Mon NAS ou mon disque externe est chiffré : que faire

↑ Ce conseil fait partie du guide : Rançongiciel

Mon NAS ou mon disque externe a été chiffré : que faire ?

Débranchez-le et ne le reformatez pas : c'est souvent le seul exemplaire restant de vos données. Le support a été chiffré parce qu'il était connecté au moment de l'attaque, ou exposé sur internet. Cherchez un outil de déchiffrement gratuit pour la souche identifiée, et conservez les fichiers en l'état en attendant.

Pourquoi la sauvegarde a été chiffrée aussi

La question revient toujours, et la réponse est mécanique : un rançongiciel chiffre tout ce que l'ordinateur peut écrire. Un disque externe branché en permanence, un NAS monté comme lecteur réseau, un dossier synchronisé : pour le système, ce sont des dossiers comme les autres.

Trois configurations très répandues sont concernées :

• Le disque USB laissé branché « parce que la sauvegarde se fait toute seule ».
• Le NAS monté en lecteur réseau avec des droits d'écriture depuis le poste infecté.
• Le cloud synchronisé : les fichiers chiffrés remplacent les originaux dans la foulée. Seul l'historique de versions sauve — nous y revenons.

C'est aussi pour cela que la règle de sauvegarde tient en un mot : déconnectée. Le reste est du confort.

Les gestes d'urgence

1. Isolez. Débranchez le câble réseau du NAS, ou coupez le Wi-Fi de la maison. Débranchez les disques externes encore connectés — mais ne débranchez pas un disque en cours d'écriture s'il est possible de couper le réseau à la place.
2. Éteignez les postes qui continuent de travailler anormalement, sans les formater.
3. Identifiez la source : le chiffrement vient d'un ordinateur, pas du NAS lui-même dans la plupart des cas. Cherchez la machine qui a les droits d'écriture et qui a été allumée au moment des faits.
4. Photographiez le message de rançon, l'extension ajoutée et quelques noms de fichiers : c'est ce qui permettra d'identifier la famille.
5. Ne supprimez rien. Conservez les fichiers chiffrés : des clés sont parfois publiées des mois plus tard.

La suite des premières heures, côté poste de travail, est détaillée dans rançongiciel : que faire dans les premières heures.

Le cas particulier du NAS exposé sur internet

Un NAS peut aussi être attaqué directement, sans passer par un ordinateur, lorsqu'il est accessible depuis internet. C'est arrivé à grande échelle à plusieurs reprises, sur des modèles grand public dont une faille n'avait pas été corrigée.

Les configurations à risque, à vérifier une fois la crise passée :

• La redirection de ports sur la box vers le NAS (souvent activée pour un accès distant pratique) ;
• L'UPnP laissé actif sur la box, qui ouvre des ports tout seul ;
• Le compte administrateur d'origine, conservé avec son nom et un mot de passe simple ;
• Le micrologiciel jamais mis à jour : c'est le point commun de la plupart des vagues connues.

Quand le NAS a été touché directement, le poste de travail est souvent sain : inutile de tout réinstaller à la maison, mais indispensable de refermer l'accès distant.

Ce qui reste récupérable

Soyons clairs : sans la clé des attaquants, il n'y a généralement rien à déchiffrer. Il ne s'agit donc pas de promettre un retour des fichiers, mais de tenter plusieurs voies, dans l'ordre :

1. Les instantanés du NAS et les versions antérieures (section suivante) : la voie la plus souvent gagnante.
2. L'historique de versions du cloud : la plupart des services conservent 30 jours de versions, y compris pour les fichiers écrasés.
3. Les copies oubliées : un disque débranché au moment des faits, un vieux téléphone, une clé USB, les pièces jointes de vos mails.
4. Les outils gratuits de déchiffrement de No More Ransom, quand la famille est connue et que ses clés ont été saisies.

Quand tout cela échoue, il reste la récupération sur le support lui-même, quand le rançongiciel a copié puis supprimé les originaux : il s'agit d'une tentative, jamais d'une garantie — et si rien n'est récupéré, elle n'est pas facturée. La question du paiement, elle, est traitée dans faut-il payer la rançon.

Les instantanés, la bonne surprise

La plupart des NAS grand public savent créer des instantanés (snapshots) : des photographies du système de fichiers, prises à intervalles réguliers, qui n'occupent presque pas de place et qui ne sont pas accessibles en écriture depuis le réseau.

Deux bonnes nouvelles : ils survivent souvent au chiffrement, et ils permettent de revenir à l'état de la veille en quelques minutes. Une mauvaise : ils sont désactivés par défaut sur beaucoup de modèles, et personne ne les active avant d'en avoir eu besoin.

À vérifier maintenant, avant toute autre manipulation : la fonction d'instantanés du NAS, la corbeille réseau, et les versions antérieures côté Windows. Sur un partage réseau, le clic droit sur un dossier propose parfois « Versions précédentes » : cela vient des instantanés du serveur.

