NAS Synology et ransomware C3RB3R : votre sauvegarde est la première cible

Synology demande à ses clients de mettre à jour leurs NAS sans attendre face à une hausse des attaques du ransomware C3RB3R. Dans beaucoup de petites structures, ce NAS est à la fois le serveur de fichiers et la seule sauvegarde. C'est précisément ce qui en fait une cible de choix.

Ce qui se passe

Depuis plusieurs semaines, de nombreux propriétaires de NAS Synology découvrent leurs fichiers renommés avec l'extension .L0CK3D et une demande de rançon nommée read-me3.txt déposée dans chaque dossier. Le ransomware C3RB3R chiffre les données après avoir pénétré l'appareil par des failles de DSM, le système qui fait fonctionner le NAS.

Synology a publié une alerte, ce qui est rare de sa part. L'éditeur indique avoir identifié des attaquants qui exploitent une vulnérabilité corrigée en décembre 2024 pour cibler les NAS restés sur des versions obsolètes de DSM. Il demande à tous les utilisateurs concernés de mettre à jour immédiatement et recommande d'activer les mises à jour automatiques. Le même jour, le CERT-FR a signalé de multiples vulnérabilités Synology permettant une exécution de code à distance.

D'autres failles critiques, corrigées par Synology en septembre 2026, sont également désignées comme point d'entrée. Elles sont exploitables à distance, sans authentification, et Synology n'indique aucune mesure de contournement : seule la mise à jour protège. Or, un mois après la publication du correctif, de nombreux appareils n'étaient toujours pas à jour.

Pourquoi votre sauvegarde est en première ligne

Dans une TPE, une association ou une petite collectivité, le scénario est fréquent. Le NAS installé il y a quelques années héberge les dossiers partagés, et c'est aussi lui qui reçoit la sauvegarde des postes. Tout est au même endroit. Le jour où il est chiffré, l'original et la copie disparaissent ensemble.

Ce n'est pas un hasard. Les groupes de ransomware ont fait de la destruction des sauvegardes une étape méthodique de leurs attaques, menée avant le chiffrement final. La campagne C3RB3R en est une illustration : sur les NAS touchés, les données comme les sauvegardes stockées localement ont été chiffrées.

Notre position est simple : un NAS, même équipé de plusieurs disques en RAID, n'est pas une sauvegarde. Le RAID protège contre la panne d'un disque, pas contre un ransomware. Une vraie sauvegarde est une copie qu'un attaquant ne peut ni atteindre ni effacer depuis votre réseau.

« Mais j'ai besoin d'accéder au NAS à distance »

C'est souvent la raison pour laquelle le NAS est ouvert sur Internet, par une redirection de port sur la box. Le confort est réel, le risque aussi : si vous pouvez joindre vos fichiers de partout, un attaquant le peut également. L'accès à distance reste possible, mais il doit passer par un VPN plutôt que par une exposition directe de l'interface DSM. Selon Shadowserver, plus de 380 000 NAS Synology sont aujourd'hui exposés sur Internet.

Si votre NAS est trop ancien pour recevoir les versions récentes de DSM, prenez ce signal au sérieux. Il ne doit plus être joignable depuis Internet, et la question de son remplacement mérite d'être posée.

Ce qu'il faut faire

• Mettre à jour DSM dès aujourd'hui, ainsi que les paquets installés, et activer les mises à jour automatiques. Supprimez les paquets qui ne servent plus.
• Vérifier que le NAS n'est pas accessible depuis Internet : supprimer les redirections de ports vers l'interface DSM et passer par un VPN pour l'accès à distance.
• Durcir les comptes : désactiver le compte admin par défaut, activer la double authentification et le blocage automatique des adresses IP.
• Activer les instantanés protégés contre la modification sur les dossiers partagés.
• Garder au moins une copie isolée, hors ligne ou protégée contre la suppression, hors de portée de votre réseau.
• Tester une restauration : tant qu'une sauvegarde n'a jamais été restaurée, on ne sait pas si elle fonctionne.

Besoin d'un regard extérieur ?

Vous ne savez pas quelle version de DSM tourne sur votre NAS, s'il est exposé sur Internet ou où se trouve réellement votre sauvegarde ? C'est le bon moment pour faire le point. Les équipes de METERIS, à Meaux, accompagnent les TPE, PME, associations et collectivités dans ces vérifications et dans la mise en place de sauvegardes isolées. Joignez-nous au 01 83 62 33 27 ou sur meteris.fr.