Depuis début octobre, des propriétaires de serveurs de stockage Synology découvrent leurs documents, leurs photos et parfois leurs sauvegardes chiffrés, avec une rançon à payer. Synology a confirmé les attaques le 29 octobre 2026. Les failles utilisées étaient déjà corrigées : ce sont les appareils oubliés, non mis à jour et joignables depuis Internet, qui tombent.
Ce qui s’est passé
Un NAS est un petit serveur de stockage branché sur le réseau. Dans beaucoup de TPE et PME, c’est à la fois le serveur de fichiers partagés et l’endroit où l’on range les sauvegardes.
Le 29 octobre 2026, l’éditeur de sécurité chinois 360 a décrit une campagne de rançongiciel, baptisée C3RB3R, qui vise ces appareils depuis le début du mois. Le même jour, Synology a alerté ses clients : des attaquants exploitent une faille déjà corrigée pour viser les appareils qui tournent avec d’anciennes versions de son système, DSM (IT-Connect). Les cas signalés viennent surtout de Chine ; leur nombre n’est pas connu (Cyberattaque.org).
En France, la petite commune de Verrières-en-Forez (Loire) a vu le serveur de stockage de sa mairie chiffré dans la nuit du 28 octobre, une faille de l’appareil étant soupçonnée (Cyberattaque.org). Rien ne relie à ce stade cet incident à la campagne Synology, mais le scénario est le même.
Comment l’attaque a fonctionné
- La porte d’entrée : l’interface d’administration ouverte sur Internet. Les appareils touchés avaient leur page de connexion DSM joignable depuis l’extérieur, souvent pour pouvoir consulter ses fichiers à distance.
- Une faille connue, mais pas corrigée sur l’appareil. Selon 360, les attaquants utilisent deux failles critiques, notées 9,8 sur 10, que Synology a corrigées le 18 septembre 2026 (bulletin Synology-SA-26:13) : elles permettent de lire et d’écrire des fichiers sans mot de passe. Synology cite, lui, une faille plus ancienne, corrigée fin 2024. Dans les deux cas, la mise à jour existait.
- Le chiffrement. Le programme parcourt les dossiers du NAS et rend les fichiers illisibles, en épargnant ceux du système pour que l’appareil continue de fonctionner. Une demande de rançon est déposée dans les dossiers.
- Les sauvegardes partent avec le reste. Si les copies de sauvegarde sont rangées sur le même NAS, elles sont chiffrées elles aussi. Certaines victimes ont pu récupérer des fichiers grâce aux « instantanés » (des photos de l’état des dossiers que DSM peut conserver), mais rien n’est garanti.
Ce qu’on ne sait pas encore
360 et Synology ne désignent pas la même faille. Un spécialiste chinois signale aussi un appareil touché alors qu’il affichait une version récente ; il a pu être compromis avant sa mise à jour, ou par un autre chemin (mot de passe volé, application ajoutée). Aucun outil gratuit de déchiffrement n’est confirmé.
Ce que ça change pour une PME
- Mettez le NAS à jour, maintenant. Vérifiez la version de DSM dans le panneau de configuration et installez au moins celle indiquée dans le bulletin Synology-SA-26:13. Activez les notifications de mise à jour, et demandez à votre prestataire qui en est chargé.
- Fermez l’accès d’administration depuis Internet. Supprimez les redirections de ports vers le NAS sur la box ou le pare-feu, désactivez l’ouverture automatique de ports (UPnP), et passez par un VPN pour travailler à distance.
- Gardez au moins une sauvegarde hors du NAS. Un disque externe débranché après usage ou un stockage externe protégé contre l’effacement. Un RAID n’est pas une sauvegarde : il protège d’une panne de disque, pas d’un chiffrement. La fiche « Pourquoi et comment bien gérer ses sauvegardes ? » de Cybermalveillance.gouv.fr détaille la méthode.
- Protégez les comptes. Désactivez le compte administrateur par défaut et activez la double authentification. En cas d’attaque, isolez l’appareil sans le réinitialiser et suivez la fiche « Rançongiciel : que faire ? ».
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quelle version tourne sur notre NAS, et qui est chargé d’appliquer les correctifs de sécurité du constructeur ?
- Notre NAS est-il joignable depuis Internet, et si oui, qui l’a décidé et pourquoi ?
- Si le NAS était chiffré ce soir, où se trouverait la dernière copie de nos données qui ne dépend pas de lui ?
- Quand avons-nous restauré des fichiers depuis cette sauvegarde pour la dernière fois, pour vérifier qu’elle fonctionne ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 2 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.