本文關鍵術語

看不懂的名詞，點一下就會在術語表顯示該字卡（另開新分頁）。內文中的虛線底線詞，也都可以點。

查看本文全部術語（44 則）→

一分鐘版本

一個關鍵細節：備份也會被連帶加密

勒索程式會遍歷所有掛載的儲存空間，同一台機器上可寫入的備份目錄也會一起被加密。有一位 Reddit 用戶的 DS918+ 管理介面直接對外、約 18 個月沒更新，被攻擊後追查到 CVE-2024-10441，但他的 3-2-1 備份讓他似乎沒有損失資料。這就是「備份決定結果」最直接的例子。另外有用戶反映，DSM 畫面顯示「已是最新」，但重大安全更新仍需手動安裝，請務必點進去確認實際版本號。

QuickConnect：你以為「沒開埠」，其實是 Synology 幫你開了一條路

QuickConnect 是很多人不清楚內部運作的一塊黑箱。原廠其實有公開白皮書說明機制，值得花五分鐘看懂，再決定要不要開。

它怎麼運作（依原廠白皮書）。連線會依序嘗試三個階段：

另外還有固定網址的 Web Portal（quickconnect.to／ID）。白皮書列出它可以連到的服務，包含 DSM 管理介面與 File Station 等。

為什麼值得留意：

建議做法：

不只群暉：QNAP 的 myQNAPcloud 也發生過爭議

QNAP 用戶也有類似的雲端轉送服務 myQNAPcloud。它在 2025 年底曾捲入一場各說各話的事件，值得放在一起看。

發生了什麼。2025 年 12 月 22 日（QNAP 上櫃當天），媒體報導駭客組織 KaruHunters 在暗網宣稱取得 myQNAPcloud 的內部存取權限與約 1.7TB 資料，開價 400 美元兜售。

QNAP 的回應。官方聲明指出，駭客揭露的受害裝置是搭載 QTS 4.3.6 的 TS-228，PSIRT 研判較可能是單一使用者端的問題，例如弱密碼、網路設定不當、服務直接暴露在公網，且沒有啟用 QNAP 提供的存取防護。官方也說，該用戶並未啟用 myQNAPcloud 安全連線服務，查無 myQNAPcloud 平台的漏洞或遭入侵跡象。

這件事能確定與不能確定的。駭客的說法與官方的說法，目前沒有第三方證據可以判定誰對，這裡不下結論。但可以確定的是：官方指出的受害裝置是舊版 QTS 的老機型，而且是直接對外暴露。這和這次群暉事件的共通教訓一致，被攻破的往往是「對外又沒維護」的設備。

另外，myQNAPcloud 相關元件過去也公布過弱點，這些是原廠公告並修補的弱點，不是已證實的入侵事件：

該學到的：不論是 QuickConnect 還是 myQNAPcloud，這類「廠商幫你轉送」的服務都是對外入口，要照對外的標準管理：用不到就關、只開需要的應用、帳號與雙重驗證照做、相關套件也要更新。同時也要明白，平台本身是否出事，用戶看不到也驗證不了，所以不要把所有信任都押在它身上，備份仍是底線。

華芸的 EZ Connect 也出過事：2022 年 DeadBolt 的前車之鑑

ASUSTOR 用戶用的雲端轉送服務是 EZ Connect。它在 2022 年也捲入過一次大規模勒索事件。

發生了什麼。2022 年 2 月，DeadBolt 勒索軟體繼 QNAP 之後，也攻擊了華芸 NAS，受害者被要求支付 0.03 BTC 取回解密金鑰。攻擊者另外向華芸索取 7.5 BTC 換取漏洞細節、50 BTC 換取主金鑰。

入口是什麼。當時的報導指出，疑似與 EZ Connect 有關，另有說法指向 Plex 伺服器，確切入口在當時的報導裡都標示為尚未確認。官方的反應是：暫時停用 EZ-Connect、EZ Sync 與 ezconnect.to 以便調查，並建議用戶變更預設連接埠（8000、8001、80、443）、關閉 EZ Connect、立即備份、關閉 Terminal／SSH 與 SFTP。

已中招的官方建議。拔掉網路線、長按電源鍵關機、不要初始化（會清除資料）、聯絡技術支援。這和前面「記憶體取金鑰」那段可以對照著看：原廠當時的處置，也是以關機止血、保住資料為優先。

之後同家族的 EZ Sync 也公布過弱點，這些是公告，不是已證實的入侵事件：

該學到的：勒索軟體不挑品牌，挑的是「對外暴露、又沒維護」的設備。2022 年 DeadBolt 先打 QNAP、再打華芸，這次輪到群暉，劇本很像。三家的雲端轉送服務（QuickConnect、myQNAPcloud、EZ Connect）都該當成對外入口管理，不要因為「不用設定連接埠」就覺得它不算對外。

VPN／Tailscale 是更好的入口，但不是免檢查的保險箱

把遠端存取從「對外開埠」改成 VPN，方向是對的。但這幾天 Tailscale 剛好上了新聞，提醒我們：VPN 只是換了一個要顧的入口。

發生了什麼。10 月 25 日，Cyberdione Labs 研究員 Erica Windisch 公開名為 Tailworm 的報告，列出 11 個弱點，涵蓋 Tailscale SSH、tailscale serve、app connector 與自架控制伺服器 headscale。報告是在官方尚未修補、也沒有協調揭露的情況下公開的。Tailscale 在 10 月 28 日釋出 1.104.4，修補其中 SSH 與 Serve 的問題（公告 TS-2026-014 到 017）。官方指出穩定版的 app connector 不受影響；自架控制伺服器相關的阻斷服務問題是否已修補，官方文章沒有明說，請以官方安全公告為準。

