Depuis début octobre 2026, une variante du rançongiciel Cerber chiffre les données de NAS Synology dont l’interface DSM est exposée sur Internet ; Synology a confirmé les attaques le 29 octobre. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : ce qui est documenté, notre lecture MITRE ATT&CK, la détection, les questions d’audit ISO 27001 et des pistes de sensibilisation. La faille exploitée reste discutée et le nombre de victimes n’est pas publié.
Pour une lecture orientée dirigeant, voir notre décryptage « NAS Synology : un rançongiciel chiffre les fichiers des appareils restés sans mise à jour ».
Contexte
- Sources : IT-Connect, 29 octobre 2026 (qui reprend le bulletin de 360 et l’alerte de Synology) ; Cyberattaque.org, 31 octobre 2026 ; bulletin Synology-SA-26:13, 18 septembre 2026.
- Cible : NAS Synology sous DiskStation Manager (DSM) dont l’interface est joignable depuis Internet (redirection de ports, UPnP, service d’accès à distance, proxy inverse). Particuliers et entreprises.
- Chronologie : demandes d’assistance reçues par 360 depuis début octobre 2026 ; analyse de 360 et alerte de Synology à ses clients le 29 octobre.
- Zone : cas rapportés surtout en Chine ; aucun cas français publiquement rattaché à la campagne à ce stade.
- Charge : C3RB3R, variante de la famille Cerber selon 360.
- Revendication, exfiltration : aucune revendication connue ; aucun vol de données démontré.
- Déchiffrement : aucun outil gratuit confirmé au 31 octobre.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Reconnaissance | Les appareils touchés avaient leur interface DSM exposée ; une recherche systématique de ces interfaces est probable mais non décrite | T1595 Active Scanning (hypothèse) |
| Accès initial | Selon 360 : CVE-2026-13639 et CVE-2026-13684 (DSM, 9,8, sans authentification, corrigées le 18/09/2026). Selon Synology : CVE-2024-10441 (9,8, corrigée en décembre 2024, bulletin Synology-SA-24:20) | T1190 Exploit Public-Facing Application ; T1078 Valid Accounts envisageable pour le cas sous version récente (non démontré) |
| Exécution | Dépôt et lancement du chiffreur ; méthode non publiée | Non déterminable |
| Découverte | Parcours des répertoires de stockage ; 27 répertoires système exclus pour ne pas bloquer l’appareil | T1083 File and Directory Discovery |
| Impact | Chiffrement des fichiers (ChaCha8), clés protégées par RSA-2048, chiffrement partiel des gros fichiers ; note de rançon déposée dans les dossiers | T1486 Data Encrypted for Impact |
| Sauvegardes | Les sauvegardes stockées sur le NAS sont chiffrées avec le reste ; certaines victimes ont récupéré des fichiers via les instantanés Btrfs, la suppression active des instantanés n’est pas documentée | T1490 Inhibit System Recovery non démontré |
| Exfiltration | Non établie | Non déterminable |
Faits techniques connus
- Le bulletin Synology-SA-26:13 corrige huit vulnérabilités de DSM, dont trois exploitables à distance sans authentification. CVE-2026-13639 relève d’une entropie insuffisante dans la logique de connexion (CWE-331) et CVE-2026-13684 d’un encodage incorrect dans le composant SCGI (CWE-116) ; toutes deux permettent la lecture et l’écriture de fichiers arbitraires. Synology n’indique aucune mesure de contournement : seule la mise à jour protège.
- Versions corrigées : DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 et 7.2.1-69057-12 ou ultérieures.
- CVE-2024-10441 (exécution de code sans authentification, découverte lors du Pwn2Own 2024) dispose d’une preuve de concept publique ; nous ne la relayons pas.
Ce qu’on ne sait pas
- Quelle faille est réellement utilisée, et si plusieurs portes d’entrée coexistent.
- L’explication du cas rapporté par l’équipe chinoise Solar : un NAS chiffré alors qu’il affichait une version récente de DSM (compromission antérieure à la mise à jour, paquet tiers, compte volé ou faille inconnue ; aucune faille inconnue n’est démontrée).
- Le nombre de victimes et leur répartition géographique.
