Selon IT-Connect (29 octobre 2026), les signalements se sont multipliés ces derniers jours, d'abord sur des forums chinois : fichiers renommés en .L0CK3D, note de rançon déposée dans chaque dossier. L'éditeur chinois 360 attribue l'intrusion aux deux failles de septembre. Synology les classe critiques, exploitables à distance sans identifiant, et n'indique aucune parade provisoire : seule la mise à jour protège.
Pourquoi en parler à celles et ceux qui dirigent un laboratoire, un cabinet d'imagerie, une pharmacie ou un hôtel ? Parce que le NAS est souvent l'équipement dont personne n'est responsable. Pas d'hébergeur, pas d'agence. Il a été branché il y a des années, il tourne dans un coin, et il contient les résultats, les comptes rendus, les scans, parfois les sauvegardes des autres postes.
Un NAS chiffré a deux effets immédiats. L'activité s'arrête, faute d'accès aux dossiers. Et si des données de personnes sont touchées, c'est une violation de données : à documenter en interne, et à notifier à la CNIL si les personnes courent un risque, sous 72 heures si possible. Dans un laboratoire accrédité, ces enregistrements sont aussi ceux qu'un évaluateur peut demander à voir.
Quatre vérifications à faire cette semaine :
1. La version de DSM : 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ou 7.2.1-69057-12 au minimum, selon votre branche. Une version plus ancienne n'apparaît pas dans l'avis de Synology.
2. L'interface d'administration est-elle joignable depuis Internet ? Si oui, passez par un VPN plutôt que par un port ouvert.
3. Le compte admin par défaut est-il désactivé, la double authentification activée ?
4. Existe-t-il une copie hors ligne, débranchée du NAS ? Un NAS en RAID n'est pas une sauvegarde.
Ma règle, après 27 ans de support et d'infrastructure : chaque machine a un responsable nommé, celui qui la met à jour. Pour un NAS, c'est la ligne qu'on oublie de remplir.
Chez vous, qui met à jour le NAS : un prestataire, un collègue, ou personne ? 🗄️
Source : avis Synology-SA-26:13 (18 septembre 2026), IT-Connect (29 octobre 2026), CNIL.
CQS-IT