Un NAS QNAP puede perder datos por fallo de RAID (disco averiado en array RAID 5/6), corrupción del volumen, ransomware específico como QLocker o DeadBolt —endémicos en QNAP—, error en la actualización de QTS o QuTS hero, o fallo de la controladora interna. La recuperación profesional tiene éxito en el 75–85% de los casos. Actuar rápido y NO reinicializar el array marca la diferencia entre recuperar todo o no recuperar nada.
Un NAS QNAP puede perder datos por: fallo simultáneo de 2+ discos en RAID 5/6, ransomware QLocker o DeadBolt (muy específicos de QNAP), corrupción del volumen EXT4/Btrfs tras corte de corriente, actualización de QTS/QuTS hero que corrompe metadatos, o fallo del controlador SATA/SAS de la unidad. La recuperación profesional reconstruye virtualmente el array trabajando sobre imágenes forenses de los discos, sin tocar los originales.
Datos clave — NAS QNAP
TS-series, QTS kernel, QuTS hero
QLocker (.7z), DeadBolt (.deadbolt), eCh0raix
500–2.000€ según tipo de fallo
75–85% (diagnóstico previo gratuito)
Causas de pérdida de datos en NAS QNAP
Los NAS QNAP son ampliamente utilizados tanto en entornos domésticos como en pequeñas y medianas empresas. Son equipos robustos, pero están expuestos a un catálogo de fallos que en nuestro laboratorio de Barcelona atendemos con frecuencia creciente. Estas son las causas más habituales:
2 o más discos del RAID fallidos simultáneamente
RAID 5 tolera el fallo de un único disco. Cuando cae un segundo disco —ya sea durante la reconstrucción o de forma independiente—, el array entra en estado crítico y los datos quedan completamente inaccesibles. Este escenario se da con especial frecuencia cuando todos los discos del QNAP son del mismo modelo y lote, ya que el desgaste acumulado hace que fallen en cadena.
Volumen corrompido por corte de luz durante escritura
Un corte de corriente mientras el NAS está escribiendo datos puede corromper los metadatos del sistema de archivos (EXT4 o Btrfs). En QNAP, el sistema de almacenamiento basado en Linux Software RAID (mdadm) guarda un superbloque con los parámetros del array en cada disco. Si ese superbloque se corrompe parcialmente, el NAS puede no reconocer el array en el siguiente arranque y mostrar el volumen como "no disponible".
Ransomware QLocker / DeadBolt (muy específico de QNAP)
QNAP ha sido objetivo prioritario de varios grupos de ransomware a lo largo de los últimos años. A diferencia de otros fabricantes de NAS, QNAP ha sufrido campañas masivas dirigidas específicamente a sus dispositivos, aprovechando vulnerabilidades en el sistema operativo QTS. Ver la sección siguiente para un análisis detallado.
Error en actualización QTS / QuTS hero que corrompe metadatos
Las actualizaciones del sistema operativo QTS o de su variante QuTS hero (basada en ZFS) son generalmente seguras, pero pueden provocar pérdida de acceso al volumen en escenarios concretos: corte de corriente durante la actualización, incompatibilidad con el hardware del NAS (especialmente en modelos más antiguos fuera de soporte oficial) o conflicto con paquetes instalados de terceros. El síntoma habitual es que el NAS arranca pero el gestor de almacenamiento muestra el volumen como "dañado" o directamente no lo detecta.
Fallo del controlador SATA/SAS en la unidad NAS
El hardware interno del NAS (placa base, controlador de almacenamiento, memoria RAM soldada) puede fallar de forma independiente a los discos. En estos casos los discos están físicamente intactos y todos los datos están presentes en ellos, pero el QNAP no puede leerlos porque el controlador que gestiona el RAID no funciona. La solución es extraer los discos, identificar los parámetros del array mdadm almacenados en los superbloques de cada disco y reconstruirlo en un entorno forense.
