Ransomware invade servidores Synology NAS expostos: vulnerabilidade de 18 meses expõe milhares de empresas

A madrugada de 12 de outubro de 2026 trouxe mais um alerta ao universo da cibersegurança: milhares de servidores Synology NAS, acessíveis diretamente da internet, foram vítimas de um ataque de ransomware que se aproveitou de uma vulnerabilidade de execução remota (RCE) presente no DiskStation Manager (DSM) há quase um ano e meio. A falha, identificada inicialmente em março de 2025 como CVE‑2025‑3112, permitia que um agente malicioso injetasse código arbitrário nas camadas de administração do DSM, contornando autenticações e habilitando a instalação de payloads de criptografia de arquivos. Embora a Synology tenha divulgado um patch crítico em junho de 2025, a maioria dos dispositivos continuava operando com versões desatualizadas, sobretudo aqueles configurados para acesso remoto sem camadas adicionais de proteção.

A gravidade do incidente reside não apenas na técnica de exploração, mas também no perfil dos alvos. Dispositivos NAS da Synology são amplamente adotados por pequenas e médias empresas (PMEs) brasileiras, bem como por departamentos de TI de instituições acadêmicas, devido ao seu custo-benefício e à facilidade de gerenciamento. Segundo levantamento da Associação Brasileira de Empresas de Tecnologia (ABETEC), cerca de 42% das PMEs que utilizam armazenamento local possuem ao menos um Synology NAS conectado à internet, muitas vezes para facilitar o compartilhamento de arquivos entre filiais ou com parceiros externos. Essa prática, ainda que compreensível em um cenário de trabalho híbrido, abre portas para agentes maliciosos que buscam alvos com menor maturidade em políticas de atualização.

O vetor de ataque explorado pelos cibercriminosos começa com a varredura automatizada de blocos de endereços IP em busca de portas típicas de gerenciamento do DSM, como a 5000 (HTTP) e 5001 (HTTPS). Uma vez identificada a presença do serviço, o exploit da CVE‑2025‑3112 envia uma sequência de payloads que, ao ser processada pelo serviço vulnerável, gera um shell remoto com privilégios de administrador. A partir desse ponto, os invasores implantam um ransomware – no caso da campanha mais recente, um variante da família "LockBit" adaptada para ambientes Linux/Unix – que cifra arquivos críticos e exibe mensagens de resgate em múltiplos idiomas, inclusive português.

Os impactos imediatos são devastadores: indisponibilidade de dados essenciais, interrupção de processos de negócio e, em muitos casos, a necessidade de pagar resgates que podem ultrapassar US$ 150 mil por empresa. Um estudo da Kaspersky, divulgado em julho de 2026, aponta que o custo médio global de um incidente de ransomware envolvendo NAS chegou a US$ 1,9 milhão, enquanto no Brasil o valor médio foi estimado em R$ 2,3 milhões, refletindo a combinação de perdas operacionais, custos de restauração e multas potenciais relacionadas à Lei Geral de Proteção de Dados (LGPD). Empresas que não mantinham backups offline sofreram perdas irreparáveis, e algumas optaram por encerrar suas atividades.

Do ponto de vista técnico, a vulnerabilidade reside em um componente de gerenciamento de sessões do DSM que não sanitizava adequadamente entradas de parâmetros HTTP. Ao explorar essa falha, o código malicioso obtinha controle total sobre o kernel do dispositivo, permitindo a criação de usuários de sistema e a modificação de arquivos de configuração críticos. O exploit foi particularmente perigoso porque não exigia credenciais válidas – a própria falha de validação substituía a necessidade de autenticação. Isso difere de ataques tradicionais que se baseiam em senhas fracas ou credenciais vazadas; aqui, a própria arquitetura do software era o ponto de entrada.

Especialistas em segurança recomendam um conjunto de contramedidas imediatas. Primeiro, a atualização automática do DSM deve ser habilitada em todos os dispositivos, garantindo que patches críticos sejam aplicados assim que liberados. Segundo, o acesso remoto deve ser restrito a VPNs corporativas, eliminando a exposição direta das portas de gerenciamento à internet. Terceiro, a segmentação de rede – criando VLANs dedicadas para dispositivos de armazenamento – reduz o risco de movimento lateral caso um endpoint seja comprometido. Por fim, a estratégia de backup deve incluir cópias offline ou em nuvem, armazenadas em mídias desconectadas da rede principal, para garantir a possibilidade de restauração sem depender de pagamentos a criminosos.

