Liste de contrôle anti-ransomware 2026 pour les NAS (pour les environnements informatiques domestiques, SOHO et d’entreprise)

Les points essentiels

Les trois mesures les plus importantes pour protéger un NAS contre les ransomware sont les suivantes : ne jamais exposer le NAS directement à Internet, installer les correctifs de sécurité dès leur publication et conserver au moins un backup inaccessible aux ransomware (hors ligne ou immuable). La mise en œuvre de ces trois mesures peut réduire considérablement les dommages potentiels causés par une attaque de ransomware sur un NAS.

Cette liste de contrôle comprend 6 catégories clés et 27 points à vérifier. Elle est conçue pour les environnements NAS domestiques, SOHO et des petites et moyennes entreprises. Aucune connaissance préalable en cybersécurité n’est nécessaire pour effectuer ces vérifications.

Point à vérifier	Détails
Public cible	Les utilisateurs de NAS à domicile, les utilisateurs SOHO et les administrateurs informatiques des PME
Systèmes concernés	Les exemples reposent sur les systèmes QNAP QTS / QuTS hero, mais les principes de sécurité s’appliquent aux appareils NAS de toutes les marques.
Dernière mise à jour	Novembre 2026

Pourquoi les appareils NAS sont-ils vulnérables aux attaques de ransomware en 2026 ?

Les appareils NAS sont particulièrement vulnérables aux attaques de ransomware, car ils stockent des données précieuses dans un emplacement centralisé et restent connectés à Internet 24 heures sur 24, 7 jours sur 7. Les photos, les documents et les données professionnelles des particuliers et des entreprises sont souvent stockés sur des appareils NAS. De nombreux utilisateurs configurent également un accès à distance pour pouvoir se connecter à leur NAS depuis l’extérieur de leur domicile ou de leur bureau. Pour illustrer la situation : c’est comme placer tous vos objets de valeur dans un seul coffre-fort, puis laisser ce coffre juste devant votre porte d’entrée. Un attaquant ajoute un autre verrou au coffre et exige une rançon pour le déverrouiller. Plus les données sont précieuses, plus les victimes sont disposées à payer, ce qui fait des appareils NAS des cibles de grande valeur pour les cybercriminels.

• Aucune marque de NAS n’est à l’abri ; les méthodes d’attaque sont universelles. Les grandes campagnes de ransomware passées ont ciblé des appareils NAS directement exposés à Internet. Les attaquants peuvent compromettre les systèmes non seulement par des vulnérabilités du système d’exploitation, mais aussi en exploitant des failles de sécurité dans des applications telles que les logiciels de backup et de gestion des photos. Certaines vulnérabilités sont exploitées avant la publication des correctifs, tandis que d’autres appareils restent sans correctif longtemps après, ce qui les expose à des attaques continues.
• Les backup sont eux aussi des cibles. Si un ransomware peut écrire dans un dossier partagé, il peut également chiffrer les backup stockés sur le même NAS ou dans tout emplacement de stockage auquel le NAS dispose d’un accès en écriture. Une fois les privilèges d’administration compromis, même les snapshot peuvent être supprimés.
• Une fois les fichiers chiffrés, les outils de déchiffrement gratuits sont rarement disponibles. Les variantes récentes de ransomware utilisent une clé de chiffrement unique pour chaque fichier. La récupération des données n’est possible qu’à partir de snapshot ou de backup qui restent inaccessibles aux attaquants.

Les vulnérabilités de sécurité les plus courantes tiennent moins à des technologies sophistiquées qu’à des erreurs de configuration courantes : la redirection de ports activée sur le routeur, les mises à jour du firmware ou des logiciels négligées, les comptes administrateur par défaut laissés actifs et les backup stockés sur le même appareil que les données sources. C’est pourquoi ces trois mesures doivent être mises en œuvre conjointement : ne pas exposer le NAS à l’Internet public, appliquer rapidement les correctifs et conserver des backup hors site.

Liste de contrôle 2026 pour la protection des NAS contre les ransomware (6 catégories clés, 27 points)

Les points de la liste de contrôle sont classés par ordre de priorité. Les pratiques présentées ici correspondent aux mesures de sécurité standard du secteur, applicables à toute marque de NAS. Les fonctionnalités correspondantes des NAS QNAP sont indiquées entre parenthèses pour servir de référence pratique aux utilisateurs de QNAP lors de la configuration de leurs appareils.

