시놀로지 NAS 랜섬웨어 C3RB3R 감염 징후 및 보안 점검 방법

시놀로지(Synology) NAS를 대상으로 한 랜섬웨어 공격 사례가 보고되면서, 

구버전 DSM을 사용하는 장비의 보안 점검이 중요해지고 있습니다.

최근 보고된 C3RB3R 랜섬웨어는 NAS에 저장된 파일을 암호화하고 

금전을 요구하는 방식으로 피해를 일으킵니다. 

기업에서 NAS를 파일 공유나 업무자료 저장용으로 사용한다면 

주요 문서에 접근하지 못해 업무가 중단될 수 있습니다.

현재 시놀로지 NAS를 운영하고 있다면 DSM 업데이트 상태를 확인하고, 

외부 접속 경로와 관리자 권한, 백업 구성을 함께 점검해야 합니다.

시놀로지, 구버전 DSM을 겨냥한 랜섬웨어 공격 공식 경고

2026년 10월 29일, 

시놀로지는 보안 업데이트가 적용되지 않은 구버전 DSM 장비를 대상으로 

랜섬웨어 공격이 발생하고 있다고 공식 발표했습니다.

시놀로지에 따르면 

공격자는 2024년 12월 이미 보안 패치가 제공된 취약점을 악용해 

데이터 암호화와 금전 갈취를 시도하고 있습니다.

시놀로지는 취약한 DSM 버전을 사용하는 장비에 즉시 업데이트를 적용하고, 

이후 보안 패치를 놓치지 않도록 자동 업데이트 기능을 활성화할 것을 권고했습니다.

관련 보안 공지: Synology-SA-24:20

같은 날 보안업체 360은 시놀로지 NAS 침해 사례를 분석해 

기존 Cerber 랜섬웨어의 변종인 C3RB3R을 확인했다고 발표했습니다. 

해당 분석에서는 2026년 9월 공개된 DSM 취약점 2개를 공격 경로로 지목했습니다.

다만 시놀로지 공식 발표와 360의 분석은 서로 다른 취약점을 언급하고 있으므로, 

모든 피해가 동일한 경로에서 발생했다고 단정할 수는 없습니다.

C3RB3R 랜섬웨어 감염 시 나타나는 징후

360이 분석한 C3RB3R 감염 사례에서는 

NAS에 저장된 파일이 암호화되면서 정상적으로 열리지 않는 현상이 확인됐습니다.

대표적으로 파일명 뒤에 `.L0CK3D` 확장자가 추가되거나, 

감염된 폴더에 금전을 요구하는 `read-me3.txt` 파일이 생성되는 특징이 보고됐습니다.

기업의 업무 문서, 공유 폴더, 백업 파일 등이 암호화되면 

해당 자료를 사용하는 여러 부서에 동시에 영향을 줄 수 있습니다.

시놀로지 NAS에서 확인해야 할 4가지 보안 점검 항목

1. DSM 버전과 보안 업데이트 상태

가장 먼저 NAS에 설치된 DSM 운영체제의 버전을 확인해야 합니다.

관리자 계정으로 DSM에 접속한 뒤 제어판 → 업데이트 및 복원 메뉴에서 

현재 버전과 업데이트 가능 여부를 확인합니다. 

메뉴 구성은 DSM 버전에 따라 다를 수 있습니다.

적용 가능한 보안 업데이트가 있다면 중요한 데이터를 안전하게 백업하고, 

장비 및 업무 환경에 미치는 영향을 확인한 후 업데이트를 진행해야 합니다.

오래된 NAS는 모델에 따라 최신 DSM 버전을 지원하지 않거나 

업데이트가 자동으로 표시되지 않을 수 있습니다. 

이 경우 시놀로지 공식 다운로드 센터와 보안 공지에서 

해당 모델의 지원 버전을 확인해야 합니다.

정상 운영 중인 장비라면 자동 업데이트 설정도 함께 검토하는 것이 좋습니다.

2. 외부 접속 경로와 방화벽 설정

NAS를 외부에서도 사용하도록 설정했다면 

인터넷을 통해 접근할 수 있는 서비스와 관리 기능을 확인해야 합니다.

QuickConnect, DDNS, 공유기의 포트포워딩 등 

외부 접속에 사용되는 설정을 점검하고, 

업무상 필요하지 않은 접속 경로는 비활성화하는 것이 좋습니다.

