今年双11，很多人加购NAS前，先刷到了一条坏消息：群晖中招勒索病毒了。微博有人自称"几个T的资料被锁定改了后缀，多年心血荡然无存"。小红书用户晒出一篇拒绝支付2.6万赎金后的0元自救复盘。还没下单的人，第一次觉得"安全"两个字比任何参数都重。微博小红书
一、先搞清楚：这波到底怎么打的
10月29日群晖的公告说得很直白：攻击者利用的是一个2024年12月就已修复的漏洞，专打还在跑旧版DSM、一直没更新的设备。不是新系统0day，也不存在"所有群晖都沦陷"。被加密的文件后缀全部变成.L0CK3D，勒索信文件名是read-me3.txtcr。微博知乎小红书知乎微博
HKCERT也在提醒：DSM和相关PHP套件都要更，但"PHP2Shell是元凶"的说法官方至今没确认，别当事实传。网上也有"打了补丁仍中招"的自述，目前没有独立核实，证据只能覆盖到这里。知乎微博
二、被问最多的：换个牌子，就安全了？
“那我换威联通？”“绿联NAS可以买吗？”——评论区问翻了。有知乎作者对照CISA的KEV清单做了横评：截至2026年11月6日，NAS与网络设备相关记录71条，其中14条被明确标注"被勒索团伙使用"，威联通占9条。群晖是0，不是因为它安全，是因为事件太新还没进清单——KEV是滞后指标，不是体检报告。微博知乎
别人家的本周新闻更扎心：TrueNAS在11月5日被披露CVE-2026-123033，同局域网设备无需口令即可拿到管理员权限，25.10.8才修复。铁威马那条CVE-2022-24990危险分"只有"7.5，一个不带账号的请求就能让设备把管理员口令吐回来。知乎
所以别问"哪个牌子绝对安全"，问这四个点：还发不发补丁、默认朝不朝外开门、上面跑了谁写的套件、权限给到了多粗。知乎
停产又不更新的老设备比任何新机器都危险，公网入口先撤了再说。知乎
三、真中招了，最反直觉的一步：先别关机
多数人的第一反应是"先关了再说"。但应急团队的结论恰恰相反：不要贸然关机、重启、重装——解密工具写明了前提"加密器仍在运行"，会话密钥只在程序运行期间留在内存里，一重启，提取通道基本关闭。小红书知乎
那位拒绝付赎金的自救者登进终端看一眼都后怕：“加密进程居然还没跑完退出”，但凡它跑完退出、或者自己慌乱重启，就没得救了。而团队测到该样本的加密速度可达约2–3GB/s，救援窗口按分钟计。小红书知乎
正确顺序：先断网隔离，保留勒索信和加密文件原样，别重装系统——付赎金不保证拿回数据，打补丁也不会自动解密已加密的文件。知乎
四、双11下单前后，只做三件事
自动更新打开，系统和套件都保持最新，群晖官方点名的就是启用自动更新。这轮炸的恰恰多是"欠账两年"的。微博
管理界面别直接映射公网，远程访问先想清楚"谁能进、能进到哪"；
留一份和NAS物理分离的离线副本，并且真的演练过恢复——"我有快照"是这轮事件里最贵的错觉。RAID也不是备份，B站横评的原话更直接：迷信"组RAID就等于数据保平安"，中了勒索病毒直接全盘火葬场。安全这件事，各家差异更多在配置习惯而非品牌本身——证据就摆在这，谁也不比谁刀枪不入。知乎哔哩哔哩
买NAS是为了把数据所有权握在自己手里。但这波风暴把另一句话也说明白了：所有权不等于安全，能恢复的备份才是底牌。
