2026년 10월 28일부터 시놀로지 NAS를 대상으로 C3RB3R 랜섬웨어 감염이 급격히 확산되고 있습니다. 감염되면 NAS에 저장된 파일의 확장자가 .L0CK3D로 변경되고, 각 폴더에 read-me3.txt라는 랜섬노트가 생성됩니다.
현재 국내에서도 피해 문의가 이어지고 있으며, 감염 경로는 아직 공식적으로 확인되지 않았습니다. 외부에서 NAS에 접근 가능한 상태라면 즉시 점검이 필요합니다.
감염 증상
아래 증상 중 하나라도 해당되면 랜섬웨어 감염을 의심해야 합니다.
파일 암호화형
- 파일 확장자가 .L0CK3D로 변경됨 (숫자 0, 영문 O 아님)
- 각 폴더에 read-me3.txt 파일이 생성됨
- 랜섬노트 안에 Tor 브라우저 접속 주소와 몸값 요구 내용이 있음
- 사진, 문서, 영상 등 파일이 열리지 않음
- DSM 웹 인터페이스가 느려지거나 접속이 불안정함
DSM 구성손실형
일부 피해 사례에서는 파일 암호화를 넘어 DSM 운영체제 자체가 파괴되는 경우도 보고되고 있습니다.
- DSM 접속이 안 되고 RaiDrive(레이드라이브), WebDAV 등 외부 연결도 끊김
- Synology Web Assistant에서 “구성손실”이 표시됨
- NAS 상태 표시등이 주황색으로 점멸
- “돌아오신 것을 환영합니다” — DSM 재설치 화면이 나타남
- 운영체제가 파괴되었기 때문에 로그 확인 자체가 불가능
- DSM을 재설치해도 디스크에 저장된 데이터는 이미 암호화된 상태
감염됐다면 지금 해야 할 것
아래 순서대로 대응합니다.
1단계 — 네트워크 즉시 분리
- NAS에 연결된 LAN 케이블을 뽑습니다
- Wi-Fi로 연결된 경우 공유기에서 NAS IP를 차단합니다
- 암호화가 진행 중이라면 NAS 전원을 끄는 것이 추가 피해를 줄일 수 있습니다
- 암호화가 이미 끝난 상태라면 전원은 켜둔 채 네트워크만 분리합니다
2단계 — 스냅샷 확인
Btrfs 파일 시스템으로 볼륨을 구성했고, 스냅샷이 설정되어 있었다면 감염 이전 시점으로 복원할 수 있습니다.
- 스냅샷 복제 → 해당 공유 폴더 → 스냅샷 목록에서 감염 이전 날짜 확인
- 불변 스냅샷(DSM 7.2 이상)이 설정되어 있었다면 랜섬웨어가 스냅샷을 삭제하지 못했을 가능성이 높습니다
- DSM 구성손실 상태에서는 스냅샷 접근이 어려울 수 있습니다 — 이 경우 3단계로 진행합니다
스냅샷이 없고 별도 백업도 없다면, 현재로서는 복구가 매우 어렵습니다. 이 랜섬웨어에 대한 공개된 복호화 도구는 없습니다.
3단계 — 백업이 있는 경우: 초기화 후 복원
Hyper Backup 등으로 외부 저장소(USB, 클라우드, 다른 NAS)에 백업이 있다면 아래 순서로 복원합니다.
- NAS를 완전 초기화합니다 (DSM 재설치)
- DSM을 최신 버전으로 업데이트합니다
- 보안 설정을 먼저 적용합니다 (외부 포트 차단, 2단계 인증, 방화벽)
- 보안 설정이 완료된 후 외부 백업에서 데이터를 복원합니다
보안 설정 없이 바로 복원하면 재감염 위험이 있습니다. 반드시 보안 설정을 먼저 완료하세요.
4단계 — 백업이 없는 경우: 전문 기관 의뢰
스냅샷도 없고 외부 백업도 없다면, 현재로서는 복구가 매우 어렵습니다. 이 랜섬웨어에 대한 공개된 복호화 도구는 없습니다.
- 자체적으로 시스템을 초기화하거나 재설치하면 복구 가능성이 더 낮아질 수 있습니다
- 데이터가 중요하다면 랜섬웨어 전문 복구 업체에 먼저 상담하는 것을 권장합니다
- KISA(한국인터넷진흥원) 118에 신고하면 대응 안내를 받을 수 있습니다
감염되지 않았다면 지금 해야 할 것
아직 감염되지 않았더라도, NAS가 외부에서 접근 가능한 상태라면 즉시 아래 설정을 점검하세요.
1. 외부 접근 시도 로그 확인 및 외부 포트 사용 자제
- DSM → 로그 센터에서 최근 외부 접근 시도가 있었는지 확인합니다
- 공유기에서 NAS로 향하는 포트 포워딩을 해제합니다
- DSM 관리 포트(5000, 5001)가 외부에 노출되어 있다면 즉시 차단합니다
- SSH, FTP 등 불필요한 서비스 포트도 외부에서 접근 불가하게 합니다
- 외부 접속이 필요하다면 VPN을 통해서만 접근하도록 변경합니다
2. DSM 및 패키지 업데이트
이번 공격에 악용된 것으로 의심되는 취약점들이 이미 패치되어 있습니다.
| 권고 | 취약점 | 패치 시기 |
|---|---|---|
| SA-26:13 | CVE-2026-13639, CVE-2026-13684 (CVSS 9.8) | 2026-09-18 |
| SA-26:14 | CVE-2026-109618, CVE-2026-109619 (CVSS 9.8) | 2026-10-22 |
- DSM → 제어판 → 업데이트 및 복원에서 DSM 최신 버전으로 업데이트
- 패키지 센터 → 업데이트 탭에서 PHP 등 모든 패키지 업데이트
DSM 업데이트 방법이 익숙하지 않다면 PHP2Shell 보안 패치 — 확인 방법과 업데이트 절차를 참고하세요.
