← Retour au blog
Founder Column
Après l’incident de rançongiciel Synology : expliquer les risques, la maintenance et la restauration dans la recherche IA
Les attaques du rançongiciel C3RB3R signalées fin octobre 2026 contre des NAS Synology posent trois questions liées aux marques de stockage : que s’est-il passé ? Les utilisateurs peuvent-ils se fier à leurs dispositifs de maintenance et de restauration ? Et quel NAS une famille, une petite équipe ou un studio photo devrait-il acheter aujourd’hui ?
Gravity a étudié ces questions au moyen de 27 observations en anglais sur ChatGPT, Google Gemini et Google Search AI Overview, recueillies le 31 octobre 2026. Six questions portaient sur l’incident, la sécurité et la restauration ; trois scénarios d’achat ne citaient aucune marque au préalable. Les 27 observations ont produit un contenu généré par l’IA : 18 réponses de sécurité et de restauration, et neuf réponses d’aide à l’achat. Cette publication française restitue cette étude en anglais ; elle ne constitue pas un test en français.
Deux résultats comptent pour les marques de NAS :
Pour le GEO, l’enjeu est de renforcer les preuves sur lesquelles l’IA construit sa réponse : quelle explication elle retient, quelles conditions elle conserve et pourquoi elle recommande un produit à un utilisateur précis.
Question du client | Ce que la marque doit rendre vérifiable |
|---|---|
Quelle est la cause de l’incident ? | La chronologie, le périmètre de chaque avis et la distinction entre déclarations du fournisseur et enquêtes tierces |
Puis-je continuer à utiliser mon NAS ? | Les mises à jour applicables, les paquets, l’exposition, les autorisations et une démarche concrète de réponse et de restauration |
Quel NAS acheter ? | Les engagements de maintenance par modèle et les preuves de restauration adaptées à l’usage |
Au 31 octobre 2026, les sources concernées décrivent des dates, des composants et des périmètres d’enquête différents. Une réponse utile doit conserver ces distinctions.
Source | Faits établis | Conditions à conserver |
|---|---|---|
Communiqués Synology du 29 octobre : version internationale et version américaine | Synology décrit des attaques contre des appareils accessibles depuis Internet, exécutant un DSM obsolète, exploitant des faiblesses corrigées avant décembre 2024. Le communiqué américain précise aussi les mises à jour PHP pour DSM 7.4 et 7.3 encore pris en charge, ainsi que pour les branches en fin de vie DSM 7.2, 7.1, 7.0 et 6.2. Les composants PHP concernés nécessitent une mise à jour dans le Centre de paquets. Synology Drive n’est pas affecté par PHP2Shell. | Le communiqué ne désigne pas de CVE précis et ne publie pas une chaîne d’intrusion complète. Des correctifs PHP ciblés pour d’anciennes branches ne signifient pas qu’elles bénéficient de nouveau d’un support général continu. |
Trois avis distincts : SA-24:20, et |
Les preuves utilisées n’établissent aucun dénominateur mondial vérifié des infections. Parc installé, témoignages de victimes et infections confirmées restent des quantités distinctes.
Chaque question a été posée une fois, dans une nouvelle conversation ou recherche indépendante. Ces observations décrivent les réponses accessibles dans ce lot ; elles n’établissent ni un classement général de fiabilité des plateformes ni un effet causal de l’incident. Pour Google, l’analyse porte sur la zone générée AI Overview, séparée des résultats de recherche ordinaires.
Périmètre | Observations réalisées | Contenus générés |
|---|---|---|
ChatGPT : six questions de sécurité/restauration et trois d’achat | 9 | 9 |
Gemini : les mêmes neuf questions en anglais | 9 | 9 |
Google AI Overview : les neuf recherches anglaises correspondantes | 9 | 9 |
Les cinq exemples de propositions ci-dessous proviennent de quatre réponses anglaises sauvegardées. Les deux exemples de restauration viennent du même AI Overview. Questions, recherches et extraits sont reproduits dans leur anglais original.
