Le 29 octobre 2026, Synology a confirmé une vague d'attaques qui
chiffrent les fichiers des NAS dont le système DSM n'est pas à jour. Le rançongiciel en cause s'appelle
C3RB3R. Concrètement : des photos, des documents, des sauvegardes rangés sur votre boîtier Synology deviennent du jour au lendemain illisibles, avec une demande de rançon à la clé.
La bonne nouvelle, c'est que ces attaques visent des NAS qui ont
deux faiblesses précises et faciles à corriger : un DSM ancien, et une administration accessible depuis Internet. Si vous possédez un Synology à la maison ou dans une petite entreprise, cet article vous explique, en langage simple, comment vérifier votre version de DSM, comment refermer la porte restée ouverte sur Internet, et quoi faire si votre NAS est déjà touché.
Il complète notre article sur : là, on parlait de protéger vos copies ; ici, on protège le NAS lui-même.
L'essentiel en 30 secondes
- C3RB3R vise les NAS Synology dont DSM est ancien : la première protection est de mettre DSM à jour (Panneau de configuration > Mise à jour et restauration) et d'activer la mise à jour automatique.
- La deuxième faiblesse, c'est l'accès à l'administration depuis Internet : QuickConnect ouvert, redirections de ports vers le NAS, boîtier placé en « zone démilitarisée » (DMZ). Il faut la refermer.
- Mettre à jour ne déchiffre pas les fichiers déjà chiffrés : la mise à jour protège pour l'avenir, elle ne répare pas une attaque déjà subie.
- Si le NAS est déjà touché : débranchez-le du réseau, ne réinstallez rien, ne restaurez rien tout de suite, conservez les traces et faites examiner la situation.
- Gardez toujours une sauvegarde isolée (hors ligne ou déconnectée) : c'est elle qui vous sauve quand tout le reste est chiffré.
Sommaire
1. Ce que dit l'alerte C3RB3R, sans dramatiser
Dans son communiqué du 29 octobre 2026, Synology indique que des NAS utilisant une
version obsolète de DSM (le système qui fait tourner le boîtier) sont victimes d'un rançongiciel qui chiffre leurs données. L'éditeur renvoie à un avis de sécurité technique, le
Synology-SA-24:20, et rappelle qu'un
correctif existe depuis décembre 2024.
Deux choses importantes à retenir, et à ne pas déformer :
- Le correctif existe depuis près d'un an. Les NAS touchés sont ceux qui n'ont pas été mis à jour depuis longtemps. Ce n'est pas une faille surprise impossible à éviter : c'est une mise à jour oubliée.
- Synology ne précise pas publiquement quelle faille exacte est exploitée. On évite donc les explications trop sûres d'elles que l'on peut lire ailleurs. Ce qui compte pour vous n'est pas le détail technique de la faille, mais la conduite à tenir, qui est simple et la même dans tous les cas.
Ce type d'attaque ne cible pas les « grosses » cibles en priorité. Les groupes de rançongiciels passent par les
équipements laissés accessibles sur Internet et pas à jour : box, VPN, pare-feu, et donc NAS. Une petite entreprise ou un particulier avec un Synology oublié dans un placard est une cible aussi valable qu'une autre, simplement parce que la porte est restée ouverte.
2. Première vérification : votre version de DSM
C'est la vérification la plus importante, et elle prend deux minutes.
- Ouvrez l'interface de votre NAS dans un navigateur (ou l'application mobile Synology), et connectez-vous avec votre compte administrateur.
- Allez dans Panneau de configuration > Mise à jour et restauration.
- Le système vous indique votre version actuelle de DSM et vous propose, le cas échéant, une mise à jour disponible.
- Installez-la. Le NAS va redémarrer une ou deux fois ; prévoyez de ne pas l'utiliser pendant une dizaine de minutes.
Pendant que vous y êtes, activez la
mise à jour automatique de DSM (bouton des paramètres de mise à jour, option pour installer automatiquement les mises à jour importantes). C'est le meilleur moyen de ne pas se retrouver dans la même situation l'an prochain : un NAS reste souvent allumé des années sans qu'on y pense, et c'est précisément ce qui le rend vulnérable.
Bon à savoir : si vous avez plusieurs disques dans le NAS, une mise à jour de DSM ne touche pas à vos données. Elle met à jour le système, pas vos fichiers. Le seul risque réel est une coupure de courant pendant l'opération : branchez le NAS sur un onduleur si vous en avez un, et ne le débranchez pas pendant qu'il redémarre.
3. Les « versions minimales » : un piège à éviter
L'avis de sécurité de Synology cite des versions dites « minimales » qui corrigent la faille, par exemple DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 ou 6.2.4-25556-8 selon le modèle.
