10月28日凌晨起，大批群晖（Synology）NAS用户一觉醒来发现文件全被锁了：照片、RAW原片、数据库、影片统统多了`.L0CK3D`后缀，每个文件夹里躺着一份`read-me3.txt`勒索信。这波被命名为C3RB3R（老牌勒索家族Cerber的变种）的攻击已经在各大平台刷屏一周多——设了复杂密码的、开了双重验证的、改了默认端口的，照样中招；甚至升级到最新DSM 7.4.1 Update 1的机器，也有受灾报告。小红书知乎
而眼下，正是双11把NAS加进购物车的高峰——小红书上一条"NAS还是iCloud"的纠结帖里，有人晒出小米NAS"3k左右"的价格，有人算着iCloud"68一个月"的账。先别急着高兴，NAS接上公网的那一刻，这关就得开始过。小红书
为什么密码和2FA集体失效？
这次被利用的漏洞之一，是安全公司Rapid7在DEF CON上公开拆解过的群晖漏洞利用链"Disguise Delimit"，对应Pwn2Own大赛上攻破群晖的CVE-2024-10441，CVSS评分满分9.8。知乎
玩法很损：登录框还没走到"核对密码"那一步，攻击者在用户名里塞进特殊分隔符，就能以root权限往系统里写入定时任务。你在前台看着"登录失败"的提示，后脚黑客的脚本已经跑起来了。这就是强密码、二次验证、输错5次封IP全部失效的原因——人家根本没碰你的密码。知乎
另一批用户死得更冤：群晖今年9月18日披露的两个高危漏洞（CVE-2026-13639、CVE-2026-13684），9月底补丁就发了，可公网上仍有大量开着5000/5001端口映射、却没装补丁的设备，成了这轮自动化脚本的首批猎物。锁完文件，勒索方连"售后"都做成了流水线——受害者被引导到的，是一个全自动的"自助"解密站。知乎
远程访问三条路，各自的坑堵法
NAS的核心价值是"人在外面也能访问家里"，但路只有三条，每条都得把门栓检查一遍：
公网IPv4+端口映射：最直接也最危险。如今运营商给家宽分配公网IPv4的比例越来越低，移动基本不提供，电信联通部分地区申请也未必批。真有的话，别把5000/5001裸映射出去——早些年教公网访问的教程，流行把群晖5000端口直接映射甚至开DMZ，这等于把服务赤裸裸放出去，不打你打谁。评论区一位老哥的做法堪称模范：只暴露自己的VPN端口，访问NAS先"回家"再进门，公网能看到的只有一扇窄门。知乎知乎
IPv6+DDNS：纸面上人人都有公网地址，但部分运营商的新光猫默认开启防火墙，外网连接会被直接拦截，能Ping通NAS却打不开页面，外面网络也得支持v6才连得通。走这条路，防火墙只放行NAS那几个端口，并开启HTTPS。
内网穿透/厂商中转：没有公网IPv4、也没有可用v6时，就借一台有公网IP的"中间人"服务器，帮外网设备和内网NAS搭建转发通道。好处是家里不用开放任何入站端口，攻击面最小，新手首选。
还有个进阶小动作：给服务套一层子域名反向代理。扫描器敲开端口只看到一个nginx，大概率直接跳过你——在公网上"隐身"，但不影响你自己出门访问。知乎
兜底的不是防御，是恢复
要承认：漏洞永远还会有。评论区里真正救回数据的，都提前做了这三件事：第一，在"更新和还原"里勾选自动安装重要更新——这轮用的不是无解的0day，官方早把补丁推了。小红书
第二，给重要共享文件夹开不可变快照：Btrfs机制下，快照在保护期内加密不了也删除不了，实测3TB数据首次快照只要10秒。小红书
第三，按3-2-1原则再留一份备份——病毒从内部烂掉时，没备份就真凉了。知乎
一位中招网友晒出的劫后余生是"还好系统和硬盘都打了快照，不然真死了"。家庭服务器，别养成黑客的服务器。双11的快递到了再开心也不迟——先把网线接对，再喊真香。知乎
