Recuperar Datos de NAS Synology o QNAP: Guía ante Fallo Total del Sistema

Cuando un NAS Synology o QNAP no arranca, el array RAID aparece dañado, los ficheros han sido cifrados por ransomware o uno o varios discos han fallado dentro del dispositivo, cada minuto cuenta. La primera regla es no forzar el NAS ni reinicializar el array. Este artículo explica los tipos de fallo más habituales, qué puedes intentar tú mismo y en qué punto el laboratorio especializado es imprescindible para salvar tus datos.

Tipos de fallo en NAS Synology y QNAP

Los NAS domésticos y de pyme son dispositivos que combinan hardware y software en un entorno más complejo de lo que parece. Cuando algo falla, el motivo determina completamente qué tipo de recuperación es viable. Estos son los escenarios que atendemos con más frecuencia en nuestro laboratorio:

1. Disco físico fallido dentro del NAS

Es la causa más habitual. Un disco del array presenta fallos mecánicos (cabezas, platos) o electrónicos. Si la configuración RAID tiene tolerancia suficiente (RAID 1, RAID 5 con un único fallo, RAID 6 con hasta dos fallos), el sistema sigue operativo en modo degradado. El problema viene cuando el disco falla durante la reconstrucción o cuando la configuración no tiene margen de tolerancia (RAID 0, o RAID 5 con dos discos fallidos).

2. Corrupción del sistema operativo (DSM o QTS)

Synology DSM y QNAP QTS son sistemas operativos Linux embebidos que gestionan el almacenamiento, los servicios de red y la interfaz web del NAS. Una corrupción del sistema operativo —generalmente por corte de corriente durante una escritura crítica— puede impedir el arranque del NAS aunque los discos de datos estén perfectamente sanos. El NAS no carga DSM/QTS pero los datos siguen intactos en los discos.

3. Actualización de firmware fallida

Las actualizaciones de DSM o QTS reescriben particiones del sistema en los propios discos del NAS. Si la actualización se interrumpe (corte de luz, cuelgue del sistema, disco con sectores defectuosos), el NAS puede quedar en un estado inconsistente: ni la versión antigua ni la nueva están completas. El resultado es un NAS que no arranca y un array de datos inaccesible.

4. Ransomware

El ransomware cifra los ficheros del NAS y exige un rescate para descifrarlos. QNAP fue el objetivo de campañas masivas específicas (Deadbolt en 2021-2022); Synology también ha sido afectado aunque con menos frecuencia. El ransomware en NAS es especialmente devastador porque puede cifrar simultáneamente los archivos y las snapshots si estas no están protegidas de escritura. Ver sección dedicada más adelante.

5. Fallo de controladora o fuente de alimentación (PSU)

El hardware del propio NAS puede fallar independientemente de los discos. La controladora SATA/SAS integrada, la placa base del NAS o la fuente de alimentación pueden averiarse sin afectar a los discos. En este caso, los discos están perfectamente sanos pero no se puede acceder a los datos porque el NAS no funciona. La solución habitual es conectar los discos a otro NAS compatible o a un sistema Linux en laboratorio.

6. Sobreescritura o borrado accidental

Un usuario borra o sobreescribe ficheros accidentalmente. Si el NAS tiene snapshots activadas (Synology Snapshot Replication, QNAP Snapshot Manager), la recuperación puede ser directa desde la consola. Si no hay snapshots, la recuperación requiere análisis forense del sistema de ficheros (Btrfs o EXT4), buscando inodos no referenciados y bloques de datos aún no sobreescritos.

RAID en NAS: diferencias entre RAID 1, 5, 6 y SHR

Los NAS de consumo y pyme utilizan configuraciones RAID gestionadas por software. Entender qué protege cada nivel —y qué no protege— es fundamental para evaluar el riesgo real ante un fallo.

¿Qué ocurre cuando falla más de 1 disco en RAID 5?

RAID 5 usa paridad distribuida simple: con la información de los discos supervivientes puede recalcular el contenido del disco fallido. Pero eso solo funciona con exactamente un disco fallido. Si un segundo disco falla antes de que se complete la reconstrucción —o simultáneamente—, el array supera su capacidad de tolerancia. Los datos ya no son accesibles por métodos convencionales y la reconstrucción automática no puede completarse.

En RAID 6 la situación es algo menos urgente: tiene doble paridad (dos algoritmos independientes, P y Q), por lo que puede reconstruir con hasta dos discos fallidos. Si falla un tercer disco, la situación es análoga a RAID 5 con doble fallo. En cualquier caso, con dos discos fallidos en RAID 6 debes considerar el array como en peligro crítico y actuar de inmediato.

