¿Por qué los NAS son un blanco del ransomware?
Los NAS de QNAP y Synology se volvieron un objetivo predilecto por una combinación incómoda: concentran datos valiosos y copias de seguridad, y muchos están expuestos a internet para permitir el acceso remoto. Para un atacante, eso es una caja fuerte con la puerta a la vista. La forma de entrar suele ser una de dos: explotar una vulnerabilidad conocida del firmware que el dueño no ha parcheado, o probar contraseñas por fuerza bruta hasta dar con una débil. Así llegaron las campañas más sonadas. Qlocker usó una cuenta de respaldo comprometida para bloquear los archivos con 7-Zip y contraseña; eCh0raix (también llamado QNAPCrypt) atacó QNAP y Synology aprovechando un fallo de autorización; y DeadBolt fue tan masivo que afectó a más de 3.600 dispositivos QNAP, reemplazando la pantalla de inicio por su nota de rescate. El patrón se repite: un NAS accesible desde internet, con una versión vieja del sistema, y archivos cifrados de un día para otro.
Lo primero: aísla el NAS y no toques nada
La reacción de los primeros minutos define cuánto podrás recuperar. El paso uno es aislar: desconecta el NAS de internet y de la red local —quita el cable de red— para cortar la comunicación con el atacante y frenar que el cifrado avance a otros equipos. A partir de ahí, lo más importante es lo que no debes hacer. No pagues por impulso. No interactúes con la nota de rescate ni introduzcas claves donde la pantalla lo pida. Y, sobre todo, no reinicies de fábrica ni actualices el firmware a ciegas: algunas variantes como DeadBolt esconden su mecanismo en el campo de actualización de firmware, y un reinicio de fábrica borraría los datos cifrados que aún están en los discos. Preservar el estado tal cual es lo que mantiene abiertas tus opciones. Esta lógica es la misma que aplicamos ante cualquier NAS con el volumen comprometido: primero proteger, después actuar.
¿Hay un descifrador gratuito?
Aquí hay una buena noticia que mucha gente desconoce. Tras un ataque, los discos del NAS suelen estar físicamente sanos: los datos están cifrados, sí, pero los bloques en el disco siguen intactos, no destruidos. Eso importa por una razón concreta: cada cierto tiempo, investigadores de seguridad o las autoridades publican descifradores gratuitos para familias específicas de ransomware, a veces meses después del ataque. Si preservas el estado cifrado —clonando los discos y guardando esa imagen—, conservas la posibilidad de descifrar más adelante sin haber pagado nada. Por eso conviene revisar iniciativas como No More Ransom y los avisos del fabricante antes de dar cualquier paso irreversible, y por eso un laboratorio, ante un caso así, lo primero que hace es clonar para no perder ese estado. Lo que nunca debes hacer es destruir esos datos cifrados por las prisas.
La única salida fiable: restaurar de una copia intocable
Dicho lo anterior, seamos claros sobre lo que de verdad recupera un NAS cifrado: una copia de seguridad que el ataque no haya podido alcanzar. Si tienes un respaldo inmutable, fuera de línea o una instantánea que el atacante no logró borrar, el camino es directo: se aísla y limpia el NAS, se reinstala el sistema desde cero y se restaura la información. El matiz crítico es dónde vive esa copia. Las instantáneas guardadas en el propio NAS a menudo son cifradas o eliminadas por el ransomware, porque están a su alcance; la copia que sobrevive es la que está fuera del dispositivo y, mejor aún, es inmutable. Es exactamente el caso de uso de las copias inmutables y air gap. Sin esa copia, y sin un descifrador disponible, la recuperación de un NAS cifrado se vuelve muy difícil; conviene asumirlo con honestidad desde el principio.