Détection : souvent par les utilisateurs, trop tard
- Comment la campagne a été vue : par les demandes d’aide de victimes reçues par 360, puis par l’alerte du constructeur. Côté victimes, la découverte se fait le plus souvent quand les fichiers ne s’ouvrent plus.
- Pourquoi c’est vu tard : un NAS de PME n’a en général ni EDR, ni journal centralisé, ni personne qui lit les alertes ; l’appareil reste joignable des mois sans être regardé.
- Signaux utiles : pic soudain d’écritures disque et d’activité processeur ; renommage massif de fichiers avec une extension inconnue ; apparition de notes texte dans de nombreux dossiers ; connexions à DSM depuis l’étranger ou à des heures inhabituelles ; nouveaux comptes, paquets ou tâches planifiées ; échec ou dérive de taille des tâches de sauvegarde. Les notifications par e-mail de DSM et le blocage automatique des adresses offrent un minimum.
- Côté exposition : une recherche régulière des services de l’organisation visibles depuis Internet (balayage externe, service d’alerte d’exposition) aurait signalé l’interface DSM ouverte.
Questions d’audit ISO 27001:2022
- A.5.9 et A.8.8 (inventaire des informations et autres actifs associés ; gestion des vulnérabilités techniques) : « Le NAS figure-t-il à l’inventaire, avec sa version de DSM, ses paquets et son propriétaire ? Qui suit les bulletins de sécurité de Synology ? Le bulletin Synology-SA-26:13 du 18 septembre 2026 a-t-il été appliqué, à quelle date, et dans quel délai par rapport à votre politique de correctifs ? Montrez-moi la preuve. »
- A.8.20, A.8.21 et A.8.22 (sécurité des réseaux ; sécurité des services réseau ; cloisonnement des réseaux) : « L’interface d’administration du NAS est-elle joignable depuis Internet (redirection de ports, UPnP, service d’accès à distance du constructeur, proxy inverse) ? Quelle analyse de risque le justifie ? Comment l’accès à distance est-il encadré (VPN, filtrage par adresse) ? Le NAS est-il dans un segment réseau séparé des postes ? »
- A.8.13 (sauvegarde des informations) : « Où se trouve la dernière copie des données qui ne dépend pas du NAS ? Est-elle hors ligne ou immuable (instantanés en lecture seule, stockage à rétention verrouillée) ? Montrez-moi le dernier test de restauration complète et son résultat. »
- A.8.2, A.8.5, A.8.15 et A.8.16 (droits d’accès privilégiés ; authentification sécurisée ; journalisation ; activités de surveillance) : « Le compte administrateur par défaut est-il désactivé ? L’authentification multifacteur est-elle imposée aux comptes d’administration ? Les journaux de connexion et d’activité du NAS sont-ils exportés hors de l’appareil, et qui reçoit et traite les alertes ? »
En complément, si le NAS est géré par un prestataire : A.5.19 et A.5.20 (sécurité de l’information dans les relations avec les fournisseurs ; dans les accords avec les fournisseurs) : « Le contrat précise-t-il qui applique les correctifs du NAS, dans quel délai, et qui teste les restaurations ? »
Pistes de sensibilisation
- Pour le dirigeant et le référent informatique : « Où est notre dernière sauvegarde ? » (15 minutes). Dessiner où sont les données de l’entreprise et où sont leurs copies, puis vérifier si une seule attaque sur le NAS emporterait à la fois les originaux et les sauvegardes. Conclure sur la règle d’au moins une copie hors ligne ou hors de portée du réseau. Support : la fiche de Cybermalveillance.gouv.fr « Pourquoi et comment bien gérer ses sauvegardes ? ».
- Pour l’équipe informatique ou le prestataire : exercice « NAS chiffré un lundi matin ». Dérouler les premières heures : isoler l’appareil sans le réinitialiser, conserver fichiers chiffrés, note de rançon et journaux, vérifier les instantanés, prévenir la direction, porter plainte, ne pas payer, puis remettre en service seulement après correction et changement des mots de passe. Support : la fiche réflexe « Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ? ».
À lire aussi : notre décryptage « NAS Synology : un rançongiciel chiffre les fichiers des appareils restés sans mise à jour » et notre bulletin de veille du 2 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.