Eliminación accidental de carpetas compartidas
Uno de los casos más frecuentes y delicados. El usuario elimina una carpeta compartida desde la interfaz QTS (o un usuario con permisos lo hace remotamente), o reinicializa el NAS para "empezar de cero" sin haber hecho backup previo. La recuperación es posible si no se han escrito datos nuevos encima del espacio liberado, ya que los datos en los sectores físicos permanecen intactos hasta que el sistema operativo los sobrescriba con nueva información.
Ransomware en QNAP: QLocker, DeadBolt y eCh0raix
Los NAS QNAP son el objetivo de ransomware más frecuente entre los dispositivos NAS. No es casualidad: la combinación de una gran base instalada, dispositivos expuestos directamente a internet y vulnerabilidades explotadas antes de que los usuarios actualicen el firmware ha convertido a QNAP en una plataforma especialmente atractiva para los atacantes. Estas son las tres variantes que atendemos con mayor frecuencia:
QLocker (2021): archivos comprimidos con contraseña en 7z
QLocker fue la campaña de ransomware más masiva dirigida específicamente a dispositivos QNAP. En abril-mayo de 2021 afectó a miles de dispositivos en todo el mundo, incluyendo numerosos clientes en España. El mecanismo era peculiar: en lugar de cifrar los archivos directamente, el malware los comprimía con contraseña en archivos .7z usando el propio motor 7-Zip instalado en el QNAP, y después eliminaba los originales. El resultado: todas las carpetas del NAS aparecen llenas de archivos .7z con contraseña, y los originales han desaparecido.
DeadBolt (2022): cifrado directo con extensión .deadbolt
DeadBolt apareció en enero de 2022 y se extendió a lo largo de ese año en múltiples oleadas, cada una aprovechando una vulnerabilidad distinta del firmware QNAP. A diferencia de QLocker, DeadBolt cifra los archivos directamente añadiendo la extensión .deadbolt y exige el pago de 0,03 Bitcoin a cambio de la clave de descifrado. Adicionalmente, modifica la página de inicio de sesión de QTS para mostrar la nota de rescate, haciendo que el NAS muestre la demanda incluso antes de iniciar sesión.
La recuperación de datos en sistemas afectados por DeadBolt sin pagar el rescate es técnicamente posible en ciertos escenarios: si el NAS tenía snapshots activos anteriores al ataque, o si la variante de DeadBolt que afectó el dispositivo ya cuenta con una clave de descifrado pública (varias versiones han sido neutralizadas).
eCh0raix: afecta tanto a QNAP como a Synology
eCh0raix (también conocido como QNAPCrypt) es un ransomware más antiguo, activo desde 2019, que ataca tanto NAS QNAP como Synology. Cifra los archivos y añade una extensión aleatoria o .encrypt. Es menos agresivo que DeadBolt en cuanto a velocidad de propagación, pero igualmente devastador si no se tienen snapshots.
Pagar el rescate no garantiza en absoluto la recuperación de los datos. En muchos casos los atacantes no proporcionan la clave prometida, o la clave funciona solo parcialmente. Además, el pago financia futuras campañas contra otros usuarios.
Antes de tomar cualquier decisión, consulta el proyecto No More Ransom — una iniciativa de Europol, la Polícia Nacional y empresas de ciberseguridad que ofrece descifradores gratuitos para decenas de variantes de ransomware. También contacta con nuestro laboratorio para evaluar opciones de recuperación forense antes de pagar.
