Êtes-vous concerné ?
- Concerné : quiconque utilise un NAS Synology, surtout si la page de connexion de DSM (ports 5000/5001) est accessible depuis Internet ou si l'appareil tourne sur une ancienne branche de DSM.
- Pas concerné si : vous n'avez aucun appareil Synology au bureau ni à la maison.
Que faire
- Cherchez dans les dossiers partagés des fichiers se terminant par .L0CK3D ou .LOCK3D et des notes read-me3.txt ; les signalements remontent à début octobre. Vous en trouvez ? Débranchez le câble réseau, ne payez pas et transmettez au support de Synology votre version de DSM et vos journaux d'événements.
- Dans Panneau de configuration → Mise à jour et restauration, installez la dernière version de DSM pour votre modèle et activez les mises à jour automatiques. Sur les anciennes branches comme DSM 7.1, cet écran peut afficher « à jour » alors qu'une branche plus récente existe. DSM 7.4 supprime Mail Station et PHP 8.1 : vérifiez d'abord vos paquets.
- Fermez les ports 5000 et 5001 à Internet et passez par un VPN ; désactivez l'UPnP sur le routeur, limitez ou désactivez QuickConnect, activez la validation en 2 étapes.
- Gardez une sauvegarde hors ligne ou immuable, séparée du NAS.
Ce que l'on sait – et ce que l'on ignore
- 360 identifie le rançongiciel comme C3RB3R, une variante de Cerber. La porte d'entrée est contestée. Synology met en cause une faille qu'il a lui-même corrigée en décembre 2024 (SA-24:20, dont la faille critique CVE-2024-10441) sur des appareils dont le DSM n'est pas à jour. 360 relie ses échantillons à CVE-2026-13639 et CVE-2026-13684, corrigées le 18 septembre 2026 (SA-26:13), que Frandroid décrit comme des failles permettant à un attaquant de lire ou d'écrire n'importe quel fichier du NAS sans se connecter. L'équipe de réponse aux incidents Solar a publié une capture d'écran d'un NAS chiffré sous DSM 7.4.1-90080 Update 1, la version la plus récente à ce moment-là, sans pour autant affirmer qu'il s'agit d'une faille zero-day : des identifiants volés, un paquet tiers ou un autre service compromis ne sont pas exclus, pas plus qu'une mise à jour installée après l'intrusion. Personne n'a montré que les trois décrivent la même chaîne d'attaque.
- Le nombre de propriétaires touchés n'est pas clair : le titre de Frandroid parle de dizaines, 360 de plusieurs demandes d'aide, Synology ne donne aucun chiffre. Au 30 octobre, aucun outil de déchiffrement gratuit n'était disponible.
Pourquoi c'est important
Un NAS contient souvent le lecteur partagé et, sur les mêmes disques, sa seule sauvegarde. Quand sa page de connexion est exposée à Internet, une seule intrusion emporte les deux. « On a fait la mise à jour » est ici une réponse faible, car le fabricant et les chercheurs désignent des failles différentes. Quel que soit celui qui a raison, c'est un NAS inaccessible depuis Internet qui réduit le plus le risque, et une copie de vos données hors de sa portée vous remet sur pied si cela ne suffit pas.