NAS 방화벽에서는 

필요한 IP 주소와 서비스에만 접근을 허용하도록 설정할 수 있습니다. 

외부에서 관리 기능에 접근해야 한다면 직접적인 인터넷 노출을 줄이고, 

적절하게 구성된 VPN 등의 접속 방식을 검토할 수 있습니다.

단, QuickConnect와 포트포워딩은 동작 방식이 다르므로 

각각의 설정과 실제 노출 상태를 구분해 확인해야 합니다.

3. 관리자 계정과 접근 권한

NAS 관리자 계정은 사용자 계정 생성, 

공유 폴더 권한 변경, 시스템 설정 등 중요한 기능에 접근할 수 있습니다.

사용하지 않는 기본 관리자 계정은 비활성화하고, 

관리자 권한은 필요한 계정에만 부여해야 합니다.

계정별로 적절한 접근 권한을 설정하고, 

2단계 인증과 로그인 실패 시 자동 차단 기능도 활용하는 것이 좋습니다.

계정 보안을 강화하더라도 DSM 자체의 취약점이 모두 해결 되었다고 보기는 어렵기에

운영체제 업데이트와 접근 권한 관리를 함께 진행해야 합니다.

4. 스냅샷과 백업 상태

랜섬웨어에 의해 파일이 암호화되더라도 

감염 이전 시점의 정상적인 스냅샷이나 백업 데이터가 남아 있다면 

복구에 활용할 수 있습니다.

스냅샷 기능을 사용하는 NAS라면 정상적으로 생성되고 있는지, 

필요한 시점의 데이터를 복원할 수 있는지 확인해야 합니다.

별도의 백업 장비나 외부 저장소에 보관된 데이터도 함께 점검해야 합니다.

스냅샷과 백업은 서로 다른 데이터 보호 수단입니다.

NAS 내부의 스냅샷만으로 모든 장애나 공격 상황에 대응할 수 있는 것은 아닙니다.

중요한 업무 데이터는 NAS와 분리된 저장소에 별도 백업을 유지하고, 

백업 데이터가 실제로 복원 가능한 상태인지 확인하는 것이 중요합니다.

이미 NAS가 랜섬웨어에 감염됐다면?

NAS에 저장된 파일이 갑자기 열리지 않거나, 

알 수 없는 확장자와 금전 요구 안내문이 발견됐다면 

랜섬웨어 감염을 의심해야 합니다.

이때는 파일 복구를 서두르기보다 

감염 의심 장비를 네트워크에서 격리해 추가 피해를 막는 것이 우선입니다. 

NAS와 연결된 다른 시스템이나 백업 저장소로 

피해가 확산되지 않도록 접근 경로도 확인해야 합니다.

이후 암호화된 파일과 금전 요구 안내문, 

시스템 로그 등 조사에 필요한 정보를 보존하고, 

정상적인 백업본이 남아 있는지 확인해야 합니다.

원인이 해결되지 않은 상태에서 데이터를 복원하면 다시 암호화될 수 있습니다. 

임의로 시스템을 초기화하거나 검증되지 않은 복구 프로그램을 실행하면 

사고 분석과 복구에 필요한 정보가 손실될 위험도 있습니다.

감염이 의심되는 장비는 일반적인 업데이트 작업에 앞서 

격리와 피해 범위 확인이 필요합니다.

복구 작업은 감염 원인과 시스템 상태를 확인하고, 

안전한 백업 데이터가 확보된 이후 진행하는 것이 적절합니다.

기업 NAS 보안은 운영 환경에 맞춰 점검해야 합니다

시놀로지 NAS의 랜섬웨어 피해를 예방하려면 DSM 업데이트뿐 아니라 

외부 접속 설정, 사용자 권한, 스냅샷과 백업 상태를 함께 관리해야 합니다.

기업마다 NAS 모델과 DSM 버전, 파일 공유 방식, 네트워크 구성이 다르기 때문에 

보안 설정을 변경할 때도 기존 업무에 미치는 영향을 고려해야 합니다.

창리정보통신은 기업용 NAS와 스토리지 운영 환경에 대한 기술 지원을 제공하고 있습니다.

현재 사용 중인 NAS의 보안 설정을 직접 확인하기 어렵거나 

업데이트 및 설정 변경에 도움이 필요한 경우, 장비 모델과 운영 환경을 바탕으로

필요한 점검 사항과 대응 방향을 상담 도와드리겠습니다.