NAS设备勿直连公网：默认端口+弱密码=勒索软件高危目标

安全专家近日提醒新购置网络附加存储设备的用户，切勿将设备直接连接至公共互联网，否则个人数据极易遭受严重威胁。

网络附加存储设备常被称作个人私有云，但若需在家庭网络以外访问其中文件，许多用户会通过路由器配置端口转发。然而，一旦采用默认通信端口——例如某主流品牌常用的5000与5001端口，或另一常见品牌的8080与443端口——并保留出厂预设密码，相当于主动将设备置于互联网扫描工具的持续探测之下。这些自动化程序无需人工干预，即可全天候识别并锁定暴露在外的消费级存储设备。

此类暴露设备已成为勒索软件攻击的高发目标。DeadBolt与eCh0raix等恶意程序专门针对未加防护的网络存储设备发起扫描，一旦得手即对全部用户数据实施加密，并以此索取赎金。

另一类不易察觉的风险源自通用即插即用协议。大量家用路由器默认启用该功能，可能在用户毫无察觉的情况下自动开放端口，使设备意外暴露于公网。

专家建议优先采用更稳妥的访问方式：将网络附加存储设备严格限定于本地局域网内运行，不开放任何外部入站连接。如确有远程访问需求，推荐使用Tailscale等零信任覆盖网络方案，避免依赖传统端口转发机制。

同时，务必为设备设置高强度密码并启用双因素认证；定期核查端口开放状态，及时关闭非必要服务；确保固件保持自动更新，以及时修补已知隐患。

需要明确的是，网络附加存储并非绝对安全的“黑盒子”。今年2月，一款国产网络存储操作系统被披露存在高危路径遍历漏洞，攻击者可在未登录状态下读取设备中全部文件，涵盖系统配置及用户私有数据。这一事件再次印证：网络附加存储本质上是一台部署在家中的服务器，其安全防护标准应与服务器一致，不可因使用场景居家化而降低警惕。