10月下旬，多名群晖用户发现自己的照片、文档和代码仓库被统一追加 .L0CK3D 后缀，每个目录里多出一封名为 read-me3.txt 的勒索信。10月29日，群晖发新闻稿确认有设备遭在野攻击，运行的都是过时的 DSM 版本，国内媒体当天跟进。知乎什么值得买知乎
真正让存量用户心凉的，不只是文件打不开。中招用户描述的现场是：快照列表变空，Hyper Backup 任务异常，本机备份和原文件一起被篡改。处置过这类事件的技术人员复盘提到，攻击者拿到管理员权限后的标准动作，是先删快照、停备份、清日志，再开始加密。你以为的“最后一道退路”，其实是被最先拿掉的。这也戳破了 3-2-1 备份原则里常被忽略的一点：很多人的那个“1”异地副本就是 NAS 本身，备份和原文件在同一台机器、同一套管理员账号下，账号失守就是同船。快照更脆，它只是同一个存储池里的记录，有管理权限就能一键删。知乎知乎
另一个扎心的事实是，目前没有证据表明存在尚未修复却被利用的 0day。群晖的说法，是被利用的漏洞 2024 年 12 月就已修补（CVE-2024-10441，CVSS 9.8，未认证即可远程执行）；360 反勒索团队则称攻击用的是 2026 年 9 月 18 日公告、当时已修复的两个 9.8 分漏洞。两边口径对不上，但指向同一类设备：没更新、管理面还暴露在公网。从补丁发布到勒索收割隔了 22 个月，这期间任何一天点一下“更新”都能避开。知乎
最难办的是老机器。群晖 SA-26:13 安全公告覆盖到 DSM 7.2.1 为止，6.x 不在名单里，补丁序列停在 SA-24:20 那一版，之后再无更新。这类设备往往恰恰是服役多年、还开着公网映射的那批。11月上旬，B站上一条主打“冷备份才保命”的视频拿到五千多次播放、194 个点赞，算是恐慌退潮后的社区共识。知乎哔哩哔哩
事发前还能做的事很具体：把 DSM 升到公告覆盖的版本，关掉管理面和 Web 套件的公网直接映射，开启两步验证，备份账号不给删除权限，再留一份物理断网或云端、攻击者删不掉的副本——蓝点网的做法是用 Cloud Sync 把重要文件与网盘双向同步，恢复时靠网盘侧的历史版本回滚。关键是对方保存了攻击者删不掉的版本。知乎
边界也要说清：“大规模沦陷”目前没有可核实的统计，社区流传的赎金金额等细节也缺可靠来源。被加密的文件暂无公开的通用解密工具，媒体的口径是基本没有恢复可能。知乎