La doble extorsión también llega al NAS
Un punto que cambia el cálculo: el ransomware de NAS dejó de limitarse a cifrar. Cada vez más campañas roban una copia de los datos antes de cifrarlos, en el esquema de doble extorsión, y luego amenazan con publicarlos. Eso significa que, aunque restaures desde tu copia y vuelvas a operar, la información que se llevaron sigue en sus manos, y pagar no garantiza que la borren. Es la misma trampa que analizamos en ¿pagar o no el rescate de ransomware?: el pago compra una promesa, no un resultado. Por eso un ataque a un NAS no es solo un problema de disponibilidad, también de confidencialidad, y conviene tratarlo como un incidente completo, con evaluación de qué datos pudieron salir.
¿Cómo evitar que vuelva a pasar?
La mayoría de estos ataques se previenen cerrando puertas básicas. Estas son las que más cuentan:
- No expongas el NAS a internet: desactiva el reenvío de puertos y UPnP, y usa una VPN para el acceso remoto en lugar de abrir el panel al mundo.
- Mantén el firmware al día: actualiza QTS o DSM en cuanto haya parches; muchas campañas explotan fallos ya corregidos.
- Contraseñas fuertes y MFA: y desactiva o renombra la cuenta de administrador por defecto, blanco habitual de la fuerza bruta.
- Instantáneas y copia inmutable externa: activa snapshots y, sobre todo, mantén una copia fuera del NAS que el ataque no pueda tocar.
- Segmenta la red: para que un equipo infectado no llegue al NAS ni al revés.
Cuando QNAP enfrentó las primeras oleadas, su propia recomendación fue tajante: desconectar el NAS de internet y actualizar de inmediato. Sigue siendo el mejor consejo.
Si tu NAS fue cifrado
Si ya estás en medio del problema, recuerda la secuencia: aislar, no pagar, no reiniciar de fábrica, preservar y buscar la copia que se salvó. En Data Recovery Panama abordamos estos casos clonando los discos para conservar el estado cifrado, evaluando si existe un descifrador legítimo y restaurando desde respaldos cuando los hay; lo que no hacemos es negociar ni pagar a los atacantes. Si lo que necesitas es recuperar el NAS a nivel de almacenamiento o entender su estado, lo complementamos con nuestro servicio de recuperación de NAS. Y si llegaste hasta aquí sin estar bajo ataque, los pasos de la primera hora tras un ransomware y una copia inmutable te ahorrarán el peor día. Porque el laboratorio que recupera también protege.
Preguntas frecuentes
Desconéctalo de internet y de la red de inmediato, no pagues y no reinicies de fábrica ni actualices el firmware a ciegas: algunas variantes como DeadBolt abusan del campo de actualización de firmware. Preserva el estado tal cual. La salida fiable es restaurar desde una copia que el ataque no haya podido alcanzar, y conviene revisar si existe un descifrador gratuito para esa familia.
Si tienes una copia de seguridad inmutable o fuera de línea, sí: se limpia el NAS y se restaura. Sin copia, depende de la familia de ransomware: a veces existe un descifrador público y, como los discos siguen físicamente sanos, conviene preservar los datos cifrados por si aparece uno. Sin copia ni descifrador, la recuperación suele ser muy difícil.
Porque borrarías los datos cifrados que todavía están en los discos, y con ellos cualquier posibilidad de recuperarlos si más adelante se publica un descifrador. Los discos suelen estar sanos; el contenido está cifrado, no destruido. Reiniciar de fábrica cambia un problema con salida posible por una pérdida definitiva.
No hay garantía. Las herramientas de descifrado de los atacantes suelen ser lentas o defectuosas, y muchos ataques además roban los datos (doble extorsión), así que pagar no impide que los publiquen. Las autoridades desaconsejan pagar. Antes de considerarlo, busca asesoría legal y de respuesta a incidentes.
No lo expongas a internet: desactiva el reenvío de puertos y UPnP y usa una VPN para el acceso remoto. Mantén el firmware (QTS o DSM) actualizado, usa contraseñas fuertes con autenticación de varios factores, desactiva o renombra la cuenta de administrador por defecto, activa instantáneas y mantén una copia inmutable fuera del NAS. Segmentar la red también ayuda.