A. Exposition du réseau : empêcher l’accès externe direct au NAS

1. Connectez le NAS derrière un routeur plutôt que directement à un modem, et ne lui attribuez pas d’adresse IP publique.

2. Désactivez l’UPnP, la DMZ et la redirection de ports sur le routeur. Si l’ouverture de ports est nécessaire aux activités de l’entreprise, veillez au minimum à ne pas rediriger les ports de gestion ou de transfert de fichiers du NAS (tels que HTTP 80/8080, HTTPS 443, SMB 445, FTP 20/21 et les plages de ports passifs). Désactivez également la gestion à distance sur l’interface WAN du routeur et vérifiez que le firewall IPv6 bloque les connexions entrantes provenant de réseaux externes, afin d’éviter toute exposition directe des services internes à Internet.

3. Effectuez un contrôle de sécurité pour vérifier que le NAS n’est pas exposé à Internet (Security Center → Contrôle de sécurité).

4. Pour l’accès à distance, utilisez un VPN ou une méthode de connexion ne nécessitant pas l’ouverture de ports (QVPN Service, myQNAPcloud Link).

5. Désactivez les services inutiles et supprimez ceux qui ne sont plus utilisés (tels que Telnet, SSH et Serveur Web). Chaque service supplémentaire accessible depuis l’extérieur élargit la surface d’attaque potentielle.

B. Mises à jour : réduire le délai entre la publication et l’installation des correctifs

6. Activez les mises à jour automatiques du système d’exploitation (Panneau de configuration → Mise à jour du firmware).

7. Activez les mises à jour automatiques des applications. Désinstallez les applications qui ne sont plus utilisées plutôt que de simplement les désactiver (App Center).

8. Abonnez-vous aux avis de sécurité du fournisseur et installez les mises à jour dès l’annonce de vulnérabilités à haut risque (Avis de sécurité QNAP). Les vulnérabilités dont l’exploitation active est confirmée doivent être corrigées dans un délai maximal de deux semaines, conformément aux exigences imposées aux agences fédérales par l’agence américaine de cybersécurité et de sécurité des infrastructures (CISA).

Remarque : l’activation des mises à jour automatiques (point 6) devrait permettre d’effectuer la plupart des mises à jour dans ce délai.

9. Vérifiez si le modèle de NAS a atteint sa fin de vie (EOL). Les modèles en fin de vie ne reçoivent plus de correctifs de sécurité et doivent être déconnectés d’Internet, leur utilisation étant limitée au réseau interne. Les équipes chargées de l’exploitation informatique de l’entreprise doivent être responsables de la gestion de ces appareils et de la planification de leur remplacement (État du support des produits).

C. Les comptes et les autorisations : empêchez les accès non autorisés même si les mots de passe sont compromis

10. Désactivez le compte « admin » par défaut et créez un compte administrateur distinct. (Le compte admin par défaut est désactivé par défaut dans QNAP QTS 5.2.0 / QuTS hero h5.2.0 et les versions ultérieures.)

11. Activez l’authentification à deux facteurs (authentification multifacteur, MFA) ou la connexion sans mot de passe pour tous les comptes. Cette mesure doit s’appliquer aux comptes utilisateurs ordinaires comme aux comptes administrateurs.

12. Activez la protection d’accès pour bloquer automatiquement les adresses IP ou désactiver les comptes après plusieurs tentatives de connexion infructueuses.

13. Utilisez un compte standard, sans droits d’administrateur, pour accéder aux fichiers.

• Pour un usage personnel : créez un compte utilisateur standard et utilisez-le chaque fois que vous accédez au NAS depuis un ordinateur ou un appareil mobile. Utilisez le compte administrateur uniquement pour modifier les paramètres du NAS.
• Pour les entreprises : créez un compte distinct pour chaque employé et accordez-lui un accès en écriture uniquement aux dossiers nécessaires à ses fonctions.

Si un ordinateur est infecté, un ransomware peut chiffrer les fichiers du NAS à l’aide des identifiants du compte utilisé pour s’y connecter. L’étendue des dommages dépend entièrement des autorisations d’écriture accordées à ce compte. Si un compte administrateur est utilisé pour se connecter au NAS, tous les dossiers de l’appareil peuvent être chiffrés et même les snapshot peuvent être supprimés. (Si le NAS lui-même est compromis, toutes les données sont menacées.)

