Synology alerte : des ransomwares ciblent les NAS DSM non mis à jour – Que faire maintenant ?

Alerte sur les serveurs de stockage

On les pense souvent tirés d’affaire une fois branchés derrière une box Internet. Pourtant, nos précieux boîtiers de stockage réseau traversent une zone de turbulences. Le constructeur taïwanais a tiré la sonnette d’alarme le 29 octobre 2026 : une campagne d’attaques d’envergure vise actuellement les appareils dont le système d’exploitation n’a pas été maintenu à niveau. Les pirates ne s’embêtent pas avec des méthodes complexes : ils exploitent des brèches connues pour s’introduire dans les systèmes vulnérables, chiffrer l’ensemble des fichiers personnels ou professionnels et réclamer un paiement en cryptomonnaie pour tout débloquer.

Des dégâts bien réels sur le terrain

Dans les faits, la menace se concrétise déjà chez de nombreux particuliers et professionnels. Plusieurs victimes ont vu leurs documents, sauvegardes et photos de famille renommés avec une extension particulière (.L0CK3D), la marque de fabrique du ransomware C3RB3R. Cette variante du tristement célèbre Cerber dépose au passage de petits fichiers texte (read-me3.txt) dans les dossiers pour réclamer un paiement en cryptomonnaie en échange d’un logiciel de déchiffrement. C’est d’autant plus frustrant que, selon Synology, le problème ne provient pas d’une faille inédite découverte ces derniers jours, mais bien d’un correctif manqué qui traîne depuis près de deux ans.

Dans les entrailles de la faille

Pour comprendre l’origine du sinistre, il faut remonter à la fin de l’année 2024. Lors du fameux concours de piratage Pwn2Own, des chercheurs avaient mis en lumière une brèche critique, rapidement répertoriée sous le code CVE-2024-10441 et associée au bulletin Synology-SA-24:20. Avec une note de sévérité presque maximale de 9,8 sur 10, ce défaut situé dans le processus « synoplugind » permet à une personne malveillante de prendre la main à distance sur le boîtier sans même avoir besoin de s’authentifier. D’autres failles plus discrètes, permettant de lire ou d’écrire des fichiers, faisaient aussi partie du lot, scellant le sort des machines non mises à jour.

La fausse impression d’être protégé

L’une des grandes interrogations face à cette vague d’infections concerne le profil des appareils touchés. Pourquoi autant de machines sont-elles encore vulnérables près de deux ans plus tard ? Cela s’explique en partie par le fonctionnement des mises à jour sur ces équipements. Lorsqu’un boîtier tourne sur une branche spécifique du système, comme DSM 7.1 par exemple, son interface peut très bien indiquer que la machine est « à jour » alors qu’une branche plus récente existe. Les utilisateurs pensent alors être en sécurité, ignorant qu’ils restent bloqués sur une version qui ne reçoit plus les derniers garde-fous essentiels.

Les versions minimales pour dormir tranquille

Face à ce constat, il devient urgent de jeter un œil sous le capot de son équipement. Pour vous assurer que la brèche historique SA-24:20 est colmatée chez vous, votre appareil doit afficher un numéro de version au moins égal à ces références :

• DSM 7.2.2 : version 7.2.2-72806-1 ou supérieure
• DSM 7.2.1 : version 7.2.1-69057-6 ou supérieure
• DSM 7.2 : version 7.2-64570-4 ou supérieure
• DSM 7.1 : version 7.1.1-42962-7 ou supérieure
• DSM 6.2 : version 6.2.4-25556-8 ou supérieure

Mais attention, atteindre ces versions reste le minimum syndical. Des failles plus récentes, détaillées par exemple dans le bulletin SA-26:13, font elles aussi l’objet d’exploitations, selon certains chercheurs. L’idéal reste donc d’installer la version la plus haute prise en charge par votre matériel.

Vérifier et mettre à jour son matériel en quelques clics

Heureusement, la procédure pour corriger le tir est simple et prend en général une dizaine de minutes. Il suffit de vous connecter à votre interface d’administration, puis de vous rendre dans le Panneau de configuration pour ouvrir la rubrique « Mise à jour et restauration ». Là, le système affiche le numéro de version exact actuellement exécuté. Si une version plus récente est proposée, lancez le téléchargement sans tarder. Profitez-en également pour activer l’installation automatique des correctifs de sécurité, ce qui vous évitera bien des tracas à l’avenir. Avant de redémarrer l’appareil, vérifiez simplement que personne n’est en train de l’utiliser et notez vos réglages réseau.

Fermer la porte d’entrée aux intrus

Mettre le système à jour est une étape cruciale, mais cela ne fait pas tout si votre matériel reste grand ouvert sur le Web. D’après les premiers retours, la quasi-totalité des machines infectées partageait un point commun : elles étaient directement accessibles depuis l’extérieur. Que ce soit à cause de ports ouverts manuellement sur la box Internet, d’une option UPnP un peu trop permissive ou d’un service QuickConnect configuré sans précaution, les pirates repèrent rapidement ces accès grâce à des scanners automatiques. Pour fermer la porte, voici les bons réflexes à adopter :

Coupez l’accès direct aux ports d’administration (5000 et 5001) depuis l’extérieur et privilégiez un VPN pour vous connecter à distance.

• Désactivez le protocole UPnP sur votre routeur afin d’éviter que des applications n’ouvrent des accès sans votre accord.
• Restreignez les partages externes et QuickConnect au strict nécessaire.
• Activez la double authentification pour l’ensemble des comptes utilisateurs.

Protéger ses données avec une vraie stratégie de secours

Au-delà de la sécurité système, la meilleure assurance tous risques contre les rançongiciels reste la sauvegarde déconnectée. Si vos fichiers n’existent qu’à un seul endroit, vous prenez un risque immense. Adopter la fameuse règle du 3-2-1 permet d’éviter les mauvaises surprises : trois copies de vos données, sur deux supports différents, dont une conservée hors de votre domicile. Pensez aussi à utiliser des clichés instantanés (snapshots) verrouillés contre la modification et prévoyez des sauvegardes régulières sur un disque dur externe que vous débranchez après chaque copie.

Que faire si le pire est déjà arrivé ?

Si, malgré vos précautions, vous découvrez des fichiers étranges, des extensions modifiées ou une note de rançon au fond d’un dossier, la réactivité est primordiale. Ne cédez pas à la panique et suivez cette procédure sans attendre :

• Déconnectez immédiatement l’appareil du réseau en débranchant le câble Ethernet ou en coupant le Wi-Fi.
• Ne payez surtout pas la rançon demandée : cela ne garantit absolument pas la récupération de vos fichiers et finance ces réseaux criminels.
• Prenez contact avec le support technique de Synology en fournissant les détails de votre version et les journaux d’événements.
• Si vous disposez de sauvegardes externes non touchées, réinitialisez complètement le boîtier avant d’entamer une restauration propre.

Garder la main sur sa sécurité au quotidien

Cette nouvelle vague d’infections observée en octobre 2026 nous rappelle une vérité fondamentale en informatique : un équipement de stockage relié à Internet demande un minimum de suivi. Laisser un boîtier tourner dans son coin sans jamais vérifier ses mises à jour finit toujours par se payer cher. En prenant l’habitude de garder votre système à niveau, de restreindre ses accès distants et de conserver des copies de secours hors ligne, vous réduisez fortement le risque de tomber entre les mains de maîtres-chanteurs.

Pour consulter les bulletins officiels et vérifier la liste complète des correctifs, vous pouvez vous référer directement aux pages du constructeur : Communiqué Synology et le bulletin de sécurité SA-24:20.