Wenn ich einen Kennwort geschützten Ordner anlege, würde ich nicht erwarten, dass die Daten dahinter auch direkt von überall ohne Kennwort zu erreichen sind.
Das ist eine Sicherheitslücke, da gibt es nichts zu relativieren.
Ob nun mit Absicht, oder durch schlampige Programmierung können wir nicht beurteilen.
P.S.
Wenn man aber die Antwort von Qnap ließt, würde ich mir das drei mal überlegen, ein solches Nas in das Internet zu stellen. Vom fehlenden TLS 1.2 Support mal ganz abgesehen.