Segurança do NAS: como não virar estatística de ransomware.
Campanhas de ransomware contra NAS existem há mais de uma década e já atingiram praticamente todos os grandes fabricantes — não é uma questão de marca, é uma questão de configuração. Esta página traz o checklist prático que faz diferença de verdade, e o histórico real por trás dele.
NAS exposto à internet é alvo — o denominador é grande
Uma pesquisa da Palo Alto Networks (Unit 42), sobre o ransomware eCh0raix que atacou tanto aparelhos QNAP quanto Synology, contou pelo menos 250 mil desses NAS expostos diretamente à internet no mundo todo. Esse número não é sobre uma marca ser pior que outra — é o tamanho da superfície de ataque quando um equipamento pensado para rede local fica acessível de qualquer lugar do planeta.
O padrão comum não é a marca
Nos incidentes mais documentados dos últimos anos — em fabricantes diferentes — o vetor de entrada se repete: NAS com a interface de administração exposta direto na internet, combinado com firmware desatualizado ou senha fraca. Corrigir esses dois pontos elimina a maior parte do risco real, independentemente da marca do equipamento.
Checklist de 5 pontos que faz diferença de verdade
Nenhum item aqui depende de conhecimento avançado. Na ordem de prioridade real.
1. Não exponha a administração direto na internet
Evite configurar port forwarding no roteador apontando para a porta de administração do NAS. É a exposição direta que as campanhas documentadas mais exploraram — sem ela, um ataque precisa primeiro comprometer outra coisa na sua rede.
2. Acesso remoto por túnel ou VPN, não port forward manual
Se precisa acessar o NAS de fora de casa, use o serviço de acesso remoto do próprio fabricante (túnel reverso, sem abrir porta) ou uma VPN até a sua rede. As duas opções evitam colocar o painel de administração visível na internet pública.
3. Firmware sempre atualizado
Nos dois incidentes mais graves já documentados em NAS, o fabricante corrigiu a falha em horas — mas quem não atualizou continuou exposto por semanas ou meses. Ative atualização automática se o sistema oferecer, ou crie o hábito de checar com frequência.
4. Senha forte, nunca a de fábrica
Senha padrão ou reaproveitada de outro serviço é a porta de entrada mais comum em ataques de força bruta. Use uma senha forte e única, e ative autenticação em duas etapas se o sistema do seu NAS oferecer esse recurso.
5. Backup fora do NAS — a única defesa contra ransomware de verdade
RAID protege contra a falha física de um disco. Não protege contra ransomware: se os arquivos forem criptografados, o RAID replica fielmente essa criptografia entre os discos. A única coisa que devolve seus dados depois de um ataque é ter uma cópia guardada fora do NAS — é o assunto da próxima seção.
Histórico real, com fonte — não é hipótese
Três episódios documentados, em fabricantes diferentes, mostram o mesmo padrão: exposição direta à internet e uma falha que, uma vez corrigida, só protegeu quem atualizou.
QLocker (2021)
Explorou uma conta de acesso indevido num aplicativo de backup, criptografando arquivos de milhares de NAS QNAP expostos à internet em cerca de um mês, com resgate cobrado em Bitcoin.
DeadBolt (2022)
Numa das ondas, chegou a atingir cerca de 19 mil NAS QNAP num único pico — a partir de uma falha de dia zero que o fabricante corrigiu em 12 horas depois de identificar o ataque. A mesma campanha também atingiu NAS Asustor semanas depois.
RISK:STATION (2024)
Uma falha crítica em NAS Synology — execução remota de código sem necessidade de senha — chegou a expor entre 1 e 2 milhões de aparelhos. O fabricante corrigiu em 48 horas depois de a falha ser demonstrada publicamente.
Os três episódios envolveram fabricantes diferentes entre si, o que reforça o ponto central desta página: o risco é do NAS exposto, não de uma marca específica.
Backup 3-2-1: a regra que resume tudo isso
Se o resto desta página parecer complicado, fica esta única regra prática, usada por profissionais de TI há décadas — de antes do NAS existir.
3 cópias — o arquivo original mais duas cópias. Perder uma ainda deixa duas de sobra.
2 mídias diferentes — não adianta ter duas cópias no mesmo NAS. Um HD externo, um serviço de nuvem ou uma fita são mídias diferentes; dois volumes dentro do mesmo equipamento não são.
1 cópia fora do local — protege contra o que destrói o NAS inteiro: incêndio, roubo, enchente, ou ransomware que criptografa tudo que está montado na rede. Se a cópia "fora do local" está o tempo todo conectada à mesma rede do NAS, ela não cumpre esse papel.
QA técnico — segurança
Meu NAS precisa estar acessível de fora de casa — como fazer com segurança?
Use o serviço de acesso remoto do próprio fabricante (túnel reverso, sem abrir porta) ou uma VPN até a sua rede. Evite port forwarding direto para a administração do NAS.
RAID protege contra ransomware?
Não. Ransomware criptografa os arquivos, e o RAID replica fielmente essa criptografia entre os discos. RAID protege contra falha física de disco — não contra exclusão, criptografia maliciosa ou roubo do equipamento.
Como sei se meu NAS está exposto à internet?
O sinal mais comum é uma regra de port forwarding no roteador apontando pro IP do NAS. Se você não configurou nenhuma de propósito, o NAS provavelmente só é acessível dentro da rede local — o cenário mais seguro. Na dúvida, pergunte à IRD antes de configurar acesso remoto.
Preciso trocar a senha padrão?
Sempre, e use uma senha forte e única. Se o sistema oferecer autenticação em duas etapas, ative — senha fraca ou de fábrica é a porta de entrada mais comum em ataques de força bruta.
Firmware desatualizado é assim tão importante?
Sim. Nos incidentes mais graves já documentados, o fabricante corrigiu a falha em horas — mas só quem atualizou ficou protegido.
Isso vale só para NAS Orico?
Não — vale para qualquer NAS de qualquer marca. Os incidentes citados nesta página aconteceram em fabricantes diferentes; o padrão comum é exposição direta à internet, não a marca.
Vai configurar acesso remoto no seu NAS?
A IRD orienta a forma mais segura de fazer isso pro seu modelo — antes de você abrir qualquer porta no roteador.