3. 계정 보안 강화
- admin 계정 비활성화 — 기본 admin 계정은 공격자가 가장 먼저 시도하는 대상입니다
- 2단계 인증(MFA) 활성화 — 제어판 → 보안 → 계정에서 설정
- 비밀번호 강화 — 12자 이상, 영문+숫자+특수문자 조합
- 자동 차단 활성화 — 제어판 → 보안 → 자동 차단에서 로그인 실패 횟수 기반 IP 차단
방화벽 설정이 처음이라면 시놀로지 NAS 방화벽 설정 방법을 참고하세요.
4. 불변 스냅샷 + 외부 백업 설정
랜섬웨어를 100% 막는 것은 현실적으로 어렵습니다. 감염되더라도 데이터를 복구할 수 있는 구조를 미리 만들어 두는 것이 가장 중요합니다.
- 불변 스냅샷 설정 — DSM 7.2 이상에서 스냅샷 복제 패키지의 불변 스냅샷을 활성화하면, 랜섬웨어가 관리자 권한을 탈취해도 스냅샷을 삭제하거나 변경할 수 없습니다
- 외부 장치로 2차 백업 — Hyper Backup으로 USB 외장하드, 클라우드, 또는 다른 NAS에 정기 백업을 설정합니다. NAS 내부에만 백업이 있으면 랜섬웨어와 함께 암호화될 수 있습니다
- 백업 후 물리 분리 — USB 백업이라면 백업 완료 후 USB를 분리해 두는 것이 가장 안전합니다
불변 스냅샷과 외부 백업, 이 두 가지가 설정되어 있으면 랜섬웨어에 감염되더라도 데이터를 복구할 수 있습니다.
이번 공격의 배경
C3RB3R는 2016년부터 활동해 온 Cerber 랜섬웨어의 변종입니다. NAS 장비를 전문으로 공격해 왔으며, 이번에는 시놀로지 DSM의 치명적 취약점(CVSS 9.8)이 패치된 후 아직 업데이트하지 않은 장비를 집중 공격하는 이른바 “1-day 공격” 방식을 사용한 것으로 추정됩니다. (정확히 밝혀진 바는 없습니다.)
다만 일부 피해 사례에서 최신 DSM 버전 사용자도 감염된 것으로 보고되고 있어, 감염 경로는 아직 공식적으로 확인되지 않았습니다. 기존 취약점 악용, 비밀번호 유출, 서드파티 패키지 취약점, 또는 아직 공개되지 않은 새로운 취약점 등 여러 가능성이 조사 중이라고 합니다.
시놀로지 NAS 랜섬웨어 공격 이력
시놀로지 NAS를 대상으로 한 랜섬웨어 공격은 이번이 처음이 아닙니다.
| 시기 | 랜섬웨어 | 공격 방식 |
|---|---|---|
| 2014년 | SynoLocker | DSM 취약점 악용 |
| 2019년 | eCh0raix | brute force (약한 비밀번호) |
| 2021년 | eCh0raix + StealthWorker | CVE 악용 + 봇넷 brute force |
| 2024년 | Diskstation 갱 | 시놀로지 전문 타깃 (Europol 검거) |
| 2026년 10월 | C3RB3R / L0CK3D | DSM 취약점 + 경로 조사 중 |
NAS는 중요한 데이터가 집중되어 있고, 24시간 켜져 있으며, 보안 관리자가 없는 환경에서 운영되는 경우가 많아 랜섬웨어의 주요 표적이 됩니다. 특히 취약점 패치 후 4~6주 이내에 미적용 장비를 집중 공격하는 패턴이 반복되고 있습니다.
자주 묻는 질문
몸값을 내면 복구할 수 있나요?
보장할 수 없습니다. 몸값을 지불해도 복호화 키를 받지 못하는 사례가 있고, 지불 자체가 추가 공격을 유도할 수 있습니다. 보안 기관에서도 몸값 지불을 권장하지 않습니다.
QuickConnect만 쓰면 안전한가요?
포트 포워딩보다는 안전하지만, QuickConnect도 DSM을 외부에 노출시키는 방식입니다. 가장 안전한 외부 접속 방법은 VPN입니다.
DSM을 최신으로 업데이트하면 안전한가요?
알려진 취약점은 패치되지만, 이번 공격에서 아직 공개되지 않은 취약점(0day)이 사용되었을 가능성이 완전히 배제되지 않았습니다. 업데이트와 함께 외부 접근 차단, 계정 보안 강화, 불변 스냅샷, 외부 백업을 병행하는 것이 중요합니다.
마무리
랜섬웨어를 100% 막는 것은 현실적으로 어렵습니다. 하지만 불변 스냅샷 설정과 외부 장치로의 2차 백업이 되어 있으면, 감염되더라도 데이터를 살릴 수 있습니다. 아직 이 설정을 하지 않았다면 지금이 가장 빠른 타이밍입니다.
NAS가 외부에 노출되어 있다면 지금 즉시 포트 포워딩 해제와 DSM 업데이트를 진행하세요. 이미 감염되었다면 네트워크를 분리한 뒤, 백업 상태를 확인하고 전문 기관에 상담하는 것이 최선입니다.
불변 스냅샷 설정, 외부 백업 구성, 보안 점검이 필요하시면 상담 문의 페이지에서 편하게 연락해 주세요. 현재 상태에 맞는 백업 구조를 함께 잡아 드리겠습니다.
이 글은 2026년 10월 29일 기준 확인된 정보를 바탕으로 작성되었습니다.