10月28日，群晖NAS被勒索的消息在社区里传开。一位用QNAP TS-251的用户也顺手查了自己的机器。
两天后，他在硬盘深处找到一个隐藏目录，创建时间是2026年7月4日凌晨00:21。也就是说，这台他以为“没映射公网、很安全”的NAS，已经被入侵了118天。知乎
他没中勒索，不代表没被入侵。加密是最后一步，不是第一步。攻击者进来后可以先潜伏、横向移动，把机器当成长期在线的跳板；等文件被加上后缀，往往已经晚了。
这波勒索从10月28日凌晨开始集中爆发。用户发现共享文件夹里的文档、照片、数据库被加上.L0CK3D后缀，每个目录多出一份read-me3.txt。知乎
澳门司警局11月3日通报，这是Cerber勒索软件的全球自动化大规模攻击。澳门司法警察局
群晖在10月29日的声明里说，攻击者利用的是一个2024年12月就已修复的漏洞，针对的是仍在运行旧版DSM的设备。群晖官网
漏洞也不止一个。旧补丁发了快两年，为什么还有设备中招？答案通常不在漏洞本身，而在设备有没有把管理界面挂在公网上。
9月18日，群晖还修过两个9.8分的高危漏洞：CVE-2026-13639和CVE-2026-13684，远程攻击者不需要账号权限，就能读写任意文件。群晖安全公告
更早的CVE-2024-10441同样是9.8分，允许远程执行代码。 这些漏洞的共同点是：不需要先登录就能触发。群晖官网
所以“我密码十几位、开了2FA、还改了默认端口”并不能让人放心。密码和二次验证保护的是正常登录流程；如果攻击者走的是一个不需要登录的漏洞，恶意代码在核对密码之前就已经执行了。
更麻烦的是，设备可能告诉你“已经是最新”。IT时代网的报道里，一位技术人员的NAS管理界面直接暴露在公网，安全补丁落后约18个月。IT时代网
版本号也可能不准。管理界面会显示设备已是最新状态，实际上仍有需要手动安装的关键安全更新。 同一篇报道还提到，只有2025年及以后推出的机型才具备自动更新。微博
先查入口。登录路由器，看端口转发、UPnP、DMZ里有没有指向NAS的5000、5001或其他自定义端口；再看IPv6防火墙有没有放行。只要管理界面能从公网打开，就先关掉。
远程访问改用VPN或加密组网，群晖自带的QuickConnect也可以应急；不要在公网直接开DSM登录页。
再查版本。对照群晖安全公告的修复线：DSM 7.4要7.4-90075及以上，7.3.2要86009-4及以上，7.2.2要72806-9及以上，7.2.1要69057-12及以上。
别只看“已是最新”四个字。
然后补底子：停用默认admin账号，所有账号用强密码并尽量开2FA，启用设备防火墙，删掉不用的套件、服务和闲置共享链接。
司警局列的六条防范措施，基本就是这套。 如果确实需要从外网登录，至少加IP白名单，或者只走加密隧道。澳门司法警察局
最后是备份。RAID不是备份，同一台NAS里的快照也可能一起被加密；移动硬盘别常年插在USB口上，Cloud Sync同步的云端也会被覆盖。留一份拔掉网线、离线保存的副本。
有人公司里的NAS整盘被加密，跑了36小时才解开10TB，后面还剩10TB。微博
如果已经中招：先断网，别急着重启或重装，别付赎金；把硬盘只读挂载到另一台机器上取证，再从未受影响的备份恢复。
群晖提醒，这类病毒会加密系统分区，导致DSM无法启动；在线重装通常只是装上最新版系统，数据还要靠备份。
NAS最值钱的地方，是你在需要时能把数据拿回来，而不是它在公网上随时能打开。把5000、5001那扇门关上，比换一块更贵的硬盘有用。
