Mon NAS ou mon disque externe est chiffré : que faire

↑ Ce conseil fait partie du guide : Rançongiciel

Pourquoi la sauvegarde a été chiffrée aussi

La question revient toujours, et la réponse est mécanique : un rançongiciel chiffre tout ce que l'ordinateur peut écrire. Un disque externe branché en permanence, un NAS monté comme lecteur réseau, un dossier synchronisé : pour le système, ce sont des dossiers comme les autres.

Trois configurations très répandues sont concernées :

• Le disque USB laissé branché « parce que la sauvegarde se fait toute seule ».
• Le NAS monté en lecteur réseau avec des droits d'écriture depuis le poste infecté.
• Le cloud synchronisé : les fichiers chiffrés remplacent les originaux dans la foulée. Seul l'historique de versions sauve — nous y revenons.

C'est aussi pour cela que la règle de sauvegarde tient en un mot : déconnectée. Le reste est du confort.

Les gestes d'urgence

1. Isolez. Débranchez le câble réseau du NAS, ou coupez le Wi-Fi de la maison. Débranchez les disques externes encore connectés — mais ne débranchez pas un disque en cours d'écriture s'il est possible de couper le réseau à la place.
2. Éteignez les postes qui continuent de travailler anormalement, sans les formater.
3. Identifiez la source : le chiffrement vient d'un ordinateur, pas du NAS lui-même dans la plupart des cas. Cherchez la machine qui a les droits d'écriture et qui a été allumée au moment des faits.
4. Photographiez le message de rançon, l'extension ajoutée et quelques noms de fichiers : c'est ce qui permettra d'identifier la famille.
5. Ne supprimez rien. Conservez les fichiers chiffrés : des clés sont parfois publiées des mois plus tard.

La suite des premières heures, côté poste de travail, est détaillée dans rançongiciel : que faire dans les premières heures.

Le cas particulier du NAS exposé sur internet

Un NAS peut aussi être attaqué directement, sans passer par un ordinateur, lorsqu'il est accessible depuis internet. C'est arrivé à grande échelle à plusieurs reprises, sur des modèles grand public dont une faille n'avait pas été corrigée.

Les configurations à risque, à vérifier une fois la crise passée :

• La redirection de ports sur la box vers le NAS (souvent activée pour un accès distant pratique) ;
• L'UPnP laissé actif sur la box, qui ouvre des ports tout seul ;
• Le compte administrateur d'origine, conservé avec son nom et un mot de passe simple ;
• Le micrologiciel jamais mis à jour : c'est le point commun de la plupart des vagues connues.

Quand le NAS a été touché directement, le poste de travail est souvent sain : inutile de tout réinstaller à la maison, mais indispensable de refermer l'accès distant.

Ce qui reste récupérable

Soyons clairs : sans la clé des attaquants, il n'y a généralement rien à déchiffrer. Il ne s'agit donc pas de promettre un retour des fichiers, mais de tenter plusieurs voies, dans l'ordre :

1. Les instantanés du NAS et les versions antérieures (section suivante) : la voie la plus souvent gagnante.
2. L'historique de versions du cloud : la plupart des services conservent 30 jours de versions, y compris pour les fichiers écrasés.
3. Les copies oubliées : un disque débranché au moment des faits, un vieux téléphone, une clé USB, les pièces jointes de vos mails.
4. Les outils gratuits de déchiffrement de No More Ransom, quand la famille est connue et que ses clés ont été saisies.

Quand tout cela échoue, il reste la récupération sur le support lui-même, quand le rançongiciel a copié puis supprimé les originaux : il s'agit d'une tentative, jamais d'une garantie — et si rien n'est récupéré, elle n'est pas facturée. La question du paiement, elle, est traitée dans faut-il payer la rançon.

Les instantanés, la bonne surprise

La plupart des NAS grand public savent créer des instantanés (snapshots) : des photographies du système de fichiers, prises à intervalles réguliers, qui n'occupent presque pas de place et qui ne sont pas accessibles en écriture depuis le réseau.

Deux bonnes nouvelles : ils survivent souvent au chiffrement, et ils permettent de revenir à l'état de la veille en quelques minutes. Une mauvaise : ils sont désactivés par défaut sur beaucoup de modèles, et personne ne les active avant d'en avoir eu besoin.

À vérifier maintenant, avant toute autre manipulation : la fonction d'instantanés du NAS, la corbeille réseau, et les versions antérieures côté Windows. Sur un partage réseau, le clic droit sur un dossier propose parfois « Versions précédentes » : cela vient des instantanés du serveur.

