CiberseguridadNASCopias de seguridad

Ransomware contra NAS Synology desactualizados: cómo comprobar el suyo y protegerlo

Por Abant SistemasPublicado el 30 de octubre de 2026Actualizado el 31 de octubre de 2026

El 29 de octubre de 2026, Synology publicó un aviso poco habitual: hay atacantes aprovechando una vulnerabilidad de su sistema DSM para entrar en NAS desactualizados, cifrar los datos y pedir un rescate. El mismo día, la empresa de seguridad china 360 describió el ransomware que está detrás, una variante de Cerber llamada C3RB3R que lleva atacando NAS Synology desde principios de mes. No hace falta que nadie pulse nada: si el NAS es accesible y no tiene las últimas actualizaciones, el atacante entra solo.

En muchas pymes, el NAS guarda los documentos de la empresa y también sus copias de seguridad. Si lo cifran, se pierden las dos cosas a la vez. Compruebe hoy qué versión de DSM tiene.

Qué ha pasado

Synology pide a todos los usuarios con versiones vulnerables que actualicen DSM de inmediato y que activen las actualizaciones automáticas. En su comunicado dice que la vulnerabilidad explotada se corrigió en diciembre de 2024 y enlaza al aviso Synology-SA-24:20. Es el conjunto de fallos que se demostraron en el concurso de hacking Pwn2Own de octubre de 2024. El más grave, CVE-2024-10441, permite ejecutar código de forma remota sin contraseña, y hace pocos días se publicó en GitHub una prueba de concepto que explica cómo explotarlo desde la página de inicio de sesión de DSM. Eso pone el ataque al alcance de cualquiera contra los NAS que llevan casi dos años sin actualizar.

El informe de 360, en cambio, señala como puerta de entrada dos fallos más recientes, CVE-2026-13639 y CVE-2026-13684. Ambos tienen una puntuación de 9,8 sobre 10, no requieren contraseña y Synology los corrigió el 18 de septiembre en el aviso Synology-SA-26:13. Además, el equipo de respuesta a incidentes Solar ha analizado un NAS cifrado que tenía DSM 7.4.1-90080 Update 1, una versión publicada en octubre. A 31 de octubre no está demostrado que se trate de un fallo nuevo: no se sabe si el NAS ya estaba comprometido antes de actualizarse. Otros informes apuntan a contenedores Docker expuestos y a paquetes afectados por PHP2Shell (aviso Synology-SA-26:14), y no se descartan contraseñas robadas. Los casos se dispararon el 28 y el 29 de octubre.

Que las fuentes no coincidan no cambia lo que hay que hacer. Las versiones actuales de DSM corrigen los dos avisos, así que la medida es la misma: tener DSM y los paquetes al día. Lo que sí indica es que la actualización por sí sola no basta, y que conviene revisar también cómo está expuesto el NAS y dónde están las copias.

Cómo actúa C3RB3R

Cifra los archivos directamente en el NAS, no a través de un ordenador conectado a las carpetas compartidas.
Añade a los archivos la extensión .L0CK3D y deja en cada carpeta una nota de rescate llamada read-me3.txt.
Usa un cifrado sólido (ChaCha8 con claves protegidas por RSA-2048). Quitar la extensión no recupera nada y, a 31 de octubre, no hay ninguna herramienta gratuita de descifrado.
La nota remite a una web en la red Tor que pide el pago en bitcoins y ofrece descifrar un archivo de prueba. Pagar no garantiza recuperar nada.
Respeta las carpetas del sistema para que el NAS siga funcionando y la víctima pueda leer la nota.

Qué versiones están corregidas

Compruebe que su NAS tiene, como mínimo, la versión de su rama que aparece en esta tabla. Cualquier versión posterior de la misma rama también está corregida.

Rama de DSM	Corrige SA-26:13 (septiembre de 2026)	Corrige SA-24:20 (2024)
DSM 7.4	7.4-90075	Sí
DSM 7.3	7.3.2-86009-4	Sí
DSM 7.2.2	7.2.2-72806-9	Sí (desde 7.2.2-72806-1)
DSM 7.2.1	7.2.1-69057-12	Sí (desde 7.2.1-69057-6)
DSM 7.2	No figura en el aviso	7.2-64570-4
DSM 7.1	No figura en el aviso	7.1.1-42962-7
DSM 6.2	No figura en el aviso	6.2.4-25556-8

Si su NAS sigue en DSM 7.2 sin el .1 o el .2, actualícelo a la última versión que ofrezca, porque el aviso de septiembre solo corrige las ramas posteriores. Si se ha quedado en DSM 7.1 o 6.2, como pasa con algunos modelos antiguos, puede tener corregido el fallo de 2024 pero no el de septiembre de 2026, porque ese aviso no incluye esas ramas. En ese caso, como mínimo, no lo deje accesible desde internet, y vaya pensando en sustituirlo.