Para una guía detallada sobre RAID 5, consulta nuestro artículo RAID 5 con un disco fallido: qué hacer antes de que falle otro, y para entornos de servidor empresarial, recuperación de datos en SAN, NAS y DAS.

¿Puedo recuperar los datos yo mismo?

Las herramientas nativas de Synology y QNAP ofrecen opciones de recuperación que en algunos escenarios pueden ser suficientes. La clave está en identificar con precisión en qué escenario estás.

Synology DSM Recovery / Synology Assistant

Synology incluye en su asistente de recuperación la opción de reinstalar DSM "sin borrar los datos". Cuándo puede funcionar: cuando el problema es exclusivamente el sistema operativo DSM (partición del sistema corrupta) y los discos de datos están físicamente sanos. El asistente reinstala el sistema operativo respetando el volumen de datos.

Cuándo NO funciona: si el fallo es un disco físico averiado, si hay corrupción del sistema de archivos Btrfs/EXT4 en el volumen de datos, si el RAID ha superado su límite de tolerancia, o si hay ransomware activo. En estos casos, ejecutar la reinstalación puede borrar los metadatos del RAID o inicializar el volumen.

QNAP Data Recovery Agent

QNAP ofrece herramientas de recuperación integradas en QTS, así como la aplicación QNAP Recovery Tool para escritorio. Cuándo puede funcionar: para recuperar ficheros borrados accidentalmente cuando no hay daño físico ni corrupción del sistema, especialmente si las snapshots de QNAP están activadas.

Cuándo NO funciona: en fallos de RAID por múltiples discos, ransomware (los ficheros cifrados no son recuperables con herramientas de recuperación estándar), corrupción profunda del volumen, o daño físico en discos.

Software de recuperación de terceros

Herramientas como R-Studio o Runtime RAID Reconstructor pueden montar manualmente el array RAID a partir de imágenes de los discos. Son opciones válidas para usuarios técnicos avanzados cuando el daño es exclusivamente lógico. Sin embargo, requieren conocer el stripe size, el orden de los discos y el algoritmo de paridad del NAS —parámetros que no siempre son documentados por Synology ni QNAP.

Para entender mejor la diferencia entre recuperación lógica y física, consulta nuestra guía sobre recuperación de datos en RAID.

Reglas críticas: lo que NUNCA debes hacer

Proceso de recuperación en laboratorio

Cuando el NAS llega a nuestro laboratorio, seguimos un protocolo estandarizado que minimiza el riesgo de pérdida adicional de datos en cada paso:

Fase 1: Diagnóstico y evaluación

Evaluamos el estado físico de cada disco individualmente (SMART completo, análisis de superficie, lectura de sectores) sin conectarlos al NAS original. Identificamos cuántos discos presentan daño físico, cuántos sectores defectuosos hay en cada uno y si el daño es lógico o físico. Esta evaluación es gratuita y necesaria para darte un presupuesto realista.

Fase 2: Copia forense sector por sector

Antes de cualquier operación de recuperación, hacemos una imagen sector por sector de cada disco mediante duplicadoras forenses (PC-3000 UDMA, DeepSpar). El trabajo se realiza siempre sobre las imágenes, nunca sobre los discos originales. Si un disco tiene daño físico (cabezas, platos), trabajamos primero en sala limpia para repararlo o estabilizarlo lo suficiente para completar la imagen.

Fase 3: Análisis de metadatos RAID

Con las imágenes disponibles, analizamos los metadatos del array para determinar:

• Orden de los discos: qué posición ocupa cada disco en el stripe
• Tamaño del stripe (chunk size): típicamente 64KB o 128KB en NAS Synology/QNAP
• Rotación de paridad: izquierda asimétrica, izquierda simétrica, derecha asimétrica — depende del firmware
• Algoritmo XOR/P+Q: para RAID 6, los dos algoritmos de paridad usados

Fase 4: Reconstrucción lógica del volumen

Con los parámetros del array identificados, reconstruimos virtualmente el volumen combinando las imágenes de los discos. Esto nos da acceso a la partición de datos original (Btrfs o EXT4) sin necesidad de hardware NAS. Desde aquí extraemos el sistema de ficheros completo y listamos los archivos recuperables antes de proceder a la extracción final.

