Synology alerta por ransomware C3RB3R contra NAS con DSM sin actualizar: la falla se parchó en 2024 y la siguen explotando

Synology publicó el 29 de octubre de 2026 un comunicado poco común: pide a todos sus usuarios con versiones vulnerables de DSM (el sistema operativo de sus NAS) que actualicen de inmediato, porque detectó a atacantes que explotan una falla "parchada en diciembre de 2024" para cifrar datos y pedir rescate. BleepingComputer, que publicó los detalles el 2 de noviembre, identifica la campaña como C3RB3R, un ransomware que deja los archivos con la extensión .L0CK3D y una nota llamada read-me3.txt.

Para una PyME mexicana esto pega donde más duele: en muchas oficinas el NAS Synology es a la vez el servidor de archivos, la carpeta de contabilidad y "el respaldo". Si el equipo lleva meses o años sin actualizarse, hoy es el día.

Qué se sabe

Synology no dice cuál de las tres fallas se está explotando; solo enlaza al aviso SA-24:20. BleepingComputer señala además una discrepancia de fechas: el comunicado habla de diciembre de 2024, pero el aviso es de noviembre. La explicación probable está en el historial del propio aviso: la corrección para DSM 6.2 se agregó el 5 de diciembre de 2024.

Según los reportes que recoge el medio, las primeras víctimas aparecieron en foros y en Reddit más de dos semanas antes del comunicado, y los rescates pedidos rondan miles de dólares. La nota promete un descifrador vendido en la red oscura y amenaza con que el software de recuperación de terceros dañará los archivos.

Versiones que debes tener como mínimo

Estas son las versiones corregidas que lista el aviso Synology-SA-24:20:

Las descripciones de las CVE también mencionan BeeStation (BSM) anterior a la versión 1.1-65374, el equipo de Synology pensado para casa y oficinas muy pequeñas.

Para revisar tu versión: entra a DSM, abre Panel de control > Actualizar y restaurar y compara el número con la tabla. Si tu NAS es tan viejo que ya no recibe DSM 7, estás en la rama 6.2 y necesitas al menos la 6.2.4-25556-8; si el modelo ni siquiera llega ahí, ese equipo no debe estar conectado a internet.

Qué hacer hoy, en orden

1. Saca la administración de DSM de internet. Es la primera recomendación que resume BleepingComputer: bloquear el acceso a la interfaz web de administración desde fuera. Revisa en tu router o firewall si hay reenvío de puertos hacia el NAS y quítalo. Si alguien necesita entrar desde casa, que sea por VPN.
2. Actualiza DSM a la versión de la tabla o posterior. Antes, confirma que tienes una copia reciente de lo crítico fuera del NAS.
3. Activa las actualizaciones automáticas. Synology lo pide expresamente en su comunicado.
4. Endurece el acceso. En su alerta de ransomware de 2019, Synology recomendó activar el firewall de DSM y abrir solo los puertos indispensables, encender la verificación en dos pasos, activar el bloqueo automático de IP con demasiados intentos fallidos y correr Security Advisor para encontrar contraseñas débiles. Siguen vigentes.
5. Ten una copia que el NAS no pueda borrar. La base de conocimiento de Synology recomienda respaldos regulares con versiones mediante Hyper Backup y Snapshot Replication. Las instantáneas ayudan a recuperar rápido, pero si el atacante controla el equipo pueden caer con él: necesitas además una copia en otro equipo o en la nube, idealmente desconectada o inmutable.

Por qué los NAS son blanco fácil

C3RB3R no es nuevo. BleepingComputer lo detectó por primera vez en diciembre de 2021 atacando servidores de Confluence y GitLab sin parches; el nombre recuerda a Cerber, una familia de ransomware que dominó el mercado entre 2016 y 2019. Lo que cambia ahora es el objetivo: equipos que muchas empresas instalan una vez y olvidan.

Un NAS reúne tres condiciones que buscan los atacantes: guarda los archivos más valiosos de la empresa, suele estar expuesto a internet para "entrar desde fuera" y rara vez se actualiza. Ya lo vimos en octubre con Plex2Shell, la falla de Plex explotada en NAS, y con PHP2Shell, que alcanzó firewalls, conmutadores y NAS con PHP incluido. Synology rara vez emite este tipo de alertas; la anterior fue en 2019, por el ransomware eCh0raix.

El otro problema es conceptual: un NAS no es un respaldo si es la única copia. Si el ransomware cifra el NAS, cifra también las carpetas compartidas que el contador, ventas y almacén usaban todos los días. La regla 3-2-1 (tres copias, en dos medios, una fuera del sitio) que explicamos en cómo sobrevivir a un ransomware con respaldos existe justo para esto.

Lo que viene

Synology no ha publicado una cifra de equipos afectados ni ha dicho si hay más fallas involucradas, y las tres CVE del aviso no están en el catálogo de CISA, así que es posible que el aviso cambie en los próximos días. Mientras tanto, el panorama general no ayuda: el tercer trimestre de 2026 cerró con récord de ataques de ransomware, y las PyMEs siguen siendo el blanco más común, como resumimos en ransomware 2026 para PyMEs.

Si tu empresa no tiene por escrito quién respalda qué, cada cuánto y dónde queda la copia externa, usa nuestra plantilla de política de respaldos y aprovecha este aviso para llenarla.