Western Digital 遭遇网络安全漏洞

3月26号那天，我正刷着某技术论坛的网络摸鱼帖，一条标题蹦出来——“WD My Cloud 好像挂了”。安全点进去一看，漏洞不是遭遇一两个人喊，是网络成片的用户说自己的西部数据 NAS 登不上了，手机 App 转圈，安全网页控制台直接报 502。漏洞当时第一反应是遭遇：又来了，要么是网络 AWS 抽风，要么是安全 WD 自己把证书搞过期了。结果第二天，漏洞WD 官方发了一封邮件给用户，遭遇措辞很克制，网络但意思很明确：我们被黑了。安全

邮件里说，3 月 26 日发现“网络安全事件”，涉及部分系统，已断网隔离。没提勒索软件，没提数据泄露规模，只说“正在调查”。这种模糊声明在安全圈里几乎等于默认：事儿不小。我翻了下 Reddit 的 r/DataHoarder 板块，有人贴出自己 NAS 的日志截图，显示 MyCloud 服务尝试回连一个俄罗斯 IP，端口 443。底下跟帖的哥们儿说：“我他妈存了十年的家庭照片全在那上面。” 这种话看多了，你很难把这事当成一条普通的安全通告。

WD 的 My Cloud 系列一直有个老毛病——默认开启云访问，而且早期固件里硬编码过几个后门账户。2018 年就爆过 CVE-2018-18472，一个 root 命令注入，影响面巨大。后来他们推了补丁，但很多用户根本懒得升级，盒子往角落一塞，插着电就是三年。这次攻击者大概率是扫到了某个未修复的入口，拿了初始访问权限，然后横向移动。我猜的，但逻辑上说得通：WD 的云架构把用户设备和中心认证服务器绑得太紧，一旦认证层被穿透，下面就是一片平坦的内网。

这一周里，WD 干了什么？他们直接把 My Cloud 的云服务下线了。所有远程访问全断，本地局域网还能用。这招挺狠，等于把用户锁在门外，但确实能阻止攻击者继续从云端下发指令。问题是，很多用户买 My Cloud 就是图个远程备份，现在远程没了，盒子变成一块砖。WD 的论坛里有人骂：“你至少发个公告说清楚，别让我们干等。” 官方回复永远是“我们正在努力恢复”。这种话术，跟 2021 年他们被勒索软件攻击时的回应几乎一模一样。

勒索软件？我没看到确凿证据。但有个安全研究员在 Mastodon 上发帖，说他在 WD 的某台暴露在公网的 Jenkins 服务器上看到了 LockBit 的勒索信样本。后来那条帖子被删了，账号也设了私密。WD 官方始终没提勒索二字，只说“数据可能被访问”。这种措辞很讲究——“可能”意味着他们自己也没搞清楚丢了什么。对于一家存储公司来说，这挺讽刺的：你卖的就是数据安全，结果自己的安全先塌了。

我自己的看法是，WD 这次的问题不在技术，在态度。从 3 月 26 日到 4 月 2 日，整整七天，用户只能靠论坛里的零散信息拼凑真相。安全事件响应里有个黄金准则：透明比完美更重要。你哪怕说“我们被攻击了，正在隔离，建议用户拔网线”，也比沉默强。沉默只会让谣言跑得更快。现在好了，媒体开始挖 WD 的旧账——2019 年 My Cloud 的硬编码漏洞、2021 年的勒索攻击、2023 年这次。三次了，同一个产品线。

截至我写这篇东西的时候，WD 的云服务还没完全恢复。部分用户说能登录了，但文件列表加载极慢，像是从备份里一点点往外捞。没人知道攻击者到底拿走了什么——可能是用户邮箱，可能是设备序列号，也可能是加密密钥。WD 说会“在适当时候”通知受影响用户。这个“适当时候”是多久？没人敢猜。

如果你手里有 WD 的 NAS，现在能做的事很简单：拔掉网线，用本地 IP 访问，把重要数据备份到另一块硬盘上。别等官方补丁，别信“云服务已恢复”的推送。存储这行当，信任一旦碎了，拼回去需要的时间比你想的长得多。

(责任编辑：探索)