Qué hacer hoy

Mire la versión. En DSM, Panel de control, Centro de información, pestaña General. Compárela con la tabla anterior.
Actualice DSM. En Panel de control, Actualizar y restaurar. Antes de hacerlo, asegúrese de tener una copia de los datos importantes fuera del NAS. Después, en el mismo apartado, active las actualizaciones automáticas, al menos las de seguridad.
Actualice los paquetes. En el Centro de paquetes, instale todas las actualizaciones pendientes. En octubre también se han corregido fallos graves en los paquetes de PHP, Synology Calendar y Mail Station.
Revise si el NAS se ve desde internet. Mire en el router si hay puertos abiertos hacia el NAS (los habituales son 5000 y 5001 para la administración, pero puede haber otros) y en DSM, en Acceso externo, si QuickConnect está activado. La administración del NAS no debería estar abierta a internet. Para trabajar desde fuera, lo correcto es una VPN.
Endurezca el acceso. Active la verificación en dos pasos en las cuentas de administración, desactive la cuenta admin por defecto si sigue activa, quite permisos de administrador a quien no los necesite y compruebe que el bloqueo automático de IPs tras varios intentos fallidos está activado en Panel de control, Seguridad.
Desinstale lo que no use. Cada paquete, contenedor o enlace compartido que nadie usa es una puerta más que hay que mantener cerrada.

Las copias, lo más importante

Actualizar evita esta entrada concreta, pero la siguiente vulnerabilidad llegará. Lo que decide si un ataque de ransomware es un mal día o el cierre de la empresa es si existe una copia que el atacante no pueda tocar.

El RAID no es una copia de seguridad. Protege frente a un disco que se estropea, no frente a un cifrado: cifra todos los discos a la vez.
Una copia en otra carpeta del mismo NAS, o en un disco que está siempre conectado a él, cae con el NAS.
Las instantáneas (snapshots) ayudan mucho a recuperarse, sobre todo si se configuran como inmutables, que es una opción disponible desde DSM 7.2 en volúmenes Btrfs. Así ni siquiera un administrador puede borrarlas antes de que caduquen.
Debe haber al menos una copia fuera del NAS y fuera del alcance de sus credenciales: otro NAS en otra ubicación, un servicio en la nube con versiones e inmutabilidad, o un disco que se desconecta después de cada copia.
Una copia que nunca se ha restaurado es una suposición. Haga una prueba de restauración de vez en cuando.

Cómo saber si ya le han atacado

Busque archivos con la extensión .L0CK3D o notas llamadas read-me3.txt en las carpetas compartidas.
Revise en el Centro de registros los inicios de sesión desde direcciones o países que no reconozca y los cambios masivos de archivos en poco tiempo.
Compruebe que no haya cuentas de usuario, tareas programadas, paquetes o contenedores que nadie de su empresa haya creado.

Si encuentra archivos cifrados, desconecte el NAS de la red cuanto antes (quite el cable), pero no lo apague, no lo reinicie, no lo formatee ni reinstale DSM. Mientras el proceso de cifrado sigue en marcha, la clave está en la memoria del NAS: en octubre, al menos una víctima la recuperó congelando ese proceso y volcando su memoria, y pudo descifrar sus archivos. No es un método general ni funciona si el cifrado ya ha terminado o el equipo se ha reiniciado, pero apagarlo elimina esa posibilidad y también información útil para entender qué pasó. Conserve la nota de rescate y los registros, avise a su aseguradora si tiene póliza de ciberriesgos y pida ayuda especializada antes de tocar nada más. En España puede notificar el incidente a INCIBE y denunciarlo ante la policía.

Conclusión práctica

Este ataque no aprovecha nada nuevo: entra por fallos corregidos hace semanas o hace casi dos años, en NAS que nadie ha actualizado. Por eso es tan evitable. Un NAS al día, sin la administración abierta a internet y con una copia fuera de su alcance resiste este ataque y la mayoría de los que vendrán.

Si no sabe qué versión tiene su NAS, quién lo actualiza o si sus copias se podrían restaurar mañana, podemos revisarlo con usted.

Fuentes

Información actualizada a 31 de octubre de 2026. Todavía no está confirmado qué vulnerabilidad se usa en cada ataque; ante cualquier duda, prevalecen los avisos de Synology.