Attention à ne pas mal interpréter ces chiffres. Ce sont les versions à partir desquelles le trou est bouché, pas des versions sur lesquelles il faudrait rester. Autrement dit :
- Il ne faut pas chercher à installer exactement l'une de ces versions.
- Il faut installer la dernière version de DSM compatible avec votre modèle, celle que le NAS vous propose spontanément dans le menu de mise à jour.
Ces numéros de version ont surtout une utilité : si vous êtes
en dessous, votre NAS est vulnérable et doit être mis à jour sans attendre. Si vous êtes à la dernière version proposée par Synology, vous êtes au-delà de ce seuil, et c'est ce qu'il faut viser.
4. Deuxième vérification : votre NAS est-il exposé sur Internet ?
Mettre DSM à jour referme la faille connue. Mais un NAS dont l'administration est
ouverte sur Internet reste une cible : c'est la deuxième faiblesse exploitée par ce genre d'attaque. L'objectif ici est simple :
que l'administration de votre NAS ne soit joignable que depuis chez vous, pas depuis le monde entier.
Voici les points à vérifier, du plus fréquent au plus technique :
- QuickConnect. C'est le service Synology qui permet d'accéder au NAS de l'extérieur sans réglage. Pratique, mais il expose votre interface. Si vous ne vous connectez à votre NAS que depuis la maison, désactivez QuickConnect (Panneau de configuration > Accès externe). Si vous en avez réellement besoin en déplacement, privilégiez un VPN plutôt qu'un accès direct.
- Les redirections de ports sur votre box. Si quelqu'un a un jour « ouvert les ports » de votre box vers le NAS (souvent les ports 5000 et 5001 pour DSM) pour y accéder de l'extérieur, supprimez ces redirections dans l'interface de votre box, sauf besoin précis et maîtrisé. Pour sécuriser l'ensemble de votre réseau domestique, voyez aussi notre guide .
- Le NAS en « DMZ ». Certaines box permettent de placer un appareil en « zone démilitarisée », c'est-à-dire entièrement exposé à Internet. Un NAS ne doit jamais être en DMZ. Vérifiez ce réglage sur votre box et retirez le NAS s'il y figure.
- Le compte « admin » d'origine. Désactivez le compte administrateur par défaut nommé « admin », créez un compte d'administration à un autre nom, avec un mot de passe long et unique, et activez la double authentification sur ce compte.
Ces gestes ne coûtent rien et retirent votre NAS de la liste des cibles faciles. Si ces menus vous semblent obscurs ou si vous préférez ne pas y toucher seul, c'est exactement le genre d'intervention que fait à votre domicile.
5. Si votre NAS est déjà touché : la conduite à tenir
Les signes : des fichiers devenus illisibles ou renommés, des dossiers vides, un message de demande de rançon déposé sur le NAS ou envoyé par mail. Dans ce cas,
le réflexe de mise à jour est trop tard, et certains gestes instinctifs peuvent aggraver la situation. Voici l'ordre à respecter :
- Débranchez le NAS du réseau (câble réseau retiré, ou Wi-Fi coupé). Cela empêche le chiffrement de se poursuivre et de s'étendre à d'autres appareils. Ne l'éteignez pas brutalement si c'est évitable : un arrêt propre vaut mieux, mais couper le réseau est la priorité.
- Ne réinstallez rien, ne restaurez rien tout de suite. Réinitialiser le NAS ou réinstaller DSM par-dessus efface des traces utiles, et peut écraser des données encore récupérables.
- Conservez les traces : la note de rançon, la date, les éventuels journaux. Si vous êtes une entreprise, ces éléments comptent pour la plainte et pour les éventuelles démarches auprès de votre assurance.
- Ne payez pas la rançon. Payer ne garantit rien, finance ces groupes, et vous désigne comme une cible qui paie.
- Faites examiner la situation avant toute manipulation. Selon l'état du NAS et l'existence ou non d'une sauvegarde saine, les options diffèrent.
Pour la récupération des fichiers chiffrés quand il n'existe aucune sauvegarde exploitable, c'est le métier de , notre laboratoire de récupération de données (disques, SSD, NAS, systèmes RAID). Diagnostic et devis sont gratuits, et l'on vous dira honnêtement ce qui est possible : il faut savoir qu'un chiffrement bien fait par un rançongiciel récent n'est, le plus souvent,
pas réversible. C'est pourquoi la vraie assurance reste la sauvegarde isolée.
6. Pourquoi une mise à jour ne récupère pas vos fichiers
C'est le point qui prête le plus à confusion, alors disons-le clairement :
mettre DSM à jour ne déchiffre pas les fichiers déjà chiffrés.
