群晖勒索风波一周多，评论区又涨起一拨声音：有人拒付2.6万赎金、0元救回数据。更多的人在问要不要搬家。「建议黑群用户转飞牛」堆了149条评论，白群也在动摇：新系统至少更新得快。别急，先把三笔账算清。小红书
第一笔账：勒索打中的是谁？不是你以为的谁。官方已经发布公告确认这波勒索攻击属实、紧急呼吁用户升级DSM。但中招与幸存的分界不在版本：7.1.1一动不动躲过的有，黑群晖DS918+也被加密，而升级到最新版本仍中招的同样存在。被攻破的设备都有个共同点：5000/5001、WebDAV、DDNS+IPv6这类公网口子，开一个口，进一扇门。攻击者也不挨个手挑，网络测绘加扫描，找到一台裸奔NAS近乎零成本。反过来，躲过的都是先收口的：218+那位用户干的第一件事，就是关掉路由器UPnP、清空端口映射。那转投飞牛就能搬离风险？飞牛前几个月刚被曝出严重的路径穿越漏洞、导致数据泄露，飞牛和黑群晖这波也接连被攻破——圈子里画的「安全阵营」，受害名单里一个都没出现。高赞评论说透了：AI时代把NAS放公网就是对自己数据不负责，这句不分品牌。微博知乎哔哩哔哩小红书小红书哔哩哔哩
第二笔账：你选的搬家路线，坑比路多。「刷机会不会删掉机械盘里的文件」是当前评论区问得最多的问题。不能赌。实测：群晖数据盘插到飞牛上直接读不出，搬12T盘只能先把数据无损拷出来。小红书小红书
黑群晖「不敢随便升级」确实是这次暴露的死穴，转飞牛能治；可飞牛1.2.08一次更新就弄挂了Docker和音乐，「特别后悔装飞牛」也在踩坑名单里挂着。
适合换阵营的基本是数据少、爱折腾的人；30T文件锁在里面的，勒索风暴期间根本不是搬家的好时机——迁移路上再漏一道，等于被勒索两次。
第三笔账：真正该换的不是系统，是远程访问的方式。最容易被忽略的是：NAS还是要出门访问，而原则只有一个——尽量把自己从公网上藏起来。按成本从低到高：先关UPnP、清端口映射、改默认端口、开自动屏蔽和二次验证，一次半小时，多数幸存者就是这么躲过的。出门访问走中继：群晖用免费的QuickConnect，飞牛的DDNS只支持IPv6、IPv4环境还得用付费的FnC。再进一步，自建WireGuard「外网只留一个VPN口，其他全关」是评论区点赞最高的方案；Tailscale好装，但实测慢、延迟高，新设备装不了客户端；进阶是限时暴露：要用放行2小时，用完就关。别忘了Jellyfin这类Docker映射端口是第二个5000，评论区已有人追问它算不算裸奔。知乎小红书
最后的兜底，是那套让所有人服气的纵深布防：屏蔽非大陆IP、二次验证、不可变快照、S3异地备份——他守的不是系统，是「不把门押在别人阵营上」的原则。
所以这波「逃离群晖」拆两类看：黑群晖用户确实该转正规方案：问题不是不敢更新，是压根没得更新；白群的焦虑，更值得用一次暴露面清理来解决，而不是换系统。勒索按数据收费，搬家免费，但数据翻车的代价一样要你付。换阵营永远换不掉暴露，收口一次，比什么新系统都值。