Proceso de recuperación post-ransomware en laboratorio
Cuando un QNAP afectado por ransomware llega a nuestro laboratorio, el proceso es el siguiente:
- Imagen forense completa de todos los discos del array antes de cualquier intervención
- Identificación de la variante de ransomware y verificación en bases de datos de descifradores conocidos
- Análisis de snapshots: comprobamos si el NAS tenía snapshots activos en QTS/QuTS hero previos al ataque
- Recuperación de espacio no asignado: si el ransomware borró los originales antes de cifrar (como en QLocker), analizamos el espacio libre del volumen
- Descifrado si existe clave disponible; si no, extracción del máximo contenido accesible no cifrado
- Entrega y recomendación de medidas preventivas
Lo que NO debes hacer si tu QNAP NAS falla
Cada acción incorrecta tras un fallo puede reducir drásticamente las probabilidades de recuperación. Las advertencias siguientes están basadas en casos reales atendidos en nuestro laboratorio:
Reinicializar el pool de almacenamiento o crear un nuevo volumen borra los superbloques mdadm y los metadatos del sistema de archivos. Aunque los datos físicos en los sectores permanezcan intactos durante un tiempo, la pérdida de los metadatos del sistema de archivos multiplica enormemente la dificultad de recuperación y reduce la tasa de éxito de forma dramática.
El proceso de reconstrucción escribe intensivamente en todos los discos del array. Si alguno de los discos supervivientes tiene sectores defectuosos —incluso sin fallo declarado—, la sobrecarga de la reconstrucción puede provocar un segundo fallo durante la operación, destruyendo la paridad y haciendo irrecuperable el array.
Si los discos presentan fallo físico (cabezales dañados, motor bloqueado, platos rayados), cada ciclo de arranque empeora el daño. Si escuchas chasquidos, clics o ruidos repetitivos al encender el NAS, apaga de inmediato y no vuelvas a encenderlo. Llama a un laboratorio antes de intentar cualquier otra acción.
Una actualización del sistema operativo QTS o QuTS hero mientras el array está en estado degradado es una combinación extremadamente peligrosa. La actualización puede fallar a mitad del proceso, dejando el firmware en un estado inconsistente y el array inaccesible. Si el NAS está en estado degradado, no actualices el firmware hasta que el array esté completamente sano.
Instalar y ejecutar herramientas de recuperación de datos directamente sobre el NAS con los datos comprometidos provoca escrituras en los mismos discos que se intenta recuperar. Esto puede sobrescribir archivos borrados que todavía eran recuperables. La recuperación debe realizarse siempre sobre imágenes forenses en un entorno externo al propio NAS.
- Apagar el NAS de forma limpia (si sigue respondiendo) o desconectar la corriente
- Anotar el modelo exacto del QNAP, el modelo y la posición (bahía) de cada disco
- Fotografiar el estado de los LEDs antes de apagar
- No intercambiar discos de bahía: el orden de los discos en el array es crítico
- Contactar con un laboratorio especializado antes de cualquier otra acción
Recuperación según tipo de fallo
El enfoque de recuperación varía significativamente según cuál sea la causa del fallo. A continuación describimos el proceso específico para cada escenario:
Los discos están físicamente sanos pero el sistema de archivos (EXT4 o Btrfs) presenta corrupción en metadatos, journal o árbol de inodos. El QTS no puede montar el volumen.
Proceso: Imagen de cada disco → Reconstrucción virtual del array mdadm → Montaje del sistema de archivos sobre la imagen → Extracción de archivos. Tasa de éxito: 85–95%.
RAID 5 está degradado por el fallo de un disco. Técnicamente el array podría reconstruirse, pero si el disco fallido tiene daño físico la reconstrucción estándar es arriesgada.
Proceso: Imagen de todos los discos (incluido el fallido) → Reparación del disco dañado en sala limpia si es necesario → Reconstrucción virtual del RAID sobre imágenes → Extracción de datos. Tasa de éxito: 80–90%.
Se ha superado la tolerancia del RAID 5. La reconstrucción estándar es imposible porque falta más información de paridad de la disponible.
Proceso: Imagen de todos los discos → Reparación de discos con daño físico → Reconstrucción parcial aplicando técnicas de interpolación sobre las zonas de error → Extracción del máximo contenido posible. Tasa de éxito: 60–75% dependiendo de la distribución de sectores defectuosos.
El firmware QTS o QuTS hero quedó en estado inconsistente tras una actualización fallida. El NAS puede no arrancar o arrancar pero no detectar el array de almacenamiento.
