Un cabinet comptable veut que sa collaboratrice en télétravail accède aux dossiers clients stockés sur le NAS du bureau. La solution la plus rapide, souvent appliquée sans y penser deux fois : ouvrir un port sur le routeur pour rendre le NAS joignable directement depuis Internet. Ça fonctionne, tout de suite. Le problème arrive des mois plus tard, sous la forme d’une note de rançon qui s’affiche à la place de chaque fichier.
Ce scénario n’est pas une hypothèse d’école. Il décrit le point de départ de plusieurs vagues de rançongiciels qui ont visé des NAS ces dernières années, documentées par les fabricants eux-mêmes et par des chercheurs en sécurité.
En septembre 2022, QNAP publie son avis de sécurité QSA-22-24 au sujet du rançongiciel DeadBolt (faille CVE-2022-27593 de Photo Station) : les appareils visés sont ceux dont Photo Station est accessible directement depuis Internet. Deux mois plus tôt, en juillet 2022, QNAP alertait déjà sur Checkmate, un rançongiciel qui s’en prend aux NAS exposés sur Internet avec le partage de fichiers SMB activé, en devinant par force brute les mots de passe trop faibles.
Et ce n’est pas propre à une seule marque : en août 2021, l’unité 42 de Palo Alto Networks documente une variante du rançongiciel eCh0raix qui touche aussi bien les NAS QNAP que les NAS Synology, par force brute sur les identifiants ou en exploitant une faille de QNAP (CVE-2021-28799). Les chercheurs comptaient alors environ 250 000 NAS QNAP et Synology joignables depuis Internet.
Dans tous ces cas, le point de départ est le même : un service du NAS, pensé pour un usage en réseau local, se retrouve directement joignable depuis le web, puis est exploité par une faille ou un mot de passe faible. Et ce n’est pas seulement de l’histoire ancienne : le 22 septembre 2026, Génération NT relayait la découverte de huit vulnérabilités dans DSM, le système des NAS Synology, dont deux critiques (9,8 sur 10) exploitables à distance sans authentification. Un NAS exposé sur Internet est exactement celui qui ne peut pas attendre son prochain correctif.
La taille de l’entreprise ou la marque du NAS ne change rien au mécanisme. Ce que ces attaques cherchent, à grande échelle, ce sont des adresses IP publiques sur lesquelles un port de NAS répond. Un NAS de TPE à deux disques, installé dans une réserve ou sous un bureau, est exactement aussi visible pour ce type de scan automatisé qu’un serveur d’entreprise. La seule variable qui compte est binaire : le NAS répond-il, oui ou non, sur Internet.
La plupart des expositions involontaires passent par l’UPnP (Universal Plug and Play), un protocole qui permet à un appareil du réseau d’ouvrir lui-même un port sur le routeur, sans intervention humaine. Pratique, mais c’est exactement ce que QNAP demande de désactiver dans son avis sur DeadBolt : décocher « Enable UPnP Port forwarding » dans la configuration automatique du routeur (« Auto Router Configuration »), accessible depuis myQNAPcloud. Sur un NAS Synology, le réflexe est le même : vérifier dans l’interface du routeur qu’aucune redirection n’a été créée automatiquement vers les ports de DSM (5000/5001) ou vers un partage de fichiers.
Pour une TPE, ce contrôle prend dix minutes et ne demande aucune compétence réseau avancée : ouvrir l’interface d’administration du routeur, chercher la liste des redirections de ports actives, et supprimer celles qui pointent vers le NAS.
Besoin réel : accéder aux fichiers du bureau depuis la maison ou en déplacement. Mauvaise réponse : ouvrir le NAS sur Internet. QNAP documente la bonne réponse dans son propre guide : activer le service QVPN du NAS, choisir un protocole (QBelt, OpenVPN, L2TP/IPSec ou WireGuard), puis n’ouvrir sur le routeur que le port correspondant à ce VPN. QNAP demande expressément de ne pas ouvrir les autres ports de services du NAS sur Internet, de sorte que tout l’accès passe par le tunnel, et déconseille d’activer l’UPnP. Côté Synology, la logique est la même : la collaboratrice se connecte via le paquet VPN Server de DSM (OpenVPN ou L2TP/IPSec), qui demande lui aussi une redirection de port sur le routeur, mais pour lui seul. C’est ce tunnel chiffré qui donne ensuite accès aux dossiers partagés, jamais une redirection directe vers le partage de fichiers lui-même.
Le raisonnement ne change pas selon la marque : un seul point d’entrée chiffré et authentifié, jamais une multitude de ports ouverts au gré des besoins.
Même avec un accès distant bien conçu, un compte mal protégé reste une porte de secours pour un attaquant. Synology recommande de désactiver le compte « admin » fourni par défaut et d’en créer un autre, avec un nom qui évite « admin », « administrator » ou « root ». QNAP formule la même exigence dans ses recommandations, relayées par TechRadar en juin 2022 : mot de passe robuste sur les comptes administrateurs, activation de la protection d’accès par IP contre les attaques par force brute, et abandon des numéros de port par défaut.
C’est le filet qui reste utile même si un mot de passe finit par fuiter ailleurs. Sur DSM, Synology propose la « vérification en 2 étapes » : une fois activée pour un compte, la connexion demande en plus un code à 6 chiffres généré par une application comme Microsoft Authenticator ou Authy. Sur QTS, la fonction équivalente s’appelle « 2-Step Verification » et se trouve en cliquant sur le nom d’utilisateur dans la barre des tâches, puis « Login and Security » ; l’application QNAP Authenticator génère ensuite un code renouvelé toutes les 30 secondes. Dans les deux cas, l’activation se fait en quelques minutes, par compte.
Fermer l’exposition sur Internet, verrouiller les comptes et activer la double authentification réduit très fortement le risque d’intrusion. Cela ne remplace pas une sauvegarde qui sort du NAS lui-même : un rançongiciel qui parvient malgré tout jusqu’au NAS peut atteindre aussi les instantanés conservés sur le même appareil, sauf s’ils sont verrouillés (instantanés immuables). C’est la dernière ligne de défense si tout le reste a échoué, et je l’ai détaillée dans mon article sur la règle 3-2-1.
Le point d’entrée de la plupart des rançongiciels qui ont visé des NAS ces dernières années n’est pas une faille sophistiquée : c’est un port ouvert par commodité, souvent sans que personne dans l’entreprise ne s’en souvienne vraiment. Vérifier cette exposition, passer par un VPN pour l’accès distant, et activer la double authentification sur les comptes représente quelques heures de travail, une seule fois, pour fermer la porte la plus fréquemment utilisée par les attaquants.
Si vous ne savez pas si votre NAS est actuellement exposé sur Internet, ou si vous voulez faire vérifier sa configuration, contactez-moi : un diagnostic de sécurité NAS se fait à distance, sans interruption de votre activité.
Sources
Une question sur ce sujet ?
Vous vous demandez ce que cela change pour votre entreprise ? Je vous réponds personnellement.
Posez-moi votre question© 2026 Makantet. Tous droits réservés. ‑ Mentions légales ‑ Politique de confidentialité ‑ Plan du site ‑ Gérer les cookies
