Synology NAS 勒索攻擊警示：有備份，為何仍可能失去公司資料？
不少香港中小企使用 NAS 儲存共享文件、客戶資料、會計紀錄，亦會將電腦或伺服器備份集中存放於 NAS。設備平日正常運作，備份工作每天顯示成功，很容易令人以為資料已得到充分保護。
但如果 NAS 本身遭入侵，這些文件與備份，是否仍然可以安全取回？
近期 Synology 發出的勒索攻擊警示，正好提醒企業：NAS 安全需要持續管理，而備份是否有效，最終要看能否還原。
今次 Synology 警示說了甚麼？
Synology 於 2026 年 10 月 29 日發出官方公告，指出有攻擊者利用早前已修補的漏洞，針對仍使用舊版 DSM 系統的設備進行攻擊，目的是加密資料並索取贖金。官方呼籲使用受影響版本的用戶盡快更新 DSM，並參閱 Synology-SA-24:20 安全公告。
另外，Synology 亦已就 PHP2Shell 漏洞發布安全更新。官方說明，其影響限於執行特定 PHP 相依套件的系統，需要按實際安裝的套件檢查及處理。
兩項安全事項應分開理解，不能單憑網上流傳的勒索個案，就認定所有 Synology NAS 都受同一漏洞影響。
對企業而言，最實際的行動，是請 IT 人員核對設備版本、已安裝套件、對外連線及備份保護，而不是單憑品牌或型號判斷是否安全。
1. NAS 仍能正常使用，不代表安全更新已完成
NAS 通常會長時間運作，企業亦可能擔心更新需要重新啟動、影響共享文件，因此一直延後處理。
然而，當漏洞已公開、修補程式已推出，尚未更新的設備仍可能成為攻擊目標。
檢查時，不能只看 DSM 主版本，例如「已經使用 DSM 7」。IT 人員需要核對完整版本及更新編號，並按照官方公告確認是否符合修補要求。
除系統外，亦應檢查：
已安裝套件是否有安全更新。
不再使用的套件是否仍然啟用。
更新通知由誰接收及跟進。
設備是否已停止獲得安全支援。
企業應為安全更新安排負責人及維護時段，並在更新後確認共享文件、備份及必要服務正常運作。
2. 方便遙距存取，也需要管理對外連線
為方便同事在家工作或外出取用文件，部分企業會設定路由器連接埠轉發（Port Forwarding），讓 NAS 的管理介面或其他服務可從互聯網直接連接。
這些設定可能使用多年，當初設定的人已離職，原本需要的服務亦可能早已停用，但對外連線仍然保留。
建議定期檢查：
哪些 NAS 服務可由互聯網連接。
路由器及防火牆保留了哪些轉發規則。
是否仍需讓管理介面直接對外開放。
能否透過受控的 VPN 或其他合適方式提供遠端存取。
管理帳戶、權限及多重驗證設定是否適當。
多重驗證有助保護帳戶，但不能取代漏洞修補。對外服務、系統更新及帳戶管理，需要一併檢視。
3. RAID、同步及快照，各自提供不同保護
「NAS 有幾隻硬碟，壞一隻都不會失去資料」，是常見的理解。
RAID 可以提升硬碟故障時的容錯能力，但當檔案被刪除、覆寫或加密時，變更仍可能反映到整個儲存系統。
同步亦有類似限制。如果某個檔案被加密後同步到另一位置，而目的地沒有可用的歷史版本或保護機制，另一份資料亦可能受到影響。
快照則可協助回復至較早的資料狀態，但仍要確認保留時間、刪除權限及設備支援的保護功能。與正式資料位於同一設備的快照，也需要配合其他備份安排。
企業應清楚知道，每項功能保護的是哪一類風險，以及哪些情況仍需依靠獨立備份恢復。
4. 備份放在同一部 NAS，可能面對共同風險
假設公司每天將電腦備份到 NAS，同時亦把重要文件存放在該部 NAS。
如果 NAS 遭入侵，而攻擊者取得足夠權限，正式文件與備份便可能同時受到影響。
即使有外置 USB 硬碟，如果長期連接並可被系統修改，也不能單憑「多了一隻硬碟」便視為已隔離風險。
設計備份時，應考慮：
保留多個時間點的版本，避免只剩最新一份。
配合離線副本、異地備份或適當的不可變儲存保護。
限制日常帳戶及正式系統修改、刪除備份的權限。
按資料重要程度設定備份頻率及保留時間。
定期檢查失敗通知、儲存容量及保留政策。
具體組合應按公司可接受的資料損失及停機時間決定。會計資料、客戶文件及歷史封存資料，未必適合採用完全相同的安排。
5. 「備份成功」之後，還要測試能否恢復工作
備份系統顯示成功，代表工作已按設定完成；企業仍需要驗證，當真正出事時，能否取回所需資料。
例如，找回一個 Excel 檔案，與恢復整套會計系統，所需步驟可能完全不同。除了資料，亦可能涉及應用程式、設定、權限及其他相依服務。
還原測試應回答以下問題：
能否找到事故發生前、仍然完整的版本？
還原後的文件能否正常開啟？
系統能否正常運作及讓同事使用？
還原所需的帳戶、密碼及加密金鑰是否齊備？
實際需要多久，才能恢復基本營運？
老闆與管理層可以先問一句：
「如果今天無法使用 NAS，公司可以接受停工多久，以及失去多少時間內的資料？」
答案會直接影響備份設計、設備預算及復原安排。
如果已發現文件被加密，應怎樣處理？
如果出現大量文件無法開啟、檔案名稱異常改變，或發現勒索訊息，應立即聯絡 IT 人員處理。
優先工作包括隔離受影響設備、評估相關電腦與備份是否受影響，並按情況暫停可能傳播受損資料的同步工作。
同時應保留系統日誌、勒索訊息及相關時間紀錄，避免自行初始化 NAS、重裝系統或大量刪除檔案，以免破壞調查及復原所需的資料。
恢復服務前，亦需要確認入侵原因已處理，並選擇可信、完整的備份版本，避免恢復後再次受影響。
NAS 安全，是持續的企業 IT 管理工作
NAS 安裝完成，只是開始。
之後的系統更新、套件管理、帳戶權限、對外連線、備份檢查及還原測試，都需要有人持續負責。
對中小企而言，值得追問的不只是「有沒有備份」，還包括：備份能否在事故中保留下來，以及公司能否在可接受的時間內恢復工作。
i-Success 為香港中小企提供 IT 支援及管理服務，協助檢視 NAS、網絡與備份安排，按實際業務需要提出改善方向。
如希望了解公司現有 NAS 的安全及備份狀況，歡迎聯絡我們。
官方參考資料
Synology 勒索攻擊警示（2026 年 10 月 29 日）：
Synology-SA-24:20 DSM 安全公告：
Synology PHP2Shell 官方說明：
Synology-SA-26:14 PHP2Shell 安全公告：
本文資料截至 2026 年 10 月 30 日；受影響版本及更新安排請以官方最新公告為準。