Comprendre par où c'est entré

Remonter l'origine n'est pas un luxe : sans cela, la remise en état sera suivie d'une deuxième attaque quelques semaines plus tard. Trois sources d'information, gratuites et disponibles immédiatement :

• Les journaux du NAS : ils indiquent quel compte s'est connecté, depuis quelle adresse et à quelle heure. Une connexion administrateur à trois heures du matin depuis une adresse étrangère répond à la question.
• La date des fichiers chiffrés : elle donne l'heure de début, donc la machine allumée à ce moment-là.
• Le nom de l'extension ajoutée et le fichier de rançon : ils identifient la famille, ce qui permet de savoir si elle passe habituellement par un poste infecté ou par une faille d'accès distant.

Les deux portes d'entrée les plus fréquentes restent, de loin : un accès distant ouvert sur internet avec un mot de passe faible, et une pièce jointe ouverte sur un poste qui avait les droits d'écriture sur le partage. Selon la réponse, on refermera un port sur la box, ou on reconstruira un ordinateur : ce n'est pas le même chantier, et c'est pour cela qu'on cherche avant d'agir.

Remonter une installation propre

Une fois ce qui pouvait être sauvé mis de côté, la remise en état suit toujours la même logique :

1. Copier les données chiffrées sur un support à part, mis de côté et non réutilisé.
2. Reconstruire le poste compromis par une réinstallation complète : un nettoyage sur un système qui a servi de porte d'entrée n'est pas suffisant.
3. Remettre le NAS à neuf (micrologiciel à jour, comptes recréés, ports refermés) avant d'y remettre le moindre fichier.
4. Restaurer depuis les instantanés ou les copies saines, en vérifiant au passage que les fichiers s'ouvrent.
5. Changer les mots de passe du NAS, de la box et des comptes utilisés depuis le poste touché — depuis un autre appareil.

Ce chantier se chiffre au cas par cas : un rançongiciel se traite sur devis, et il faut généralement compter une demi-journée. Le déroulé est décrit sur la page rançongiciel.

Une sauvegarde qui résiste

Pour que la prochaine fois se passe autrement, quatre principes suffisent :

• Une copie déconnectée — un disque que l'on rebranche une fois par semaine, puis que l'on range. C'est le point décisif.
• Des instantanés activés sur le NAS, avec une rétention d'au moins deux semaines.
• Un compte de sauvegarde distinct, sans droit d'écriture depuis les postes de travail.
• Un test de restauration par an : une sauvegarde jamais testée n'est pas une sauvegarde.

Le détail de la méthode, y compris la règle 3-2-1 expliquée simplement, est dans comment sauvegarder ses données avant qu'il soit trop tard.

Le cas des professionnels

Pour une entreprise, même très petite, trois obligations s'ajoutent au travail technique :

• Le dépôt de plainte, qui conditionne souvent l'intervention de l'assurance ;
• La notification à la CNIL sous 72 heures si des données personnelles sont concernées — ce qui est presque toujours le cas dès qu'il y a un fichier clients ;
• L'information des personnes concernées lorsque le risque est élevé pour elles.

Le signalement via cybermalveillance.gouv.fr ou 17Cyber oriente vers les bons interlocuteurs. Et dans l'urgence, mieux vaut appeler avant de manipuler : le diagnostic au téléphone dure quinze minutes, ne coûte rien, et c'est souvent l'ordre des gestes qui fait la différence. Vous pouvez aussi décrire la situation en deux lignes.

Questions fréquentes

Mon disque externe était branché, tout est chiffré : c'est normal ?

Oui, malheureusement : un rançongiciel chiffre tout ce que l'ordinateur peut écrire, et un disque branché en permanence en fait partie. C'est la raison pour laquelle une sauvegarde doit être déconnectée entre deux utilisations.

Faut-il réinitialiser le NAS pour repartir ?

Pas avant d'avoir vérifié les instantanés et la corbeille réseau : la réinitialisation les détruit. Une fois les données mises à l'abri, oui, on remet le NAS à neuf avec un micrologiciel à jour avant d'y remettre quoi que ce soit.

Le cloud protège-t-il d'un rançongiciel ?

Seulement s'il conserve un historique de versions. Une simple synchronisation propage le chiffrement en quelques minutes : c'est l'historique, et la copie déconnectée, qui sauvent.

Comment savoir si l'attaque est venue d'un ordinateur ou du NAS lui-même ?

Les journaux de connexion du NAS le disent : une connexion administrateur depuis une adresse inconnue indique une attaque directe, tandis qu'un chiffrement limité aux dossiers accessibles en écriture depuis un poste désigne cet ordinateur.

À lire aussi : le guide rançongiciel · faut-il payer la rançon.