Rançongiciel C3RB3R : les NAS Synology non mis à jour pris pour cible en France

Synology a tiré la sonnette d’alarme le 29 octobre 2026 : des attaquants chiffrent les données des boîtiers de stockage réseau (NAS) de la marque qui tournent encore avec une ancienne version de leur système, DiskStation Manager, ou DSM. Le rançongiciel s’appelle C3RB3R et il vise des failles déjà corrigées depuis des mois. Les appareils à jour sont protégés, mais ceux qui ont raté les mises à jour restent exposés. La vague a pris de l’ampleur fin octobre et des utilisateurs en France sont concernés.

Un NAS, c’est un petit boîtier branché au réseau de la maison qui sert de disque dur partagé pour toute la famille : photos, vidéos, documents, sauvegardes. Quand il est chiffré par un rançongiciel, tout son contenu devient illisible sans la clé de déchiffrement. Les attaquants demandent alors une rançon en bitcoins pour la fournir, sans aucune garantie de la donner.

Ce que Synology a confirmé

Dans son avis publié le jeudi 29 octobre, Synology explique avoir repéré des acteurs malveillants qui exploitent une faille corrigée en décembre 2024 pour cibler les appareils sous des versions anciennes de DSM. L’objectif est de chiffrer les données puis d’extorquer une rançon. Le fabricant demande à tous les utilisateurs concernés de mettre DSM à jour immédiatement et d’activer les mises à jour automatiques pour rester protégés en permanence.

Synology n’a pas nommé publiquement la faille exacte exploitée dans cette vague. Son avis renvoie vers un bulletin de novembre 2024 qui couvre trois vulnérabilités, dont la plus grave, la CVE-2024-10441, notée 9,8 sur 10, permet d’exécuter du code à distance sans authentification. Les versions corrigées sont DSM 7.2.2-72806-1 ou plus récente, DSM 7.2.1-69057-6, DSM 7.2-64570-4, DSM 7.1.1-42962-7 et DSM 6.2.4-25556-8 ou plus récente.

Synology publie très rarement ce type d’alerte de sécurité. La précédente remontait à août 2019, après une vague d’attaques par force brute qui avait mené à des infections par le rançongiciel eCh0raix. Le nom C3RB3R emprunte celui du rançongiciel Cerber, apparu en 2016, et il est aussi appelé CerberImposter.

Comment l’attaque se déroule

Les premiers signalements remontent à début octobre 2026, avec une forte accélération à partir du 28 octobre. Les appareils les plus exposés sont ceux que l’on peut joindre directement depuis internet, par exemple via une redirection de ports configurée sur la box ou via le service d’accès à distance du fabricant. Une fois à l’intérieur, le rançongiciel chiffre les fichiers et ajoute l’extension .L0CK3D, écrite avec un zéro, à chaque fichier touché. Un petit fichier texte nommé read-me3.txt apparaît dans chaque dossier.

La note de rançon affirme que tous les fichiers importants ont été chiffrés et que seule une solution nommée C3rb3r Decryptor peut les restaurer. Elle propose même de déchiffrer gratuitement un fichier pour prouver que l’outil fonctionne, puis renvoie vers un portail du web clandestin pour acheter le logiciel. Selon plusieurs médias spécialisés, la rançon demandée tourne autour de 3 000 dollars en bitcoins et doublerait au bout de cinq jours. Aucun outil gratuit de déchiffrement n’existe pour le moment.

Des centaines de milliers de NAS exposés

L’ampleur du risque se mesure avec un chiffre publié par Shadowserver, un organisme qui surveille les menaces sur internet : plus de 380 000 NAS Synology sont accessibles depuis internet dans le monde, dont près de 200 000 en Europe au 1er novembre. Tous ne sont pas vulnérables, car beaucoup sont déjà à jour, mais ce nombre donne une idée du terrain de chasse des attaquants.

En France, le cas rapporté par CNET France montre que le danger n’est pas théorique. Un journaliste du site aurait vu son NAS personnel chiffré avec environ 7 téraoctets de données, principalement des photos. Il aurait accédé à son NAS à distance via un VPN, mais il aurait oublié de fermer des redirections de ports sur son routeur, ce qui laissait l’appareil visible depuis internet. Ses sauvegardes locales, réalisées avec Hyper Backup sur le même appareil, auraient elles aussi été chiffrées. C’est le piège classique : une sauvegarde stockée sur le même boîtier que les données d’origine ne protège de rien quand le boîtier entier est attaqué.

Ce qu’il faut faire tout de suite

La première action est la mise à jour de DSM. Sur un NAS Synology, elle se fait depuis le Panneau de configuration, dans la rubrique Mise à jour et restauration. Il faut installer la dernière version disponible pour son modèle, puis activer les mises à jour automatiques pour ne plus jamais rater un correctif de sécurité.

La deuxième action est de couper l’accès à l’interface d’administration depuis internet. Si le NAS n’a pas besoin d’être joignable de l’extérieur, il faut supprimer les redirections de ports sur la box et désactiver l’accès distant dans les réglages de DSM. Pour un accès à distance, un VPN reste la solution la plus sûre, à condition de le configurer correctement et de ne laisser aucun port ouvert par inadvertance.

La troisième action concerne les sauvegardes. Il faut vérifier qu’une copie des photos et documents importants existe ailleurs que sur le NAS, par exemple sur un disque dur externe rangé hors ligne ou dans un service de cloud. Si le NAS est déjà infecté, il ne faut pas l’éteindre brutalement pendant le chiffrement, ni supprimer les fichiers .L0CK3D. Il faut débrancher le NAS d’internet, puis contacter un professionnel ou le support de Synology.

Questions fréquentes

Mon NAS Synology est-il concerné par C3RB3R ?

Oui, si votre NAS tourne avec une version ancienne de DSM et qu’il est accessible depuis internet. Les failles exploitées ont été corrigées en décembre 2024 et en septembre 2026. Si votre DSM est à jour et que l’interface d’administration n’est pas exposée sur internet, le risque est très faible.

Que faire si mes fichiers portent l’extension .L0CK3D ?

Débranchez le NAS d’internet tout de suite pour stopper la propagation, puis ne supprimez pas les fichiers chiffrés et n’éteignez pas l’appareil brutalement si le chiffrement est encore en cours. Contactez le support de Synology ou un spécialiste de la récupération de données. Il n’existe pas d’outil gratuit de déchiffrement pour C3RB3R, et payer la rançon ne garantit pas de récupérer vos fichiers.

Faut-il payer la rançon en bitcoins ?

Non, les autorités et les experts en cybersécurité déconseillent de payer. Le paiement ne garantit pas la remise de la clé de déchiffrement, il finance les groupes criminels et il peut faire de vous une cible pour une nouvelle attaque. La meilleure protection reste la prévention : DSM à jour, accès distant fermé et sauvegardes hors ligne régulières.