Exemple 1 — La réduction du risque devient une garantie de ne pas être affecté.
Question originale, Gemini :
What happened in the Synology NAS ransomware incident in late October 2026, and how widespread is its impact? Please provide links to the sources you rely on. Use information available as of October 31, 2026.
Extrait de réponse :
Devices safely behind virtual private networks (such as Tailscale or WireGuard) or properly updated to recent DSM iterations are unaffected.
La réponse incluait un lien vers le communiqué Synology. Le communiqué américain vérifié et l’analyse de 360 justifient les correctifs et la réduction de l’exposition. Ils ne garantissent pas l’innocuité de tous les appareils derrière un VPN ni de toute installation récente de DSM. Une liste de contrôle de marque doit relier version complète de DSM, paquets concernés, configuration d’accès et signes d’une compromission existante.
Exemple 2 — Deux vulnérabilités reçoivent une classification technique non établie.
Recherche originale, Google AI Overview :
What happened in the Synology NAS ransomware incident in late October 2026, and how widespread is its impact?
Extrait :
two critical Remote Code Execution (RCE) flaws patched more recently on September 18, 2026 (CVE-2026-13639 and CVE-2026-13684)
Un lien Binance Square apparaissait à cet endroit dans la zone générée. Les détails originaux de SA-26:13 décrivent, pour ces deux CVE, des effets de lecture/écriture arbitraire de fichiers et de déni de service ; ils ne classent pas directement les deux comme RCE. Le fait qu’une exploitation aboutisse au déploiement d’un rançongiciel ne démontre pas à lui seul la chaîne d’exécution complète. La description d’origine de chaque CVE, son composant et la version corrigée doivent être faciles à citer ensemble.
Exemple 3 — Le verrouillage d’un instantané devient une protection contre sa suppression par un administrateur.
Recherche originale, Google AI Overview :
My NAS already has two-factor authentication, a firewall, and snapshots enabled. Can ransomware still cause data loss, and what should I check?
Extrait :
Check if your NAS supports and has enabled immutable snapshots (WORM / Write Once, Read Many) or snapshot locking so that neither a compromised admin account nor malware can purge your recovery points.
Une page QNAP sur les instantanés figurait à côté du passage. Le problème est la généralisation du « snapshot locking ». Pour un contre-exemple concret, le guide officiel UGREEN contre les rançongiciels précise :
An administrator can also delete snapshots. Locking a snapshot excludes it from automatic retention cleanup, but it does not make the snapshot immutable or prevent deliberate deletion by an administrator.
Autrement dit, ce verrou évite le nettoyage automatique selon la rétention, mais n’interdit pas la suppression volontaire par un administrateur. Cette distinction concerne ce mécanisme précis ; elle ne prouve pas l’inefficacité de véritables instantanés immuables d’un autre fournisseur. La documentation doit préciser les suppressions empêchées, les droits restreints, la durée de protection, les modèles et les systèmes de fichiers compatibles.
Exemple 4 — La restauration est limitée aux seules sauvegardes externes.
Recherche originale, Google AI Overview :
Are there any publicly available, verifiable data recovery cases from this Synology incident? What do those cases demonstrate?
Extraits :
Verifiable data recovery cases from the recent Synology ransomware campaign demonstrate that successful recovery relies strictly on external, isolated backups and proactive shutdown, rather than in-place cryptographic decryption.
3-2-1 Backups are the Only Reliable Lifeline: Every verified full-recovery scenario succeeded solely because victims maintained disconnected, immutable, or off-site backups (such as immutable cloud repositories or separate cold storage).
La réponse présentait un lien vers le Centre de connaissances Synology et une vidéo NASCompares. Les termes « strictly » et « solely » excluent la voie conditionnelle documentée dans c3rb3r-rescue : des données de session correspondantes, préservées, ont permis de déchiffrer des copies de sauvegarde affectées, puis d’effectuer les contrôles d’intégrité décrits plus haut. Ce dossier du développeur est une preuve de comparaison distincte ; l’IA ne l’avait pas cité.
