Tra fine ottobre e inizio novembre 2026 il ransomware C3RB3R, variante della famiglia Cerber, ha cifrato i file di numerosi NAS Synology raggiungibili direttamente da internet, aggiungendo l'estensione .L0CK3D e lasciando in ogni cartella una nota di riscatto che rimanda a un sito nascosto nella rete Tor. Synology ha confermato l'attacco il 29 e 30 ottobre, ma sulla causa tecnica non c'è ancora pieno accordo tra l'azienda e i ricercatori indipendenti che lo hanno analizzato. Per una PMI italiana che usa il NAS per condividere file o conservare i backup, la domanda utile non è chi abbia ragione sulla causa esatta, ma: il nostro dispositivo è esposto? Ecco cinque controlli da fare, in ordine.
Che cosa sappiamo, e dove le fonti divergono
Secondo la versione ufficiale di Synology, l'attacco sfrutta CVE-2024-10441 (bollettino Synology-SA-24:20), una falla critica di gravità 9.8 scoperta alla competizione Pwn2Own 2024 e corretta già a dicembre 2024: un bug che permette l'esecuzione di codice da remoto senza autenticazione, agendo durante la fase di accesso a DSM, prima ancora della verifica di password e secondo fattore. Synology sostiene che a essere colpiti siano solo i dispositivi mai aggiornati o rimasti su versioni precedenti.
Due società di sicurezza cinesi, 360 e Solar, che hanno analizzato campioni del ransomware, attribuiscono invece l'attacco a due vulnerabilità diverse e più recenti: CVE-2026-13639 e CVE-2026-13684, entrambe di gravità 9.8, corrette da Synology appena sei settimane prima, il 18 settembre 2026, con il bollettino Synology-SA-26:13. Per un'azienda la differenza conta meno di quanto sembri: le build DSM che chiudono entrambe le vulnerabilità coincidono, perché le versioni più recenti includono automaticamente anche le correzioni precedenti. Il punto pratico resta identico, qualunque sia la falla realmente sfruttata: bisogna verificare che il NAS sia aggiornato alle build pubblicate il 18 settembre 2026 o successive.
Primo controllo: la versione di DSM installata
Il primo passo è accedere al pannello di controllo del NAS e verificare la versione di DSM in uso. Le versioni che chiudono le falle note sono DSM 7.4-90075, DSM 7.3.2-86009-4, DSM 7.2.2-72806-9 e DSM 7.2.1-69057-12, o successive, a seconda del modello e della serie del NAS. Se il sistema risulta su una build precedente, l'aggiornamento va programmato ed eseguito al più presto, dopo aver verificato di avere una copia recente dei dati e della configurazione del dispositivo. Vale anche per i modelli che Synology considera a fine supporto: su quei NAS può non essere più disponibile alcun aggiornamento, e in quel caso la sostituzione dell'hardware diventa una priorità, non un'opzione rimandabile.
Secondo controllo: la porta amministrativa esposta su internet
Molti NAS finiscono raggiungibili da internet perché in passato qualcuno ha attivato l'inoltro delle porte sul router per accedere ai file da remoto, e la regola è rimasta attiva anche dopo che quell'esigenza è venuta meno. Va controllata la configurazione del router o del firewall aziendale per verificare se le porte di gestione di DSM (tipicamente 5000 e 5001) sono aperte verso l'esterno. Se lo sono, vanno chiuse: l'accesso da remoto al NAS deve passare attraverso una VPN aziendale, non attraverso un'esposizione diretta della console di amministrazione. È la differenza tra un dispositivo raggiungibile solo da chi è già autenticato sulla rete aziendale e uno raggiungibile da chiunque lo scansioni su internet, come hanno fatto gli autori di C3RB3R.
Terzo controllo: aggiornamenti automatici e controlli di sicurezza integrati
Una volta riportato il NAS a una versione corretta, va attivato l'aggiornamento automatico delle patch di sicurezza critiche, opzione disponibile nel pannello di aggiornamento di DSM: evita che in azienda ci si debba ricordare manualmente di ogni bollettino pubblicato da Synology. Va inoltre eseguita almeno una scansione con Security Advisor, lo strumento integrato in DSM che segnala password deboli, servizi rischiosi attivi e configurazioni non sicure, e va verificato che l'autenticazione a due fattori sia attiva su tutti gli account amministrativi del dispositivo.
Quarto controllo: il backup è davvero separato dal NAS?
Il punto più delicato riguarda il ruolo che il NAS ha nella strategia di backup dell'azienda. Molte PMI lo usano sia per condividere i file di lavoro sia come unico deposito delle copie di sicurezza: se quel dispositivo viene cifrato, l'azienda perde insieme i dati operativi e l'ultima rete di salvataggio. La logica da verificare è quella del backup 3-2-1:
- almeno tre copie dei dati;
- su almeno due supporti diversi;
- con almeno una copia conservata fuori dal NAS stesso, idealmente offline o immutabile.
Se alla domanda ‘dove si trova la copia di backup del NAS' la risposta è ‘sul NAS stesso', quella non è una copia di sicurezza.
Quinto controllo: chi è responsabile del NAS in azienda
Nelle PMI più piccole il NAS è spesso un dispositivo installato anni fa da un tecnico esterno o da un dipendente volenteroso, e da allora rimasto senza un responsabile chiaro della manutenzione: nessuno controlla con regolarità aggiornamenti, configurazione di rete o stato dei backup. È un punto scoperto che vale la pena chiudere a prescindere dall'esito di questo specifico attacco: va individuata una persona o un fornitore incaricato di verificare con cadenza regolare lo stato di NAS e storage condiviso, con la stessa attenzione riservata a server e postazioni di lavoro.
Il ruolo di Hi-Keep
Hi-Keep supporta le PMI della provincia di Bergamo e non solo nella verifica puntuale dello stato di aggiornamento di NAS, server e infrastrutture di storage, nella configurazione di un accesso remoto sicuro tramite VPN al posto dell'esposizione diretta su internet, e nella costruzione di una strategia di backup 3-2-1 con copie realmente separate dai sistemi di produzione. Le aziende che hanno un NAS Synology, o di altra marca, in funzione da tempo senza un piano di manutenzione definito possono richiedere a Hi-Keep una verifica dello stato attuale del dispositivo e della sua esposizione in rete.