Comprendre par où c'est entré

Remonter l'origine n'est pas un luxe : sans cela, la remise en état sera suivie d'une deuxième attaque quelques semaines plus tard. Trois sources d'information, gratuites et disponibles immédiatement :

• Les journaux du NAS : ils indiquent quel compte s'est connecté, depuis quelle adresse et à quelle heure. Une connexion administrateur à trois heures du matin depuis une adresse étrangère répond à la question.
• La date des fichiers chiffrés : elle donne l'heure de début, donc la machine allumée à ce moment-là.
• Le nom de l'extension ajoutée et le fichier de rançon : ils identifient la famille, ce qui permet de savoir si elle passe habituellement par un poste infecté ou par une faille d'accès distant.

Les deux portes d'entrée les plus fréquentes restent, de loin : un accès distant ouvert sur internet avec un mot de passe faible, et une pièce jointe ouverte sur un poste qui avait les droits d'écriture sur le partage. Selon la réponse, on refermera un port sur la box, ou on reconstruira un ordinateur : ce n'est pas le même chantier, et c'est pour cela qu'on cherche avant d'agir.

Remonter une installation propre

Une fois ce qui pouvait être sauvé mis de côté, la remise en état suit toujours la même logique :

1. Copier les données chiffrées sur un support à part, mis de côté et non réutilisé.
2. Reconstruire le poste compromis par une réinstallation complète : un nettoyage sur un système qui a servi de porte d'entrée n'est pas suffisant.
3. Remettre le NAS à neuf (micrologiciel à jour, comptes recréés, ports refermés) avant d'y remettre le moindre fichier.
4. Restaurer depuis les instantanés ou les copies saines, en vérifiant au passage que les fichiers s'ouvrent.
5. Changer les mots de passe du NAS, de la box et des comptes utilisés depuis le poste touché — depuis un autre appareil.

Ce chantier se chiffre au cas par cas : un rançongiciel se traite sur devis, et il faut généralement compter une demi-journée. Le déroulé est décrit sur la page rançongiciel.

Une sauvegarde qui résiste

Pour que la prochaine fois se passe autrement, quatre principes suffisent :

• Une copie déconnectée — un disque que l'on rebranche une fois par semaine, puis que l'on range. C'est le point décisif.
• Des instantanés activés sur le NAS, avec une rétention d'au moins deux semaines.
• Un compte de sauvegarde distinct, sans droit d'écriture depuis les postes de travail.
• Un test de restauration par an : une sauvegarde jamais testée n'est pas une sauvegarde.

Le détail de la méthode, y compris la règle 3-2-1 expliquée simplement, est dans comment sauvegarder ses données avant qu'il soit trop tard.

Le cas des professionnels

Pour une entreprise, même très petite, trois obligations s'ajoutent au travail technique :

• Le dépôt de plainte, qui conditionne souvent l'intervention de l'assurance ;
• La notification à la CNIL sous 72 heures si des données personnelles sont concernées — ce qui est presque toujours le cas dès qu'il y a un fichier clients ;
• L'information des personnes concernées lorsque le risque est élevé pour elles.

Le signalement via cybermalveillance.gouv.fr ou 17Cyber oriente vers les bons interlocuteurs. Et dans l'urgence, mieux vaut appeler avant de manipuler : le diagnostic au téléphone dure quinze minutes, ne coûte rien, et c'est souvent l'ordre des gestes qui fait la différence. Vous pouvez aussi décrire la situation en deux lignes.

Remonter le NAS : volumes, RAID et formatage

Une fois les instantanés explorés et les données sorties, le NAS doit être remis à neuf. Ce qui surprend : le RAID n'est pas une sauvegarde, et il ne protège de rien ici. Il protège d'une panne de disque, pas d'un chiffrement — qui est une écriture parfaitement légitime du point de vue du système.

1. Sortez d'abord ce qui est récupérable vers un disque dur externe branché en USB directement sur le NAS, pas via le réseau : c'est plus rapide et ça évite de repasser par les postes.
2. Supprimez le volume et recréez-le : c'est l'équivalent d'un formatage. Recréer le volume efface aussi les tâches planifiées et les dossiers partagés piégés, ce qu'un simple effacement de fichiers ne fait pas.
3. Réinstallez le système du NAS dans sa version à jour, avant de recréer le moindre partage.
4. Recréez les comptes avec des mots de passe neufs, et surtout désactivez le compte administrateur par défaut : c'est lui qui est visé en premier.
5. Ne réexposez rien sur internet. Ni accès direct, ni redirection de port sur la box. Si l'accès à distance est indispensable, il passe par le service du constructeur ou par un tunnel, jamais par un port ouvert.