對 NAS 用戶的實際影響有多大。最嚴重的一項（透過 SSH 提升到 root 權限），要同時滿足：啟用 Tailscale SSH 並允許連接埠轉送、攻擊者已經控制 tailnet 裡的某一台裝置、而且存取規則允許它連到目標。官方強調，這些問題不允許未經驗證的攻擊者連上任意 Tailscale SSH 伺服器，攻擊者能碰到的也只限存取規則原本就允許連線的機器，報告名稱裡的「蠕蟲」並不精確。大多數只是用 Tailscale 連回 NAS 存取檔案的人，並不符合這些條件。

要學到的三件事：

雙重驗證（2FA）算不算防勒索？算一半：它擋的是「猜密碼」，不是「不用密碼的漏洞」

社團裡常有人問：NAS 登入開了 2FA，是不是就不怕勒索病毒了？答案是：要開，但它只擋其中一類攻擊。把它想成「鎖門」，鎖得再好，也擋不了從牆縫鑽進來的人。

2FA 擋得住的：靠「帳號密碼」闖進來的攻擊。

2FA 擋不住的：

「驗證放在哪裡」很重要。DSM 自己的 2FA 發生在 NAS 上，如果漏洞出在登入流程之前，就會被繞過。像 Cloudflare Access 這類方案，是在請求到達 NAS 之前先驗證身分，所以才能把不需登入的漏洞擋在門外。這也是前面建議「把驗證放在前面」的原因。

一句話整理：2FA 是鎖門，防的是有人拿鑰匙（密碼）進來；漏洞攻擊是從牆縫進來，要靠更新與縮小對外入口；而備份是房子萬一被燒了，你還有保險。三者缺一不可，不能因為開了 2FA 就放鬆其他兩項。

限制要講清楚：這不是修補。零時差攻擊在特徵碼發布前擋不住，攻擊者可能以變形手法繞過，也可能誤擋正常流量。不要假設廠商已經有 CVE-2024-10441 或這波攻擊的特徵碼，請到你使用的廠牌的 IPS／IDP 特徵碼清單查詢，確認有對應項目且特徵碼庫是最新的。啟用後要看日誌，確認有「阻擋」記錄，而不是只「記錄」不處理。它的定位是爭取時間，目標還是盡快更新或汰換。

把風險講清楚，由業主決定

顧問的責任是把風險講清楚，決定權在業主。若業主在充分理解後選擇先不汰換，那是他的經營決定。但要讓這個決定站得住腳：

想想而已的可能性：期盼「不關機，就能從記憶體撈出金鑰」

理論上可行，歷史上也真的成功過，但條件非常苛刻。最著名的例子是 2017 年的 WannaCry。研究者做出 WannaKey／WanaKiwi 工具，能從記憶體找回解密所需的質數，但只在 Windows XP 到 7 有效，而且要求機器自感染後沒有重開機、記憶體沒被覆寫、惡意程式的執行程序還沒被終止。研究者自己也說，這要靠一點運氣。Windows 10 因為系統會清除記憶體，這招就不成立。

這次的狀況更不利。報導指出 C3RB3R 用 RSA-2048 保護金鑰，能解密的私鑰在攻擊者手上，NAS 跑的也不是那個 Windows 弱點。目前沒有確認可用的 C3RB3R 公開解密工具，更沒有現成的記憶體取金鑰程式可用。

時間窗口很難碰到。重開機就消失，時間越久也越可能被覆寫。你得在加密進行中或剛結束時就發現、立刻判斷不要動、手邊剛好有現成程式，而且有懂行的人能馬上執行。當年 WanaKiwi 連頂尖研究者都是連續熬夜才把工具做出來，一般單位手邊不可能剛好備有。

結論：這屬於「想想而已」等級的可能性。加密還在跑就關機止血，把力氣放在快照與異地備份，這才是真正救得回來的路。

一個真實但未經查證的例子

社群中有受害者轉述：他討價還價後，以約七折支付了 0.0259 BTC，拿到解密金鑰，卻還得自己用 AI 逆向寫出解密工具，才能跑解密程序。這是單一、未經查證的轉述，不能當成普遍現象，但它提醒了四件事：

建議一般不要付。若業主在完全知情的情況下仍要考慮（例如完全沒有備份、資料攸關營運），請把它當成最後手段，先保全加密副本、找專業鑑識或談判人員協助，再經法務評估，不要自己直接匯款。

結語：漏洞是 2024 年的，攻擊卻是這個禮拜的

這件事最讓我在意的，不是 L0CK3D 這個名字，而是它再次證明：真正擋住這類攻擊的，從來不是某一個神奇的產品，而是三件很不起眼的事。

先封入口，讓攻擊者碰不到。

再補強系統，讓已知的洞不再是洞。

最後守住備份，讓最壞的情況也救得回來。

請大家互相提醒，尤其是有對外開放連接埠的朋友，優先檢查。有問題歡迎留言討論，一起把風險降下來。