Les sauvegardes indépendantes restent centrales. Une réponse précise peut en expliquer la valeur tout en distinguant déchiffreur universel et récupération limitée dépendant de données propres à l’incident. Avant toute opération destructive, préserver les preuves et consulter des professionnels de la réponse à incident peut être déterminant.
Exemple 5 — Une absence apparente de perte devient une perte définitive nulle sans paiement de rançon.
Dans la même réponse de restauration, Google AI Overview écrivait :
Because the user maintained a strict 3-2-1 backup strategy and halted encryption mid-process, they achieved zero permanent data loss without paying the ransom.
Le passage renvoyait directement au récit du DS918+ de Tom’s Hardware. Le texte sauvegardé de l’article dit :
The tech has a 3-2-1 backup setup, so they seemingly didn’t lose any data.
Ce texte ne prouve ni une validation complète de la restauration ni l’absence de paiement. L’IA a transformé un récit nuancé en résultat définitif. Un cas publié doit indiquer la méthode de vérification et le périmètre effectivement validé.
Les passages exacts indiquent les conditions à préserver dans les futurs contenus.
Question originale, ChatGPT :
What caused the intrusions in this Synology NAS incident, and which announcements or security advisories should users consult? Please provide links to the sources you rely on. Use information available as of October 31, 2026.
La réponse distingue les enquêtes :
The two reports should not automatically be treated as descriptions of exactly the same attack campaign.
Elle sépare aussi les versions historiquement corrigées de la recommandation actuelle :
These are historical minimum fixed versions, not necessarily the latest releases. Users should install the newest DSM version supported by their particular NAS model.
Elle cite SA-24:20, SA-26:13 et l’analyse de 360, rendant leurs périmètres distincts visibles.
Question originale, ChatGPT :
My NAS already has two-factor authentication, a firewall, and snapshots enabled. Can ransomware still cause data loss, and what should I check? Please provide links to the sources you rely on. Use information available as of October 31, 2026.
La réponse conserve la condition propre au produit :
Check that your particular NAS model and operating system support this feature. Also, don't assume that ordinary snapshots are immutable.
Elle décrit aussi une autre voie d’endommagement des fichiers :
If ransomware infects a computer using an account with write access to a NAS folder, it can encrypt the files in that folder without logging in as the NAS administrator.
Cette distinction sur les instantanés et le risque provenant d’un client autorisé concorde avec le guide UGREEN sauvegardé. La réponse cite aussi l’explication Synology des instantanés immuables et le guide de la CISA.
Question originale, ChatGPT :
Some files on my NAS suddenly will not open, and I have found a ransom note. What should I do now, and how can I determine whether snapshots or backups can restore the data? Please provide links to the sources you rely on. Use information available as of October 31, 2026.
La réponse ne se contente pas de vérifier les noms de fichiers :
A snapshot that contains normal filenames is encouraging, but it is not proof that the contents are intact. Test representative files.
Elle conseille également :
Restore to a separate location first
Trouver un point de restauration et vérifier des données utilisables sont deux étapes distinctes, cohérentes avec les conseils de test de la CISA et la validation sur copies de c3rb3r-rescue. Un échantillon valide ne remplace pas la validation de toutes les données et du fonctionnement métier.
Dimension | Vérification de Gravity | Actif de marque à produire |
|---|---|---|
Attribution de l’incident | L’IA distingue-t-elle communiqué du fournisseur, description de vulnérabilité et enquête tierce ? | Une cartographie datée incident/avis avec URL, CVE, composants et attribution des sources |
Applicabilité au produit | Les branches système, paquets, droits de suppression et conditions d’exposition survivent-ils à la synthèse ? | Des consignes par branche et une documentation précise des instantanés et des accès |
Motifs de choix d’une marque |
Synology figurait dans les neuf réponses d’achat en anglais. L’opportunité consiste à étayer cette présence par des preuves claires de maintenance et de restauration, en enrichissant les documents officiels existants.
