全”。补丁早就发了，漏洞也早就公开了。真正把数据交出去的是那扇一直开着的门。
NAS的全称是Network Attached Storage，网络还排在存储前面；可很多人买它时只想着存储，忘了网络。