Une mise à jour ferme la porte par laquelle les attaquants sont entrés. Elle protège votre NAS
pour l'avenir. Mais les fichiers déjà verrouillés le restent : seul le possesseur de la clé de déchiffrement (l'attaquant) peut, en théorie, les rouvrir, et c'est précisément l'objet du chantage.
De la même façon, une mise à jour
ne suffit pas à déclarer un NAS sain après une attaque. Un boîtier qui a été compromis a pu voir d'autres réglages modifiés ; on ne se contente pas de le mettre à jour, on le remet à plat proprement, une fois les données sauvées ou renoncées.
La seule chose qui vous rend réellement indépendant d'une attaque, c'est une
copie de vos données que le rançongiciel ne peut pas atteindre : un disque externe débranché la plupart du temps, ou une sauvegarde déconnectée du NAS. C'est tout le principe de la , que nous recommandons à tout le monde, particuliers comme petites entreprises.
Questions fréquentes
Je n'accède jamais à mon NAS de l'extérieur. Suis-je concerné ?
En partie seulement, et c'est une bonne position. Mettez quand même DSM à jour : c'est la protection principale. Vérifiez qu'aucune redirection de port ni QuickConnect n'a été activé « au cas où » lors de l'installation. Si rien n'expose le NAS sur Internet et que DSM est à jour, votre risque est faible.
Mon NAS n'est pas un Synology (QNAP, Asustor, autre). Suis-je à l'abri ?
Cette alerte précise concerne Synology, mais le principe est universel :
tout NAS doit être tenu à jour et ne pas exposer son administration sur Internet. Les autres marques ont connu des vagues de rançongiciels comparables. Faites les mêmes vérifications sur votre modèle.
Je ne connais pas ma version de DSM et j'ai peur de faire une bêtise.
C'est légitime. Mettre DSM à jour est sans danger pour vos données dans l'immense majorité des cas, mais si vous n'êtes pas à l'aise, ne forcez rien. peut faire la vérification et la mise à jour avec vous, à domicile.
Faut-il débrancher le NAS « par précaution » en attendant ?
Non, ce n'est pas nécessaire si vous appliquez la mise à jour et fermez l'accès public. Débrancher ne se justifie que si le NAS
montre déjà des signes d'attaque (fichiers illisibles, demande de rançon) : là, oui, coupez le réseau immédiatement.
J'ai payé une rançon, est-ce que je récupère tout ?
Rien n'est garanti. Certains attaquants ne renvoient pas la clé, ou renvoient un outil défaillant. Au-delà du risque, payer alimente ces réseaux. Mieux vaut consacrer cet argent à une sauvegarde correcte et à une remise en état propre.
7. Nous pouvons vous aider
Nous sommes à Hyères, 18 avenue Olbius Riquier.
/ / atelier au
18 avenue Olbius Riquier, 83400 Hyères.
Selon votre situation :
- Un doute sur votre installation, un NAS à vérifier ? Appelez-nous ou écrivez-nous : nous vous guidons simplement, sans jargon, pour la mise à jour et la fermeture de l'accès public.
- Vous préférez être accompagné chez vous, pour la mise à jour de DSM et la vérification des réglages d'accès, sans rien casser ? C'est le métier de , agréé service à la personne, qui intervient à domicile auprès des particuliers.
- Votre NAS est déjà chiffré et des fichiers sont devenus illisibles ? est spécialisé dans la récupération de données (disques, SSD, NAS, systèmes RAID). N'écrivez plus rien sur le NAS et prenez contact avant toute manipulation.
- Un équipement doit passer en atelier pour une remise en état complète après incident ? s'en charge, matériel et diagnostic compris.
En résumé
L'alerte C3RB3R vise les NAS Synology qui cumulent
un DSM ancien et
une administration ouverte sur Internet. Deux failles, deux gestes simples :
- Mettez DSM à jour (Panneau de configuration > Mise à jour et restauration) et activez la mise à jour automatique. Installez la dernière version compatible avec votre modèle, pas une vieille « version minimale ».
- Refermez l'accès public : désactivez QuickConnect si inutile, supprimez les redirections de ports vers le NAS, ne placez jamais le NAS en DMZ, soignez le compte d'administration et sa double authentification.
Si le NAS est déjà chiffré :
coupez le réseau, ne réinstallez rien, conservez les traces, ne payez pas, et faites examiner la situation. Et retenez le principe qui vaut pour tout :
une mise à jour protège l'avenir, elle ne déchiffre pas le passé. Seule une sauvegarde isolée vous rend vraiment indépendant d'un rançongiciel.
La phrase qui résume tout : un NAS à jour et fermé sur Internet n'est plus une cible facile. Et seule une copie que le rançongiciel ne peut pas atteindre vous rend vraiment indépendant d'une attaque.
Source : communiqué Synology du 29 octobre 2026, avis de sécurité Synology-SA-24:20.
Pour aller plus loin : ·