Priorité | Contenu public à renforcer | Éléments nécessaires |
|---|---|---|
Relier les chronologies et les enquêtes distinctes | Module de référence C3RB3R et avis | Distinguer le communiqué du 29 octobre 2026, SA-24:20 de novembre 2024, SA-26:13 de septembre 2026 et SA-26:14 d’octobre 2026. Relier chacun à son URL, composant, description CVE et versions corrigées. Attribuer les conclusions de 360 aux cas étudiés. |
Séparer mises à jour DSM et paquets | Liste système/Centre de paquets | Préciser les correctifs PHP de DSM 7.4 et 7.3, ainsi que des branches EOL 7.2, 7.1, 7.0 et 6.2. Identifier Calendar, Mail Station et les branches PHP concernées par SA-26:14. Mettre en évidence PHP 7.3, sans correctif car EOL, et les mesures applicables de migration ou désactivation. Conserver les mentions précises : Hyper Backup Not affected dans le tableau, et Synology Drive non affecté par PHP2Shell. |
Ces ajouts guident les utilisateurs et offrent aux réponses IA un chemin plus clair entre affirmation, conditions et action recommandée.
Les questions d’achat en anglais concernaient les photos familiales et la sauvegarde distante des téléphones, un bureau Windows de huit personnes, et les archives d’environ 20 TB d’un photographe. Aucune ne présélectionnait une marque.
Marque ou plateforme | Réponses l’incluant comme candidat | Présence dans ces neuf réponses anglaises |
|---|---|---|
Synology | 9/9 — 100% | Présent dans les trois scénarios sur les trois surfaces IA ; ChatGPT le préférait explicitement dans chacun. |
QNAP | 9/9 — 100% | Présent dans les trois scénarios et sur les trois surfaces, comme option de comparaison avec Synology. |
UGREEN |
Ces chiffres comptent les recommandations de candidats dans les réponses générées, y compris conditionnelles. Une marque compte une fois par réponse ; plusieurs peuvent coexister. Ce sont des observations d’échantillon, pas des parts de marché, un classement produit vérifié ou la preuve d’un changement causé par l’incident.
Une recommandation peut conserver une réserve. Par exemple :
Question originale, ChatGPT :
I want to buy a NAS for family photos and phone backups, with remote access for family members. Please recommend 2–3 candidate brands or product lines and explain how to compare security maintenance, backup, and recovery. Please provide links to the sources you rely on. Use information available as of October 31, 2026.
Extrait :
UGREEN: Worth considering for hardware value, but I would want more confidence in long-term software maintenance before making it the primary repository for irreplaceable family memories.
La même réponse demandait :
I would ask for written confirmation of the supported lifetime and security-update policy for the exact NAS model before purchasing.
Elle invitait aussi à vérifier les sauvegardes planifiées, versionnées et restaurables indépendamment vers les destinations souhaitées. Elle incluait le lien de la gamme UGREEN NASync. Cette réserve est une condition observée dans la recommandation, et non la preuve qu’UGREEN ne dispose pas de ces fonctions ou politiques.
Quatre catégories de preuves publiques peuvent répondre à ces questions :
Preuve à publier | Champs concrets de comparaison | Question du client |
|---|---|---|
Cycle de support sécurité et historique des mises à jour | Début de la durée de support, système et applications couverts, modèles, avis et notifications | Pendant combien de temps cet appareil sera-t-il maintenu ? |
Accès distant et moindre privilège | Accès par défaut, relais/VPN, exposition des ports d’administration, comptes quotidiens distincts des administrateurs, droits SMB/NFS par rôle | Comment connecter la famille ou partager les fichiers de l’équipe avec des droits adaptés ? |
Règles de suppression et d’immutabilité |
La documentation doit aussi clarifier trois différences techniques :
Les pages officielles établissent les faits produit, les tests indépendants des résultats sous conditions publiées, et les communautés spécialisées des questions pratiques. Une démonstration contrôlée de restauration offre à tous un objet concret d’évaluation.
