Synology ha avisado de ataques del ransomware C3RB3R contra NAS con DiskStation Manager (DSM) desactualizado. Los atacantes explotan fallos ya corregidos para cifrar archivos y extorsionar. Si tu empresa usa un NAS Synology, sobre todo si es accesible desde internet, comprueba hoy la versión de DSM, actualiza y corta el acceso remoto a la administración.
Lo esencial
- Synology afirma que hay atacantes explotando una vulnerabilidad corregida a finales de 2024 en versiones obsoletas de DSM. El aviso que enlaza lista tres CVE: CVE-2024-10441 (CVSS 9.8, ejecución remota de código en el demonio de plugins del sistema), CVE-2024-50629 (lectura de archivos) y CVE-2024-10445 (escritura de archivos). No ha concretado cuál se explota.
- Versiones corregidas: DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 y 6.2.4-25556-8, o superiores en cada rama.
- Según Qihoo 360, C3RB3R también ha explotado dos fallos de DSM corregidos en septiembre de 2026: CVE-2026-13684 y CVE-2026-13639, ambos con CVSS 9.8.
- Los archivos cifrados llevan la extensión .L0CK3D y el ataque deja una nota llamada read-me3.txt. Los primeros informes de víctimas surgieron hace más de dos semanas, según BleepingComputer.
- Shadowserver rastrea más de 380.000 NAS Synology expuestos a internet. No indica cuántos están protegidos ni cuántos son honeypots.
¿Me afecta si tengo un NAS Synology en la oficina?
Sí, si no lo has actualizado. El riesgo es mayor si el NAS es accesible desde internet: por ejemplo, porque abriste la interfaz web para entrar desde casa o para que un proveedor lo gestione en remoto.
En una pyme el NAS suele hacer de servidor de archivos y, muchas veces, también de destino de las copias de seguridad. Si C3RB3R entra, puede cifrar los documentos y el respaldo a la vez. Las fuentes no dan una cifra de equipos expuestos en España.
¿Cómo sé si ya me han atacado?
Busca dos señales: archivos con la extensión .L0CK3D y un archivo read-me3.txt en las carpetas compartidas. Si aparecen, no actualices ni reinicies a ciegas. Desconecta el NAS de la red y avisa a quien lleve tu informática. Actualizar cierra la puerta, pero no deshace un cifrado que ya ha ocurrido.
¿Por qué ahora, si el fallo se corrigió en 2024?
Porque muchos NAS no se actualizan nunca. Se instalan, funcionan y nadie vuelve a tocarlos. Synology rara vez emite avisos de ataques contra sus clientes: el anterior fue en agosto de 2019, por ataques de fuerza bruta que acabaron en infecciones de eCh0raix. Que hable ahora indica que la oleada es seria. Un detalle: The Hacker News y BleepingComputer no coinciden en el mes de la corrección (noviembre o diciembre de 2024), y no hemos podido consultar el aviso original de Synology.
Qué hacer hoy
- Comprueba la versión de DSM de cada NAS que tengas.
- Actualiza a la versión corregida de tu rama o, mejor, a la última disponible, que incluye las correcciones de septiembre de 2026.
- Activa las actualizaciones automáticas, como recomienda Synology.
- Bloquea el acceso a la interfaz web de administración desde internet.
- Si necesitas entrar en remoto, hazlo por VPN en lugar de exponer el NAS.
- Verifica que tienes una copia de seguridad fuera del NAS, desconectada o inmutable, y que puedes restaurarla.
- Si encuentras archivos .L0CK3D, desconecta el equipo y avisa a tu proveedor de TI.
Qué significa para una pyme
El problema no es Synology. Es tratar el NAS como un electrodoméstico. Un equipo que guarda toda la documentación de la empresa merece el mismo cuidado que un servidor: parches, acceso restringido y alguien responsable de revisarlo.
Fíjate en que C3RB3R no depende de un único fallo. Explota uno corregido a finales de 2024 y, según Qihoo 360, otros dos corregidos este septiembre. Parchear una vez no basta; hay que mantenerlo al día. Por eso las actualizaciones automáticas tienen sentido en una empresa sin equipo de TI propio.
Y la lección de fondo: si tu única copia de seguridad está en el mismo NAS que tus archivos, no tienes copia de seguridad frente al ransomware. Una copia fuera del equipo, que el atacante no pueda tocar, es lo que decide si un ataque es un mal día o una crisis. Si no sabes cómo está montado lo tuyo, revisarlo es parte de lo que hacemos en ciberseguridad para pymes.
Preguntas frecuentes
¿Basta con actualizar DSM?
Para cerrar los fallos conocidos, sí, siempre que llegues a la última versión. Pero conviene además quitar la administración de internet y tener una copia fuera del NAS. Si ya estás cifrado, actualizar no recupera los datos.
¿Qué versión de DSM necesito como mínimo?
Para los fallos de 2024: 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 o 6.2.4-25556-8, según tu rama. Para cubrir también los de septiembre de 2026, instala la última disponible.
¿Tengo que avisar a la AEPD si me cifran el NAS?
Si hay datos personales afectados y la brecha supone un riesgo para las personas, el RGPD obliga a notificarla en un plazo de 72 horas. Esta obligación es general del RGPD, no algo específico de este aviso.