14. Supprimez régulièrement les comptes des anciens employés et ceux qui ne sont plus utilisés.

D. Les backup : conservez une copie inaccessible aux ransomware

Commencez par ces trois étapes : la configuration minimale pour les particuliers

Si la mise en œuvre de la stratégie complète de backup 3-2-1-1-0 vous semble complexe, commencez par les trois étapes suivantes. Elles contribuent à garantir que vos données restent récupérables, même si elles sont chiffrées par un ransomware.

1. Sur le NAS : créez automatiquement des snapshot chaque jour. Les fichiers supprimés par erreur ou chiffrés peuvent être restaurés en quelques minutes. Les snapshot enregistrent uniquement les modifications ; leur création quotidienne ne consomme donc généralement pas beaucoup d’espace de stockage supplémentaire. Activez les paramètres de gestion automatique des anciens snapshot, comme la gestion intelligente des versions et la gestion intelligente de l’espace de snapshot, pour éviter de manquer d’espace de stockage. Pensez également à configurer au moins un snapshot sur « Conserver ce snapshot de manière permanente » afin d’éviter sa suppression automatique.
2. En dehors du NAS : conservez un backup supplémentaire. Stockez une copie sur un disque dur externe USB habituellement déconnecté, ou dans le cloud (par exemple, myQNAPcloud One). L’essentiel est de veiller à ce que ce backup ne puisse pas être chiffré en même temps que le NAS.
3. Plusieurs fois par an : effectuez un véritable test de restauration. Restaurez une photo à partir de votre backup et vérifiez qu’elle s’ouvre correctement.

Ces trois étapes couvrent deux aspects particulièrement importants de la stratégie de backup 3-2-1-1-0 : conserver un backup séparément du NAS et vérifier régulièrement que le backup peut effectivement être restauré.

Si vous utilisez un NAS à des fins professionnelles ou souhaitez mettre en place une stratégie de backup plus complète, consultez la liste de contrôle complète ci-dessous :

15. Adoptez la règle de backup 3-2-1-1-0 : conservez 3 copies des données, utilisez 2 supports de stockage différents, gardez 1 copie hors site, conservez 1 copie hors ligne ou immuable et assurez-vous qu’il n’y a aucune erreur lors de la restauration.

16. Stockez au moins un backup sur un appareil distinct ou dans le cloud et conservez plusieurs versions. Si seule la dernière version est conservée, elle risque d’être écrasée par des fichiers chiffrés (Hybrid Backup Sync 3).

17. Gardez au moins un backup déconnecté du réseau en temps normal et ne le connectez que pour effectuer les backups (Airgap+).

18. Rendez au moins un backup immuable. Il ne peut être ni modifié ni supprimé par les opérations habituelles pendant sa période de rétention. Même si les identifiants d’administration sont compromis, le backup reste intact (dossiers WORM dans QuTS hero, myQNAPcloud One).

19. Effectuez régulièrement des restaurations réelles à partir des backups pour vérifier que les fichiers peuvent être ouverts correctement. Les backups sont inutiles si les données critiques ne peuvent pas être récupérées au moment voulu.

• Pour un usage personnel : plusieurs fois par an, restaurez une photo ou un document à partir d’un backup et vérifiez que le fichier s’ouvre correctement.
• Pour les entreprises : automatisez les tests de restauration. Par exemple, HDP for Business effectue automatiquement des tests de restauration et de démarrage après chaque tâche de backup et conserve les résultats des tests.

E. Les snapshot : le moyen le plus rapide de récupérer les données après leur chiffrement

20. Planifiez des snapshot quotidiens ou hebdomadaires pour les données critiques (Stockage et snapshots → Gestionnaire de snapshot). QuTS hero permet de configurer les snapshot individuellement pour chaque dossier partagé, tandis que QTS gère les snapshot au niveau des volumes. Il est recommandé de stocker les données critiques sur des volumes pour lesquels les snapshot sont activés.

21. Définissez une période de rétention pour les snapshot et activez la protection contre la suppression. Les snapshot ne peuvent être ni modifiés ni supprimés par les opérations habituelles pendant la période de rétention. Même si les privilèges d’administration sont compromis, les snapshot restent intacts (Smart Versioning, Immutable Snapshots).

22. Répliquez les snapshot vers un autre NAS (Snapshot Replica ; QuTS hero prend également en charge SnapSync).

23. Activez la gestion intelligente de l’espace de snapshot pour éviter que la création des snapshot ne s’arrête faute d’espace de stockage.

F. La surveillance : détecter les activités suspectes avant que toutes les données ne soient chiffrées

24. Planifiez des analyses au moins une fois par mois et activez la « surveillance des activités anormales sur les fichiers » (Security Center).