Proceso: Los datos residen en los discos, no en el firmware. Extraemos los discos, los conectamos a nuestro entorno forense, identificamos los parámetros del array mdadm en los superbloques y reconstruimos el volumen sin necesidad del hardware QNAP original. Tasa de éxito: 85–95%.
Los archivos han sido cifrados o comprimidos con contraseña. El array RAID en sí puede estar operativo; el problema es el cifrado de los datos.
Proceso: Imagen forense completa → Identificación de la variante → Búsqueda de descifrador disponible (No More Ransom, CISA, bases de datos propias) → Análisis de snapshots QTS/QuTS hero → Recuperación forense de espacio no asignado para versiones anteriores de archivos → Extracción del contenido accesible. Tasa de éxito variable según variante y configuración del NAS.
Compatibilidad — modelos QNAP que hemos recuperado
Trabajamos con toda la gama QNAP, desde los modelos de 2 bahías para hogar hasta los arrays de rack para entornos empresariales. A continuación algunos de los modelos que atendemos con mayor frecuencia:
| Modelo | Bahías | Sistema | Perfil de uso habitual |
|---|---|---|---|
| TS-230 | 2 | QTS | Backup doméstico y autónomos |
| TS-251D | 2 | QTS | SOHO, RAID 1, muy extendido |
| TS-431 | 4 | QTS | PYME, RAID 5 de 4 discos |
| TS-453D | 4 | QTS | PYME con 2.5GbE, muy atacado por ransomware |
| TS-653B | 6 | QTS | Multimedia y virtualización SMB |
| TVS-672N | 6 | QTS | Entornos corporativos con PCIe NVMe |
| TVS-1282T3 | 12+2 | QTS | Thunderbolt 3, producción audiovisual |
| TS-873U | 8 | QTS | Rack 1U, centros de datos PYME |
| TS-h886 | 8 | QuTS hero (ZFS) | Entornos críticos, ZFS con deduplicación |
La recuperación funciona independientemente del modelo de QNAP porque trabajamos directamente sobre imágenes de los discos en un entorno forense externo. No necesitamos el hardware QNAP original para reconstruir el array — los parámetros mdadm (o los metadatos ZFS en QuTS hero) están almacenados en los propios discos.
Precio recuperación datos NAS QNAP [2026]
El precio de recuperación de un NAS QNAP depende del tipo de fallo, el número de discos del array y si hay daño físico en los discos. Los rangos orientativos siguientes se establecen siempre tras diagnóstico gratuito previo:
| Tipo de fallo | Discos | Plazo | Precio orientativo |
|---|---|---|---|
|
Fallo lógico — corrupción EXT4/Btrfs Discos sanos, volumen no accesible |
cualquiera | 3–7 días | desde 890€ |
|
RAID 5 lógico — 1 disco fallido Array degradado, sin daño físico severo |
3–4 | 4–12 días | desde 890€ |
|
RAID 5 con 2 discos fallidos Array caído, reconstrucción parcial necesaria |
3–4 | 10–15 días | 1.000–1.800€ |
|
Ransomware (QLocker, DeadBolt, eCh0raix) Archivos cifrados o comprimidos con contraseña |
cualquiera | 7–14 días | desde 900€ |
|
Corrupción de firmware / QTS fallido NAS no arranca, actualización interrumpida |
cualquiera | 4–12 días | desde 890€ |
|
Daño físico en uno o más discos Cabezales dañados, motor bloqueado, sala limpia |
cualquiera | 15–25 días | presupuesto individual |
Los precios incluyen: diagnóstico, reconstrucción del array, extracción de datos y entrega en disco externo de hasta 4TB. IVA no incluido. Recogida gratuita en toda España. Sin recuperación, sin coste.
¿Tu NAS QNAP no arranca o ha sufrido un ransomware?
Diagnóstico gratuito en 4 horas. Sin recuperación, sin coste. Recogida gratuita en toda España. ISO 27001.
900 899 002Laboratorio en Barcelona · Atención telefónica L–V 9:00–18:30
WhatsApp