Cette démonstration suppose un accès administrateur resté sûr et des protections configurées au préalable. Publier taille réelle de l’échantillon et durée de restauration, ainsi que les scénarios non testés : compromission administrateur, intrusion par vulnérabilité inconnue ou dégradation du pool. Distinguer démonstration de marque et test indépendant évite d’étendre le résultat à toute attaque.
Sujet proposé | Preuve qui le justifie | Angle éditorial ou test utile |
|---|---|---|
« Que prouve réellement un cas de restauration après rançongiciel sur NAS ? » | L’AI Overview anglais renforçait le récit nuancé de Tom’s Hardware et excluait la récupération conditionnelle de c3rb3r-rescue. | Avec des journalistes tech/sécurité, comparer prérequis et critères de validation d’une restauration isolée et d’une récupération à partir de données de session propres à l’incident. |
« Double authentification et instantanés activés : que reste-t-il à tester ? » | La réponse anglaise généralisait la protection contre la suppression ; une vidéo NASCompares figurait aussi dans la zone générée de la réponse sur la restauration. | Inviter des spécialistes NAS à inspecter les interfaces : isolement des droits, rétention, immutabilité, notifications et durée du support. Un lien vidéo visible est une piste de source, pas l’approbation de chaque affirmation IA par son auteur. |
Ce sont des propositions de contenus et de collaborations de test. Chacune doit reposer sur des faits produit vérifiés et renvoyer aux consignes officielles et aux conditions du test.
Cette étude en anglais met en évidence une opportunité commerciale : Synology et QNAP entraient dans les neuf sélections d’achat, alors que les réponses sur l’incident perdaient encore des conditions techniques et de restauration essentielles. D’autres marques obtenaient une place et peuvent rendre leurs preuves de maintenance et de restauration plus faciles à comparer.
Les marques ont besoin d’être considérées et de justifier leur choix. Synology peut mieux relier communiqués, avis et démarches utilisateurs. Les concurrents peuvent publier des engagements de support précis, des limites d’autorisation et des restaurations vérifiées pour les usages réellement décrits par les acheteurs.
Gravity relie ces tâches : question d’achat, réponse IA originale, URL exacte, manque ou exagération de preuve, puis contenu officiel applicable et sujets médias ciblés. Nos services GEO aident les marques technologiques et matérielles à évaluer exactitude, appui des citations et motifs de recommandation par usage sur les grandes surfaces de recherche IA, puis à construire les contenus et preuves nécessaires.
Votre marque fait face à la concurrence, à des fonctions mal comprises ou à un incident qui change les questions des acheteurs ? Demandez un audit de recherche IA pour identifier avec Gravity les opportunités GEO prioritaires.
Cet article est un actif de preuve. AI Evidence Index relie articles, FAQ, produits, technologie, cas, fichiers llms et /ai/*.md.
L’audit de visibilité IA identifie les citations, recommandations et lacunes de preuve.
Demander un audit IASA-24:20, de novembre 2024, concerne des vulnérabilités DSM d’exécution de code à distance ; la presse l’associe souvent à CVE-2024-10441. SA-26:13, publié en septembre 2026, inclut CVE-2026-13639 et CVE-2026-13684 ; la version corrigée de DSM 7.2.2 est 7.2.2-72806-9. SA-26:14 porte sur PHP2Shell, dont CVE-2026-109618 et CVE-2026-109619. |
Il s’agit de problèmes différents, touchant le système et des paquets. Le tableau produit de SA-26:14 prévoit des actions pour Synology Calendar, Mail Station et plusieurs branches PHP. PHP 7.3 est classé Critical, sans correctif car en fin de vie. Hyper Backup y est indiqué Not affected, malgré sa présence dans le résumé de l’avis. L’applicabilité doit être déterminée à partir du tableau et de la révision 4 du 31 octobre. |
