Rançongiciel C3RB3R sur les NAS Synology : mettez DSM à jour et fermez l’accès Internet
Le serveur de fichiers de bien des PME québécoises, c’est une petite boîte noire sur une tablette : un NAS Synology. Il contient les dossiers clients, la comptabilité, les plans, parfois même les sauvegardes des ordinateurs. Et depuis la mi-octobre, des propriétaires de ces appareils ouvrent leurs dossiers pour y trouver des fichiers renommés en .L0CK3D et une note intitulée read-me3.txt.
Le 29 octobre 2026, Synology a publié un avertissement rare : des attaquants exploitent une faille corrigée en décembre 2024 pour chiffrer les NAS qui roulent encore une ancienne version de DSM (le système d’exploitation de l’appareil), puis exiger une rançon. La dernière alerte de ce genre chez Synology remontait à 2019.
Rançongiciel Synology C3RB3R : ce qui se passe
La note de rançon affirme que « tous vos fichiers importants ont été chiffrés » et pousse la victime à acheter un « C3rb3r Decryptor » sur un site du dark web, pour plusieurs milliers de dollars. Synology n’a pas dit laquelle des failles est exploitée. Elle renvoie à son avis Synology-SA-24:20, qui corrige trois failles de DSM : une permet d’exécuter du code à distance (CVE-2024-10441), les deux autres de lire ou d’écrire des fichiers (CVE-2024-50629 et CVE-2024-10445).
L’organisme Shadowserver compte plus de 380 000 NAS Synology joignables directement depuis Internet. Tous ne sont pas vulnérables, mais chacun d’eux est une porte que les attaquants testent en ce moment.
Les 3 portes que les attaquants trouvent ouvertes
Quelle version de DSM installer
Voici les versions minimales qui corrigent les failles de l’avis SA-24:20. Si votre NAS le permet, installez plutôt la toute dernière version offerte pour votre branche : elle inclut aussi des correctifs plus récents.
| Votre branche DSM | Version minimale corrigée | Gravité selon Synology |
|---|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 ou plus récente | Critique |
| DSM 7.2.1 | 7.2.1-69057-6 ou plus récente | Critique |
| DSM 7.2 | 7.2-64570-4 ou plus récente | Critique |
| DSM 7.1 | 7.1.1-42962-7 ou plus récente | Critique |
| DSM 6.2 | 6.2.4-25556-8 ou plus récente | Modérée |
Pour vérifier : Panneau de configuration › Mise à jour et restauration. La version installée s’affiche en haut. Profitez-en pour cocher l’installation automatique des mises à jour importantes. Si votre appareil est trop vieux pour recevoir les versions récentes, c’est le signal qu’il faut planifier son remplacement.
Protéger votre NAS en 4 couches
De l’extérieur vers vos fichiers
Couche 1 · Réseau
Aucune page DSM, aucun port 5000/5001 ni QuickConnect ouvert au public. Accès à distance par RPV seulement.
Couche 2 · Comptes
Compte « admin » par défaut désactivé, mots de passe uniques, authentification à deux facteurs pour tous les administrateurs, blocage automatique des adresses après plusieurs échecs.
Couche 3 · Système
DSM et les paquets installés à jour, mises à jour automatiques activées, paquets inutiles retirés.
Couche 4 · Données
Instantanés (snapshots) protégés en écriture, et une copie des données hors ligne ou dans un autre lieu. Un NAS n’est pas une sauvegarde à lui seul.
Nous l’avons vu avec le rançongiciel qui a chiffré les sauvegardes chez IDCF Cloud : quand les copies vivent au même endroit que les originaux, une seule attaque peut tout emporter. Notre service de sauvegarde et reprise après sinistre repose justement sur une copie séparée et testée.
Si votre NAS est déjà en train de chiffrer
⏱️
Tout de suite
Couper sans effacer
- Débranchez le câble réseau du NAS (ou coupez son port sur le commutateur).
- Ne redémarrez pas l’appareil et ne le réinitialisez pas.
- N’effacez ni la note
read-me3.txtni les fichiers.L0CK3D.
⏱️
Dans l’heure
Constater
- Photographiez les messages et notez l’heure.
- Vérifiez si vos instantanés et votre copie hors ligne sont intacts, sans les brancher au NAS touché.
- Appelez votre fournisseur TI et votre assureur.
⏱️
Dans la journée
Reprendre proprement
- Cherchez la variante sur No More Ransom avant toute décision.
- Restaurez sur un appareil remis à neuf et à jour, jamais sur l’ancien tel quel.
- Changez tous les mots de passe utilisés sur le NAS.
Payer ne garantit rien : l’outil de déchiffrement peut ne pas fonctionner, et vous financez la prochaine attaque. Si des renseignements personnels sont touchés, la Loi 25 exige aussi d’évaluer l’incident et, s’il présente un risque sérieux de préjudice, d’aviser la Commission d’accès à l’information et les personnes concernées.
Comment NeoTech peut vous aider
Avec notre service de gestion des serveurs, nous gardons votre NAS à jour, fermons les accès publics, configurons le RPV, la double authentification et les instantanés. Notre surveillance automatisée 24/7 avec intervention du technicien de garde repère les connexions anormales et les vagues de fichiers renommés avant que tout soit chiffré. Pour l’ensemble de vos protections, voyez nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble votre NAS : sa version de DSM, ce qui est ouvert sur Internet et si vos sauvegardes survivraient à un rançongiciel.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Synology — Synology urges users to update DSM following ransomware attacks on outdated DSM versions, 29 octobre 2026 (en anglais)
- Synology — Synology-SA-24:20 DSM (avis de sécurité) (en anglais)
- BleepingComputer — Synology warns of C3RB3R ransomware attacks targeting NAS devices, 2 novembre 2026 (en anglais)
- IT-Connect — C3RB3R ransomware is hitting Synology NAS devices: how to protect yours (en anglais)
- No More Ransom — outils de déchiffrement gratuits (Europol et partenaires)
Photo : Jakub Zerdzicki, Pexels (licence Pexels).