Ransomware szyfruje dyski sieciowe Synology: CERT Polska ostrzega, producent prosi o aktualizację. Jak w kwadrans sprawdzić wersję DSM, odciąć panel NAS od internetu i co zrobić, gdy pliki mają już końcówkę .L0CK3D

Co się dzieje

Synology zidentyfikowało atakujących, którzy wykorzystują lukę załataną w grudniu 2024 r., żeby dostać się na urządzenia z przestarzałymi wersjami DSM, czyli systemu operacyjnego tych dysków. Cel jest prosty: zaszyfrować dane i wymusić okup. Firma „stanowczo zaleca” aktualizację i włączenie automatycznych aktualizacji. Komunikat jest krótki, nie podaje numeru luki ani liczby ofiar. Według BleepingComputer poprzednie takie ostrzeżenie producent wydał w sierpniu 2019 r.

Branżowe serwisy opisały, co widzą ofiary. Ransomware nazywa się C3RB3R (odmiana Cerbera), zaszyfrowane pliki dostają rozszerzenie .L0CK3D, a w każdym folderze pojawia się plik read-me3.txt z żądaniem kupna dekryptora w sieci Tor. Pierwsze zgłoszenia na forach pojawiły się w połowie października. Według badaczy z Qihoo 360 program omija katalogi systemowe, żeby urządzenie nie zawiesiło się w trakcie szyfrowania.

Jest jedna rozbieżność, o której trzeba wiedzieć. Synology wskazuje lukę z 2024 r. (CVE-2024-10441 z komunikatu SA-24:20: zdalne wykonanie kodu bez logowania, ocena 9,8 na 10). Badacze z 360 twierdzą, że C3RB3R wchodzi przez dwie luki załatane dopiero 18 września 2026 r. (CVE-2026-13639 i CVE-2026-13684 z komunikatu SA-26:13, też 9,8, też bez logowania). CERT Polska w komunikacie 208/2026 wymienia wszystkie trzy. Dla Ciebie wniosek jest ten sam: liczy się tylko najnowsza wersja naprawcza, nie „jakaś aktualizacja z zeszłego roku”.

Dlaczego NAS w małej firmie to łatwy cel

NAS kupuje się raz i zapomina. Stoi na szafie, działa latami, nikt nie loguje się do jego panelu, bo pliki po prostu są w sieci. Tymczasem to pełny komputer z własnym systemem, który wymaga poprawek tak samo jak laptop. Luka z komunikatu SA-24:20 ma dwa lata, a mimo to nadal są urządzenia, na których działa.

Druga sprawa to dostęp z zewnątrz. Żeby właściciel mógł otworzyć ofertę z domu, ktoś kiedyś przekierował na routerze port do NAS-a albo włączył usługę zdalnego dostępu. Od tej chwili panel logowania urządzenia jest widoczny dla całego internetu, a wszystkie trzy wymienione luki da się wykorzystać bez znajomości hasła. BleepingComputer radzi wprost: dopóki nie zaktualizujesz, zablokuj dostęp do panelu DSM z internetu.

Trzecia sprawa to kopie zapasowe. W wielu firmach NAS jest jednocześnie miejscem pracy i jedyną kopią. Z raportu CERT Polska za 2025 r. wynika, że ataków ransomware było w Polsce 179, najwięcej w historii, a operatorzy starają się przy okazji zniszczyć kopie zapasowe. Zaszyfrowany NAS z jedyną kopią to firma bez dokumentów.

Kwadrans na sprawdzenie wersji

Zaloguj się do panelu DSM z komputera w firmowej sieci i odszukaj numer wersji systemu w ustawieniach aktualizacji. Zapisz go i porównaj z listą wersji naprawczych z komunikatu CERT Polska. Bezpieczna jest wersja równa lub nowsza od wersji naprawczej dla Twojej gałęzi. DSM 7.1: 7.1.1-42962-7. DSM 7.2: 7.2-64570-4. DSM 7.2.1: 7.2.1-69057-12. DSM 7.2.2: 7.2.2-72806-9. DSM 7.3: 7.3.2-86009-4. DSM 7.4: 7.4-90075. Jeśli masz starsze urządzenie z DSM 6.2, komunikat Synology SA-24:20 wskazuje wersję 6.2.4-25556-8 jako minimum dla luki z 2024 r., ale taki system nie dostaje już poprawek z września 2026 r.