Analyse technique originale de 360, le 29 octobre | Pour les cas étudiés, 360 identifie CVE-2026-13639 et CVE-2026-13684 comme points d’entrée utilisés pour déployer C3RB3R sur des appareils exposés et non corrigés. | Cette enquête est distincte du communiqué Synology sur des faiblesses corrigées en 2024. Les documents publics ne démontrent pas un point d’entrée commun à tous les appareils touchés. |
Cas du DS918+ rapporté par Tom’s Hardware, octobre 2026 | L’utilisateur d’un NAS accessible depuis Internet avait négligé les mises à jour de sécurité pendant environ 18 mois. L’article présente CVE-2024-10441 comme point d’entrée probable. L’utilisateur a arrêté l’appareil après détection et disposait de sauvegardes 3-2-1 ; selon l’article, il « seemingly didn’t lose any data ». | Le récit ne prouve ni une validation complète de la restauration ni le statut du paiement d’une rançon. Les réserves d’un témoignage portant sur un seul appareil doivent être conservées. |
README de c3rb3r-rescue et rapport d’incident, publiés par un développeur indépendant | L’auteur documente la préservation de données de session correspondantes et le déchiffrement de copies des fichiers affectés. Une sauvegarde hebdomadaire GitLab du 24 octobre, d’environ 48.89 GiB, correspondait à un SHA historique. Ont été contrôlés l’intégrité TAR/gzip, 78 sommes de contrôle PACK de bundles Git et 9,253 OID LFS, avant un import isolé de 80 projets. | C’est une restauration documentée par son auteur, soumise à des conditions précises, et non un outil de déchiffrement universel. Elle ne prouve ni la restauration de tous les partages NAS ni une remise en production achevée. Gravity n’a pas réexécuté indépendamment cette restauration. |
Total
27 |
27 |
Sous-ensemble sécurité et restauration | 18 | 18 |
Sous-ensemble achat, sans marque citée au préalable | 9 | 9 |
Quelles marques entrent dans la sélection et quelles questions de maintenance ou restauration subsistent ?
Des engagements par modèle et des dossiers de restauration pour familles, équipes et studios |
Appui des citations | Quelle affirmation la page liée établit-elle exactement, et où la conclusion la dépasse-t-elle ? | Des cas précisant conditions, échantillon, contrôles, périmètre validé et limites |
Rendre les contrôles conditionnels et concrets | Liste de maintenance par branche et appareil | Regrouper versions complètes système/paquets, exposition Internet inutile, droits d’écriture sur les dossiers partagés et anomalies de connexion ou des journaux système. Expliquer les mises à jour automatiques et notifications applicables. |
Rendre les preuves de restauration exploitables | Guide gradué de réponse et de validation | Adapter isolement réseau et préservation des preuves à l’état réel de l’incident, y compris les éventuelles données de session volatiles utiles. Orienter vers des professionnels. Restaurer des copies ailleurs, ouvrir des fichiers représentatifs, vérifier l’intégrité et définir les conditions de retour en production. |
4/9 — 44.4%
Présent dans la réponse familiale de ChatGPT et les trois réponses d’achat de Gemini. |
TrueNAS | 3/9 — 33.3% | Présent dans la réponse équipe de ChatGPT et les réponses équipe et photographie d’AI Overview. |
ASUSTOR | 1/9 — 11.1% | Présent dans la réponse photographie de ChatGPT. |
ZSpace | 0/9 — 0% | Aucun candidat dans ce sous-ensemble anglais. |
Portée du verrou de rétention, restrictions sur l’administrateur, période protégée et conditions modèle/système de fichiers |
Que deviennent les points de restauration si un compte est compromis ? |
Dossiers de restauration par usage | Capacité et types de fichiers, retour de version, restauration hors site, durée réelle, intégrité et ouverture de fichiers représentatifs | Puis-je retrouver mes photos, documents ou projets créatifs ? |
« Comment valider la restauration de 20 TB de photos ou d’un bureau partagé ? » | Les scénarios anglais abordent équipes et studios ; ChatGPT demande correctement une vérification des contenus. | Travailler avec des testeurs de stockage à grande échelle, éventuellement StorageReview, pour documenter restauration hors site et ouverture dans les applications. StorageReview est une proposition fondée sur ses capacités ; aucune citation directe n’a été observée dans cette étude. |