Nextcloud 爆出重大安全事件：36万条数据泄露，我们的网盘还安全吗？

搞技术的朋友对 Nextcloud 肯定不陌生，自建网盘、文件同步甚至是协作办公的首选方案之一。但最近这玩意儿摊上大事了。

事情是这样的，一家名为“Nextcloud”的欧洲云服务提供商（注意，这是做托管服务的公司，不是开源软件本身，名字容易混淆）爆出了大规模数据泄露事件。据说这次泄露了足足 36.7 万条记录，里面不仅有客户的敏感信息，连自家员工的数据也没能幸免。

虽然是刚爆出的消息，但根据现有的情报来看，这次问题根源大概率还是出在“人”和“配置”上，而不是软件本身的 0day 漏洞。

很多提供托管服务的厂商，为了方便维护或者部署方便，往往会留下一些“后门”或者配置不当的接口。这次泄露的核心原因，据说是某个用于测试或者管理的访问控制列表（ACL）没有正确限制。简单说就是，该上锁的大门没锁，或者钥匙挂在了门把手上。

这就给我们敲响了警钟：自建服务最难的往往不是安装软件，而是如何安全地维护它。

如果你用的是官方的开源版本自己在 VPS 或者 NAS 上搭建的，那基本上不用担心软件代码本身的问题。这事儿主要影响的是购买了相关商业托管服务的用户。

但是！如果你也是搭建者，或者正在使用其他小众的网盘托管商，这事儿绝对值得你复盘一下自己的安全策略。

既然风头紧了，我也顺便整理几个针对个人维护者的“保命”建议，无论你是 Nextcloud 还是其他自建服务都适用。

1. 关掉不必要的端口，别偷懒 很多新手为了后台美观或者图省事，会开放一些非标准的端口，甚至直接把管理后台暴露在公网。现在的扫端机器人遍布全网，只要你敢开，它就敢扫。请务必确保只开放 80/443，其他端口一律通过 VPN 或者内网穿透访问，切勿直接裸奔。

2. 开启双重认证（2FA），这步不能省 如果不幸数据库被拖库，开启 2FA 是你最后的防线。Nextcloud 自带这功能，插件里搜一下开启就行。哪怕密码泄露了，黑客没有你的动态码也进不来。

3. 备份！备份！还是特么备份！ 数据无价。不管是勒索软件还是误操作，只有离线备份才是救星。建议定期通过 rsync 或者 rclone 把数据同步到另一台机器或者对象存储里。

4. 关注日志异常 没事别闲着，多看一眼系统日志。如果有大量来自陌生 IP 的登录失败记录，哪怕没成功，也要考虑是否把那个 IP 封禁了，或者直接挂上 Cloudflare 进行简单的人机验证拦截。

这次事件虽然发生在国外一家服务商身上，但也侧面说明了数据安全的重要性。2026 年了，AI 破解密码的速度早就不是几年前能比的，简单密码几乎形同虚设。

对于我们这种爱折腾的玩家来说，享受自建自由的同事，也要时刻保持敬畏心。没事多更新版本，少用弱密码，大门锁紧了，才睡得着觉。

大家有没有遇到过自建服务被扫或者被攻击的经历？欢迎在评论区交流避坑经验！