Uwaga na dwie pułapki. Po pierwsze, numer gałęzi (7.2.1) nic nie mówi, liczy się końcówka: 7.2.1-69057-6 łatała lukę z 2024 r., ale dopiero 7.2.1-69057-12 łata te z 2026 r. Po drugie, jeśli urządzenie jest tak stare, że producent nie wydaje dla niego DSM 7, nie ma dla niego poprawki. Wtedy jedyne wyjście to odcięcie go od internetu i plan wymiany.

Po aktualizacji włącz automatyczne instalowanie poprawek. Synology i CERT Polska zalecają to w obu komunikatach. W małej firmie, w której nikt nie zagląda do panelu, to jedyna metoda, żeby za rok nie czytać podobnego tekstu.

Odetnij panel od internetu

Najskuteczniejsze zabezpieczenie nie kosztuje nic: panel NAS ma być dostępny tylko z sieci firmowej. Sprawdź na routerze, czy nie ma przekierowania portów do NAS-a, i je usuń. Jeśli ktoś naprawdę musi pracować na plikach z domu, niech łączy się przez VPN z firmową siecią, a nie wprost z internetu do urządzenia. Jeśli korzystasz z usługi zdalnego dostępu producenta, ogranicz ją do aplikacji, których używasz, i wyłącz logowanie do panelu administracyjnego z zewnątrz.

Druga warstwa to konta. Wyłącz domyślne konto administratora i stwórz własne z inną nazwą. Włącz uwierzytelnianie dwuskładnikowe dla wszystkich kont, które mogą zmieniać ustawienia. Ustaw automatyczną blokadę adresu po kilku nieudanych próbach logowania. Uruchom wbudowany w DSM Security Advisor, który skanuje ustawienia i wypisuje, co jest ustawione słabo. To narzędzie producenta, nie dodatkowy zakup.

Trzecia warstwa to kopia poza NAS-em. Pisaliśmy o tym w tekście o zasadzie 3-2-1: jedna kopia na odłączanym dysku, jedna w innej lokalizacji. Ransomware, który szyfruje NAS, szyfruje też kopie trzymane na tym samym urządzeniu. Jeśli NAS robi kopie na drugi NAS w tej samej sieci, obie mogą paść tego samego wieczoru.

Jeśli już widzisz pliki .L0CK3D

Odłącz urządzenie od sieci, najprościej wyciągając kabel. Nie wyłączaj go i nie formatuj: specjalista może potrzebować logów. Nie klikaj w linki z notatki. Zgłoś incydent do CERT Polska przez formularz na stronie cert.pl i na policję. Sprawdź, czy na NAS-ie były dane osobowe klientów lub pracowników: jeśli tak, masz 72 godziny na ocenę, czy zgłosić naruszenie do UODO, o czym pisaliśmy przy okazji zgubionego telefonu. Dopiero potem odtwarzaj dane z kopii, na czystym, zaktualizowanym urządzeniu.

Co z tego dla Ciebie

1. Dziś: zaloguj się do NAS-a z firmowej sieci, odczytaj wersję DSM i porównaj z listą z komunikatu CERT Polska. Starsza niż wersje naprawcze? Aktualizuj od razu, w godzinach, gdy nikt nie pracuje na plikach.
2. Dziś: sprawdź na routerze przekierowania portów i wyłącz te, które prowadzą do NAS-a. Dostęp z domu załatw przez VPN.
3. W tym tygodniu: włącz automatyczne aktualizacje, uwierzytelnianie dwuskładnikowe i automatyczną blokadę logowań, wyłącz domyślne konto administratora, uruchom Security Advisor.
4. W tym tygodniu: upewnij się, że kopia zapasowa danych z NAS-a leży poza nim, na odłączanym dysku albo w chmurze, i zrób test odtworzenia jednego folderu.
5. Zapisz w jednym miejscu, kto w firmie ma hasło do NAS-a i do routera. Jeśli odpowiedź brzmi „informatyk, który robił to dwa lata temu”, zadzwoń do niego dziś.

Stan na: 06.11.2026. Tekst nie jest poradą prawną.