群晖NAS遭勒索风暴：补丁两年前就有，中招的都在公网裸奔
半夜两点，NAS的硬盘灯突然狂闪，像有人在里面疯狂搬家。等你第二天打开共享文件夹，心直接凉半截：照片、片库、工作文档，后缀全变成了.L0CK3D，每个目录里还躺着一封read-me3.txt勒索信。知乎哔哩哔哩
这不是电影。10月底开始，一场针对群晖NAS的勒索风暴集中爆发，个人、工作室、小微企业接连中招，社交平台上全是晒勒索信的截图。有公司20TB数据被整盘加密，用解密工具硬啃36小时才救回10TB；还有用户近30TB数据被锁，几乎全军覆没。微博哔哩哔哩
先说结论：这波攻击靠的不是什么新漏洞，而是老漏洞加侥幸心理。
补丁放了快两年，为什么还有人中招
群晖官方在10月底发布公告确认：黑客利用的是2024年12月就已修复的漏洞，并非新版DSM的0day。换句话说，门早就补好了，只是很多人一直没换。微博微博
再看中招设备的共同点，不是"用了群晖"，而是管理口直接挂在公网上。5000、5001端口一映射，DSM登录界面就暴露在全世界扫描器眼前。互联网上每时每刻都有自动化扫描在找这种口子——你开着门，它迟早进来。群晖官方应急建议的第一条，就是移除管理界面的公网暴露，改用VPN类通道访问。知乎
"升到最新版也中招"是真的吗
有用户反馈升到DSM 7.4.1 Update 1仍被加密，"全网0day"的说法随之流传。但目前安全团队的排查方向是：这些案例更可能来自第三方套件或泄露的账号凭据，而非DSM本体的0day——“最新版有受害机"不等于"最新版有0day”，官方至今没有确认过任何0day。知乎哔哩哔哩
所以别被标题吓破胆，也别觉得与自己无关。入口就两扇门：没打补丁的旧系统，和公网裸奔的管理口；再来路不明的套件和弱口令算半扇侧门。把门堵上，风险就降掉一大半。
今晚就能做的五件事
关掉路由器里指向NAS的端口映射，远程访问改走VPN或内网穿透工具，让NAS在公网上"隐身"；
打开DSM自动更新，别再信"出厂版本最稳定"；
禁用默认admin账号，给管理员账号上双重验证；
备份别只在NAS内部自我复制——这次不少人的在线备份被一起加密。定期做快照，再留一份拔掉网线的冷备份，那才是真底牌；
已经中招的，先别关机。加密过程可能在内存里留下密钥，立刻断电反而断了最后一条生路。正确顺序是：断网隔离，再找专业工具或人员取证恢复。微博
写在最后
群晖用户协议里白纸黑字：数据丢失，官方不赔。这话残酷，但也是所有NAS玩家早晚要面对的现实——私有云不等于保险箱，数据安全的钥匙从来在自己手里。知乎
勒索病毒不挑品牌，挑的是"公网开着口、补丁不打、备份没有"的裸奔姿势。这次风暴给所有NAS用户提了个醒：别把管理口挂给全世界，补丁勤快点，冷备份留一份。三件事做到，再大的风暴也吹不进你的硬盘。