No Brasil, o cenário se complica pela falta de conscientização entre gestores de TI de PMEs. Muitas empresas ainda utilizam credenciais padrão (admin/admin) ou não alteram as portas de gerenciamento, acreditando que a presença de um firewall de borda seria suficiente. Um levantamento da empresa de auditoria PwC, publicado em setembro de 2026, revelou que 68% das organizações que sofreram ataques de ransomware em NAS não possuíam políticas formais de patch management. Esse déficit de governança deixa as empresas vulneráveis não apenas a ransomware, mas também a outros tipos de malware que podem usar a mesma vulnerabilidade para estabelecer botnets de mineração de criptomoedas.

Além dos impactos econômicos, há repercussões geopolíticas. Grupos de ransomware, como LockBit, Conti e Hive, operam em redes transnacionais que recebem financiamento de fontes suspeitas de origem estatal. A exploração de vulnerabilidades de software amplamente distribuído – como a da Synology – demonstra a eficácia de ataques de cadeia de suprimentos, nos quais um único ponto de falha pode comprometer milhares de organizações em diferentes continentes. Autoridades americanas e europeias já sinalizaram a intenção de impor sanções a infraestruturas críticas que não adotarem práticas de segurança mínimas, e o Brasil não está isento desse escrutínio, especialmente após a aprovação da Lei de Segurança de Infraestrutura Digital (LSID) em 2024.

Para o ecossistema brasileiro de tecnologia, o incidente representa um alerta sobre a necessidade de maturidade em gestão de vulnerabilidades. A Synology, em comunicado oficial emitido em 13 de outubro, prometeu reforçar seus mecanismos de notificação de patches, introduzindo um serviço de "Security Assurance" que permite aos administradores monitorar a conformidade de atualizações em tempo real. A empresa também anunciou a integração de assinaturas de antivírus de terceiros no DSM, facilitando a detecção precoce de atividades suspeitas.

Entretanto, a solução não depende apenas do fornecedor. O papel dos integradores de sistemas e dos provedores de serviços gerenciados (MSPs) é crucial na implementação de políticas de segurança consistentes. No Brasil, MSPs como a Logicalis e a Stefanini têm expandido ofertas de monitoramento 24/7 para dispositivos de armazenamento, incluindo análises comportamentais que podem identificar anomalias de acesso antes que o ransomware se propague. Essas iniciativas são fundamentais para reduzir o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR), métricas que, segundo a Verizon 2026 Data Breach Investigations Report, ainda apresentam valores inaceitáveis em ambientes de NAS.

Em termos de futuro, a tendência aponta para uma automação maior na gestão de vulnerabilidades. Soluções baseadas em IA, como o Azure Security Center ou o AWS Inspector, já oferecem integração direta com APIs de dispositivos de armazenamento, permitindo a aplicação de patches sem intervenção humana. No contexto brasileiro, projetos piloto como o "Cidadão Seguro" – iniciativa conjunta do Ministério da Ciência, Tecnologia e Inovações (MCTI) com fabricantes de hardware – buscam criar um repositório nacional de vulnerabilidades críticas, facilitando a divulgação e a resposta coordenada.

A lição central que emerge desse episódio é que a simples conexão de um NAS à internet não é suficiente para garantir a continuidade dos negócios. A combinação de vulnerabilidades antigas, práticas de configuração inadequadas e a crescente sofisticação de grupos de ransomware cria um cenário de risco elevado. Empresas que adotarem uma postura proativa – atualizando sistemas, segmentando redes, implementando backups robustos e monitorando continuamente atividades – estarão melhor posicionadas para enfrentar a próxima onda de ataques.

Em síntese, o ataque ao Synology NAS evidencia a vulnerabilidade latente dos dispositivos de armazenamento em nuvem híbrida, sobretudo quando expostos diretamente à internet. As consequências econômicas, regulatórias e operacionais são profundas, e o Brasil, como grande consumidor dessas tecnologias, deve acelerar a adoção de boas práticas de cibersegurança. O futuro apontará para uma integração mais estreita entre fornecedores de hardware, plataformas de gerenciamento de vulnerabilidades e políticas públicas que reforcem a cultura de atualização constante, mitigando assim o risco de novos incidentes devastadores.