群晖遭勒索，换个牌子就安全？我查了4家NAS的账，没一个干净的
10月底那波群晖勒索风暴过去半个多月，我的NAS群已经从"中招了吗"变成了"要换吗"。被加密的文件统一加上.LOCK3D后缀，目录里躺着一封read-me3.txt勒索信。群晖也在10月29日罕见发布新闻稿确认在野攻击。恐慌之下，最常被问的一句话是——“那我换威联通/极空间是不是就没事了？”知乎知乎知乎
先给结论：不会。换品牌只是换了一种欠债方式。我翻了美国政府KEV"已被利用漏洞清单"和各厂商公告，截至11月6日，清单里被明确标注"被勒索团伙使用"的NAS与网络设备漏洞共14条。威联通一家就占了其中9条——4条出在相册类套件，5条出在系统本身。群晖在这列是0？不是它安全，是这波事件太新，KEV是滞后指标，不是体检报告。知乎
而且有个更扎心的真实案例：一位威联通用户在群晖事发后连夜自查自家TS-251——他确信自己"从没做过公网映射"，却在数据卷根目录翻出一个随机字符串命名的隐藏目录，里面两个恶意样本已经躺了118天。救他的不是安全配置，是动态IP的运气。沦陷不打招呼，它只是没惊动你。知乎
为什么偏偏是NAS挨打
把它当一台电脑看，而不是"网盘盒子"，就懂了：它永远在线，攻击者有的是时间慢慢试；它常常能从外面打开，端口转发、厂商中继、内网穿透，每一条便利都是一扇门；最要命的是它装着你的"备份"——电脑一份、NAS一份，加密它一台，等于把你所有退路一次性收走。“我有快照”，是这轮事件里最贵的错觉。知乎
顺带说个反直觉的事实：官方在2024年12月就发过修复，药发了快两年，设备却没吃。攻击者不需要"盯上你"，只需要"扫到你"——受害者彼此毫无关系，只是恰好都在网上。知乎知乎
各家都有哪本难念的账
群晖：欠的是"补丁债"。本体更新勤快，但相册、Web Station这些套件底下压着PHP，入口全出在套件上。
威联通：近期又因Plex Media Server的"Plex2Shell"漏洞链发安全通告，并收到疑似入侵报告。别急着升级系统就完事，先数数装了哪些还在对外提供页面的套件。知乎
TrueNAS：一个11月刚公开的高危漏洞让单机社区版也能被同网段设备直接拿管理员权限，修复版25.10.8。知乎
Unraid：常年以root跑、插件不经审核，"Host网络+Tailscale"这种两个正常功能的组合都能叠出免认证入口。
停产设备：厂商不再发补丁，漏洞永久有效。判断标准就一句话：它明年还收得到安全更新吗？
普通人真正该做的3件事
把套件一起更新，不是只升系统；没用的对外服务（相册公开分享、旧Web套件）直接卸掉。
收紧暴露面：管理界面别裸映射公网，"改个端口号"不算安全措施；能关中继就关，远程访问改用按需组网。
备份离开这台机器：3-2-1里那份"另一份"必须在NAS之外（离线盘或异地），并且定期演练一次真恢复——快照不验证，等于没备份。
回到开头那个问题：换牌子买不来安全。真正决定风险的只有两个你能控制的变量：补丁延迟有多长，退路有多硬。把这两件事做完，用什么牌子都不慌；做不完，换到谁家都是下一个新闻标题。