Sauvegarder le NAS sur un disque externe, la seule copie qui résiste

C'est la question qui revient le plus, et la réponse tient en une phrase : une copie qui n'est pas branchée ne peut pas être chiffrée. Concrètement :

• Branchez un disque dur externe sur le port USB du NAS. Les systèmes des principales marques proposent tous un utilitaire de sauvegarde vers un périphérique USB — chez Synology c'est Hyper Backup, chez QNAP Hybrid Backup Sync.
• Programmez la tâche, puis débranchez physiquement le disque entre deux sauvegardes. C'est contraignant, et c'est précisément ce qui fait que ça marche : un support hors ligne est hors d'atteinte.
• Alternez deux disques, l'un branché, l'autre rangé ailleurs. Vous avez alors la règle 3-2-1 sans y penser.
• Vérifiez une restauration par an : sortez trois fichiers au hasard de la sauvegarde et ouvrez-les. Une sauvegarde jamais testée n'est pas une sauvegarde.

Évitez la synchronisation permanente vers un autre NAS ou vers le cloud comme seule protection : elle recopie fidèlement les fichiers chiffrés. Utile en complément, jamais à la place.

Et si c'est une simple clé USB qui semble vidée de ses fichiers, ne concluez pas trop vite au chiffrement : le plus souvent les dossiers sont seulement masqués par un virus de raccourci, et une commande les fait revenir.

Sauvegarde automatique ou synchronisation : la différence qui décide

C'est la confusion qui a coûté leurs données à la plupart des gens que je dépanne. Les deux se ressemblent à l'usage, et n'ont rien à voir :

• Synchroniser, c'est refléter. Ce qui arrive à l'original arrive à la copie, immédiatement. Un fichier chiffré est donc fidèlement recopié ; un fichier supprimé disparaît des deux côtés. Google Drive, OneDrive et Dropbox fonctionnent ainsi par défaut, comme la réplication entre deux NAS.
• Sauvegarder, c'est garder des états antérieurs. On peut revenir à hier, à la semaine dernière. Une sauvegarde complète ou incrémentale conserve des versions : c'est ce qui permet de récupérer après un chiffrement.

La règle pratique : la synchronisation est un confort, pas une protection. Si votre seule copie est synchronisée, vous n'avez pas de sauvegarde — vous avez deux exemplaires du même problème.

Sauvegarder les postes vers le NAS, sans refaire l'erreur

Un NAS sert aussi à sauvegarder les ordinateurs du foyer. Encore faut-il que cette sauvegarde ne soit pas la première victime :

1. Sous Windows, ouvrez le Panneau de configuration, rubrique Sauvegarder et restaurer, ou activez l'Historique des fichiers vers un dossier du NAS. Sur Mac, Time Machine accepte une destination réseau.
2. Ne montez pas ce dossier comme lecteur réseau permanent. Un lecteur monté en permanence est vu comme un disque ordinaire par un rançongiciel : c'est exactement par là que les sauvegardes partent.
3. Préférez l'agent de sauvegarde du constructeur, qui écrit avec un compte dédié et garde des versions — plutôt qu'une copie manuelle dans un partage ouvert.
4. Activez les instantanés sur le volume du NAS : ils sont en lecture seule et survivent au chiffrement des fichiers. C'est la meilleure protection du lot, et elle est gratuite.

Questions fréquentes

Mon disque externe était branché, tout est chiffré : c'est normal ?

Oui, malheureusement : un rançongiciel chiffre tout ce que l'ordinateur peut écrire, et un disque branché en permanence en fait partie. C'est la raison pour laquelle une sauvegarde doit être déconnectée entre deux utilisations.

Faut-il réinitialiser le NAS pour repartir ?

Pas avant d'avoir vérifié les instantanés et la corbeille réseau : la réinitialisation les détruit. Une fois les données mises à l'abri, oui, on remet le NAS à neuf avec un micrologiciel à jour avant d'y remettre quoi que ce soit.

Le cloud protège-t-il d'un rançongiciel ?

Seulement s'il conserve un historique de versions. Une simple synchronisation propage le chiffrement en quelques minutes : c'est l'historique, et la copie déconnectée, qui sauvent.

Comment savoir si l'attaque est venue d'un ordinateur ou du NAS lui-même ?

Les journaux de connexion du NAS le disent : une connexion administrateur depuis une adresse inconnue indique une attaque directe, tandis qu'un chiffrement limité aux dossiers accessibles en écriture depuis un poste désigne cet ordinateur.

Comment sauvegarder un NAS sur un disque dur externe USB ?

Par l'utilitaire du constructeur — Hyper Backup chez Synology, Hybrid Backup Sync chez QNAP — vers un disque branché sur le port USB du NAS. Puis débranchez le disque entre deux sauvegardes : c'est la contrainte qui fait toute l'efficacité.

Le RAID protège-t-il d'un rançongiciel ?

Non, pas du tout. Le RAID protège d'une panne de disque. Un chiffrement est une écriture légitime du point de vue du système : elle est donc fidèlement répliquée sur tous les disques de la grappe.

Faut-il reformater le NAS ?

Oui, en supprimant et recréant le volume plutôt qu'en effaçant des fichiers : ça emporte aussi les tâches planifiées et les partages piégés. Sortez ce qui est récupérable avant, et réinstallez le système du NAS à jour.

À lire aussi : le guide rançongiciel · faut-il payer la rançon · disque dur externe non reconnu.