Synology advierte que atacantes están cifrando datos en NAS con un DSM desactualizado, y la primera medida es actualizar DSM de inmediato y activar las actualizaciones automáticas. La empresa publicó el aviso el 29 de octubre de 2026.

La campaña se asocia con el ransomware C3RB3R, que PBX Science describe como una variante de la familia Cerber. Además, un proyecto de código abierto en GitHub documenta una recuperación en un GitLab infectado que corría sobre DSM.

¿Qué advierte Synology?

Synology dice que identificó a actores maliciosos que aprovechan una vulnerabilidad corregida en diciembre de 2024. Los ataques apuntan a equipos con versiones antiguas de DSM, cifran los datos y piden un rescate. Su consejo es actualizar DSM de inmediato, activar las actualizaciones automáticas y leer el boletín Synology-SA-24:20.

PBX Science también señala dos fallas más recientes, CVE-2026-13639 y CVE-2026-13684, ambas con CVSS 9.8, divulgadas el 18 de septiembre de 2026 en el boletín Synology-SA-26:13. El punto de entrada de los ataques actuales no está confirmado: una víctima usaba DSM 7.4.1, así que no se descarta una falla más nueva u otro servicio expuesto.

¿Qué versiones de DSM corrigen las fallas nuevas?

Las versiones corregidas del boletín Synology-SA-26:13 son:

  • DSM 7.4: 7.4-90075
  • DSM 7.3: 7.3.2-86009-4
  • DSM 7.2.2: 7.2.2-72806-9
  • DSM 7.2.1: 7.2.1-69057-12

El aviso de Synology no da números de versión para la corrección de diciembre de 2024. Abre el Panel de control, luego Actualización y restauración, e instala la actualización más reciente que ofrezca tu modelo.

¿Cómo sé si mi NAS fue afectado?

Los archivos cifrados cambian de nombre con la extensión .L0CK3D, escrita con un cero en lugar de la letra O. En las carpetas afectadas aparece una nota de rescate llamada read-me3.txt. Inicios de sesión inusuales o cambios masivos de archivos en el Centro de registros también son una señal.

¿Qué hago si mi NAS está cifrado?

El proyecto c3rb3r-rescue y PBX Science coinciden en el orden de los pasos:

  • Desconecta el NAS de la red para que el cifrado no se extienda.
  • No termines procesos, no reinicies, no actualices DSM ni arranques un disco de rescate: puede destruirse el material de descifrado que aún está en la memoria.
  • Conserva la nota de rescate, los registros y algunos archivos cifrados de muestra, y trabaja solo con copias.
  • Contacta al soporte de Synology o a un especialista en respuesta a incidentes, y no pagues el rescate.

No hay un descifrador público gratuito confirmado para C3RB3R. El camino confiable es una copia de seguridad limpia guardada fuera del NAS.

¿La herramienta de GitHub puede descifrar mis archivos?

Probablemente no. El proyecto c3rb3r-rescue documenta un solo incidente: una copia de memoria de 16 GiB dio 48 bytes de clave utilizable. Con ella, el autor restauró una copia semanal de unos 49 GiB en un GitLab aislado de la misma versión, con 80 proyectos, 23 usuarios, 16 grupos y 9,253 objetos LFS.

El proyecto aclara que no es un descifrador universal de la familia C3RB3R. Cubre una muestra analizada, y la clave recuperada es una clave de sesión de la RAM, no la clave privada de los atacantes.

¿Cuánto cuesta y quién debe actuar primero?

Ninguna fuente menciona un precio para la actualización ni datos específicos de Canadá o Estados Unidos: revisa las páginas de soporte de Synology para tu modelo.

Quien tenga un DSM antiguo. Es el grupo al que va dirigida la advertencia: actualiza primero.

NAS accesibles desde Internet. Quita el reenvío de puertos y usa una VPN o el servicio de retransmisión de Synology.

Equipos con GitLab u otros contenedores en el NAS. El caso de GitHub incluía GitLab: revisa qué expone el equipo.

Quien tiene una sola copia de sus datos. Un NAS con RAID no es una copia de seguridad: agrega una copia fuera de línea y prueba una restauración.

Abre hoy el aviso de Synology y el boletín Synology-SA-24:20, actualiza DSM y revisa en el Centro de registros si hay inicios de sesión que no reconoces.