晚上十一点，客厅那台 NAS 突然开始叫。
不是硬盘坏了，是有人在敲门。一位群晖用户在视频评论区贴出日志：每秒一到四个 IP 在爆破 admin 账号，专打 5000 和 5001——DSM 的默认管理端口。他没中招，因为 admin 早禁用了。更多人没这个运气。
发生了什么
10 月 29 日，群晖首次公开确认遭遇在野勒索攻击，要求用户立即更新 DSM 并开启自动更新。11 月 3 日，澳门司法警察局发布警情通报，群晖 NAS 近日受到 Cerber 勒索软件的全球自动化大规模攻击，设备内所有档案会被高强度加密，并留下勒索讯息；媒体把这波活动叫作 C3RB3R，专挑还在跑旧版 DSM 的机器。微博澳门司法警察局快科技
有家公司把全部文件丢在办公室私有 NAS 上，补丁一直没打，整盘被加密，解密工具硬啃 36 小时才解开 10TB。手法一点都不高级：没人“专门盯上”你，它只需要把你扫到，受害者彼此毫无关系，只是恰好都在网上。微博知乎
两句最贵的话
“我打过补丁了。”——DSM 本体更新算勤快，麻烦在套件层：相册、Web Station、邮件底下还压着一层 PHP 和 Node。群晖的安全公告 10 月底连着新增 PHP2Shell（SA-26:14）和 Node2Shell（SA-26:15）两条，后者状态至今仍是 Ongoing。你点掉的那个“稍后提醒”，账不会自己消失。微博
“我有备份。”——有存储从业者提到，有人配了两台 NAS 互相备份，结果被一锅端。同一个局域网、都 24 小时在线、共用一套凭据，拿下一台，顺着备份任务就摸到另一台。快照同理：它就在这台机器上，加密程序通常顺手一起处理。哔哩哔哩
换个牌子也一样。有人把威联通、TrueNAS、Unraid、UniFi 的漏洞记录逐条核过，结论是换品牌只换一种欠账方式。风险取决于四件事：谁给你发补丁、机器朝外开了什么、上面跑了谁写的代码、权限多粗。品牌只影响第一件。知乎
今晚半小时能做完
DSM 和所有套件一起升到最新，打开自动更新；停用默认 admin，所有账号上强密码，能开 2FA 的都开；清掉不用的套件、服务和没人点的共享链接，少一个对外页面就少一扇门；开防火墙，管理界面加 IP 白名单。澳门司法警察局
最要命的是另一条：别把 5000/5001 映射到公网。改个端口号不叫安全措施，扫描器几分钟就试出来。要在外面访问就走 VPN 或组网工具（ZeroTier、Tailscale 这类），让它在公网上“不存在”；厂商已停更的设备，撤掉公网入口，只当内网硬盘。知乎
真正的退路：一份拔了电的盘
上面这些都在降低概率。只要联网，概率就不是零。
争议最大的是 3-2-1 原则：三份数据、两种介质、一份异地。反对理由很现实——硬盘在涨价，三个副本买不起，异地那份放老家还得有人管电和网络。这反驳站得住，所以别照抄，先做数据分级。
真正丢了会让你心痛的通常没多大：全家照片、证件扫描件、工作文档，多数人加起来不到 1TB。剩下几十 TB 能重新下回来的影音资源，挂着做种比做三副本靠谱得多。
只给那一小块做冷备：一块盘，定期插上，同步完，弹出，拔电，扔抽屉。麻烦，但勒索软件够不到一个没通电的东西。一块 16TB 企业级机械盘八百多块，大部分时间断电搁置，用八到十年没问题。哔哩哔哩
最后一步最容易被跳过：备份完，真的去恢复一次。没验证过的备份，等于没有备份。
它不会因为你换了牌子就绕开你，但会因为你今晚多花的那半小时，和抽屉里那块拔了电的硬盘，绕不过去。
