Synology : C3RB3R cible les NAS non mis à jour — comment se protéger

Ce que confirme Synology

Le 29 octobre 2026, Synology a indiqué que des attaquants exploitent une vulnérabilité déjà corrigée en décembre 2024 sur des équipements utilisant des versions obsolètes de DiskStation Manager (DSM). Leur objectif est de chiffrer les données et d’exiger une rançon. Le constructeur renvoie à l’avis Synology-SA-24:20. L’éditeur ne précise pas publiquement quelle CVE exacte est exploitée dans cette campagne. Il faut éviter de confondre cette exploitation avec toute autre faille DSM ou avec PHP2Shell.

Comment reconnaître les symptômes ?

Des témoignages recueillis dans la presse spécialisée décrivent des fichiers renommés avec l’extension .L0CK3D (le caractère après L est le chiffre zéro) et une note de rançon read-me3.txt. Ces indices sont utiles pour une investigation, mais leur absence ne suffit pas à exclure une compromission. Un ralentissement, des connexions inconnues ou un grand nombre de fichiers modifiés peuvent également justifier une analyse.

5 vérifications à faire sur son NAS

Contrôler la version DSM dans Panneau de configuration → Mise à jour et restauration, puis appliquer la dernière version disponible pour le modèle, en consultant les avis de sécurité Synology.
Vérifier les paquets installés et leurs mises à jour dans le Centre de paquets. Une mise à jour DSM ne remplace pas systématiquement les correctifs des applications installées.
Supprimer l’exposition inutile : ne pas rendre l’administration DSM directement accessible depuis Internet ; revoir les redirections de ports du routeur, limiter les services et utiliser un accès distant sécurisé.
Renforcer les comptes : authentification multifacteur, mots de passe uniques, droits minimaux et désactivation des comptes inutilisés.
Tester la restauration depuis une sauvegarde hors ligne, immuable ou isolée du NAS. Des instantanés locaux ne remplacent pas une copie de sauvegarde séparée.

Que faire si des fichiers sont chiffrés ?

Isoler le NAS du réseau afin de limiter une propagation ou de nouveaux échanges avec un attaquant. Ne pas supprimer immédiatement les fichiers de rançon, les journaux ou les preuves. Faire intervenir une personne compétente pour conserver les éléments utiles, identifier la portée de l’incident et examiner les comptes et systèmes associés. Modifier les mots de passe et révoquer les accès potentiellement compromis depuis un appareil sain. Avant toute restauration, corriger la cause de l’intrusion et vérifier l’intégrité des sauvegardes. Ne pas supposer que payer une rançon garantira la récupération des données.

Pourquoi TechAtelier surveille ce risque

Un NAS peut concentrer fichiers de travail, photos personnelles et sauvegardes d’entreprise. La disponibilité ne suffit pas : la version logicielle, l’exposition réseau et la capacité de restauration doivent aussi être suivies. Pour les équipements DSM, une surveillance utile combine inventaire, veille de sécurité, contrôle des services et alertes, sans prétendre détecter à elle seule toute intrusion.

Sources

Publié le 3 novembre 2026.