Fase 5: Extracción y verificación

Extraemos los ficheros al soporte de destino elegido por el cliente (disco externo, NAS nuevo, nube) y verificamos la integridad de los archivos más críticos. En caso de daño parcial, aplicamos técnicas de file carving para recuperar ficheros en zonas de disco dañadas.

Ransomware en NAS: Deadbolt, QLocker y otros

Los NAS conectados directamente a Internet son un objetivo habitual de campañas de ransomware. La combinación de almacenamiento masivo, software desactualizado y puertos expuestos los convierte en blancos valiosos.

DeadBolt en QNAP: el ataque masivo de 2021-2022

Entre enero de 2021 y finales de 2022, el ransomware DeadBolt comprometió decenas de miles de dispositivos QNAP a nivel mundial. Explotaba vulnerabilidades en QTS y QuTS hero para cifrar los ficheros con la extensión .deadbolt sin necesidad de credenciales de acceso. Fue uno de los ataques de ransomware más específicos y masivos contra NAS de consumo jamás registrados.

En algunos casos, autoridades policiales y la propia QNAP colaboraron para obtener claves de descifrado. Si tu NAS fue afectado por DeadBolt, consúltanos antes de pagar o tomar cualquier acción — la situación ha evolucionado y algunas variantes tienen solución.

Otras cepas habituales en NAS

• QLocker: también específico de QNAP, comprimía los ficheros en archivos .7z protegidos con contraseña
• eCh0raix: afectó tanto a QNAP como a Synology; dirigido específicamente a NAS con SMB y FTP expuestos
• Ransomware genérico: cepas como LockBit, Akira o Cl0p que acceden al NAS como recurso compartido de red desde un equipo infectado de la red local

Posibilidades de recuperación ante ransomware en NAS

La recuperación depende de tres factores: la cepa específica del ransomware, si hay snapshots no cifradas disponibles, y si existe alguna vulnerabilidad conocida en el cifrado de esa variante.

• Snapshots de Synology o QNAP: si las snapshots estaban activadas y el ransomware no las cifró (es posible si las snapshots están en un volumen separado o protegido), la recuperación es casi completa
• Claves de descifrado disponibles: algunas cepas antiguas tienen claves publicadas por fuerzas policiales o investigadores; en otros casos el laboratorio ha obtenido claves a través de otros canales
• Versiones shadow de ficheros: en algunos casos, la estructura de Btrfs o EXT4 conserva versiones anteriores de ficheros en bloques no sobreescritos
• Sin solución de descifrado: si el ransomware usa cifrado moderno (AES-256 + RSA-2048) sin vulnerabilidades conocidas y no hay backup, la recuperación de los ficheros cifrados no es posible

Precios y plazos orientativos por nivel de daño

Los precios son orientativos. El diagnóstico es siempre gratuito y sin compromiso. No cobramos si no recuperamos los datos. Solicita presupuesto sin compromiso.

Cuando un NAS falla en una empresa

En un entorno empresarial, el fallo de un NAS no es solo un problema técnico: es un incidente con implicaciones legales, operativas y de reputación que requiere una gestión coordinada.

Notificación al DPO y a la AEPD

Si el NAS almacena datos personales (clientes, empleados, pacientes), el fallo puede constituir una brecha de seguridad bajo el RGPD. La empresa tiene la obligación de notificar a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde que tiene conocimiento del incidente, si la brecha supone un riesgo para los derechos y libertades de las personas. El DPO (Delegado de Protección de Datos, si existe) debe ser informado de inmediato y debe participar en la decisión de notificación.

El laboratorio puede emitir un informe técnico del incidente que describa la causa, el alcance de los datos afectados y las medidas adoptadas — documentación necesaria para el procedimiento ante la AEPD.

Continuidad de negocio y SLA

El tiempo hasta la recuperación de datos afecta directamente a la continuidad operativa. Para minimizar el impacto:

• Identifica qué datos son imprescindibles para operar y comunícalo al laboratorio — priorizamos su recuperación
• Activa los planes de continuidad previstos: acceso a copias de seguridad off-site, sistemas redundantes, trabajo manual temporal
• Si tienes un contrato de soporte con SLA (Service Level Agreement), activa el procedimiento de escalado
• Documenta todo: qué datos estaban en el NAS, quién tenía acceso, cuándo se detectó el fallo y qué acciones se han tomado

Ofrecemos servicio de recuperación urgente con recogida en 24h en toda España y plazos prioritarios para empresas con incidente activo. Consulta nuestra página de recuperación de datos en entornos NAS/SAN corporativos.

Preguntas frecuentes