25. Activez la protection de base du firewall et configurez votre région (protection de base de QuFirewall).

26. Planifiez une analyse des logiciels malveillants une fois par jour (Malware Remover).

27. Configurez des notifications automatiques par e-mail pour les événements « Avertissement » et « Erreur » (Centre de notifications).

Que faire si votre NAS est infecté par un ransomware ? 6 mesures immédiates

Si les extensions de fichiers changent soudainement pour des formats inconnus, les fichiers peuvent avoir été infectés par un ransomware. La plupart des ransomware utilisent des méthodes de chiffrement inviolables, ce qui signifie que les fichiers ne peuvent pas être ouverts sans la clé de déchiffrement appropriée. Dans la plupart des cas, le seul moyen de récupérer vos données consiste à utiliser des backup ou des snapshot. Suivez les étapes ci-dessous dans l’ordre indiqué :

1. Déconnectez le NAS d’Internet. Débranchez immédiatement le câble Ethernet du NAS et déconnectez-le du Wi-Fi. Modifiez les paramètres du routeur, notamment la redirection de ports, pour empêcher que le NAS soit exposé à Internet et éviter de nouvelles attaques.
2. Suspendez les tâches de synchronisation et conservez les snapshot. Suspendez toutes les tâches de synchronisation des fichiers et configurez la conservation permanente des snapshot existants pour empêcher la suppression des backup.
3. Déterminez l’origine du chiffrement. Consultez les journaux d’accès au système du NAS et les historiques de connexion pour déterminer si l’activité de chiffrement provient d’un autre ordinateur ou si le NAS lui-même a été compromis et que les fichiers ont été chiffrés directement sur l’appareil.
4. Effectuez une analyse et les mises à jour avant de restaurer les données. Si le NAS lui-même est infecté, exécutez d’abord l’outil d’analyse de sécurité du fabricant (tel que Malware Remover) pour supprimer complètement les scripts malveillants. Mettez ensuite le firmware à jour vers la dernière version intégrant les correctifs de sécurité officiels avant de restaurer les fichiers à partir des backup ou des snapshot.
5. Si aucun backup n’est disponible, conservez les informations avant de tenter une récupération. Enregistrez les informations telles que la demande de rançon et les instructions de paiement avant d’essayer des outils de récupération des données.
6. Contactez l’équipe d’assistance technique du fournisseur ou un professionnel de la cybersécurité si vous ne savez pas comment procéder.

Foire aux questions (FAQ)

Mon NAS est-il sécurisé ? Comment le vérifier ?

Vérifiez d’abord si votre NAS est directement accessible depuis des réseaux externes. Exécutez le contrôle de sécurité fourni par le fabricant (pour QNAP, utilisez Security Checkup dans Security Center). Si un avertissement indique que votre NAS est directement accessible depuis Internet, cela signifie que l’appareil est exposé.

Comment savoir si mon NAS est infecté par un logiciel malveillant ?

Les signes suivants peuvent indiquer une infection par un logiciel malveillant : une utilisation anormalement élevée du CPU, l’impossibilité de mettre à jour les logiciels ou l’apparition d’applications inconnues dans l’interface de gestion des applications. Commencez par lancer une analyse avec la dernière version de l’outil de détection des logiciels malveillants (pour QNAP, utilisez Malware Remover). Si le problème persiste, contactez l’équipe d’assistance technique du fabricant.

Quelles sont les mesures minimales de protection des données pour un NAS à domicile ?

Commencez par ces trois étapes : ① Créez automatiquement des snapshots quotidiens sur le NAS. ② Conservez un backup supplémentaire en dehors du NAS, par exemple sur un disque dur externe USB habituellement déconnecté ou dans un service de stockage cloud tel que myQNAPcloud One. ③ Plusieurs fois par an, restaurez un fichier à partir de votre backup pour vérifier qu’il fonctionne. Pour plus de détails, consultez la section de cet article intitulée « Commencez par ces trois étapes : la configuration minimale pour les particuliers ».

Qu’est-ce qu’un backup immuable ?

Un backup immuable est un backup qui ne peut être ni modifié ni supprimé pendant une période de conservation définie. Le stockage WORM (Write Once, Read Many) est une mise en œuvre courante de ce principe. Même si un attaquant obtient des privilèges d’administrateur, les données ne peuvent être ni modifiées ni supprimées par les opérations habituelles pendant la période de conservation. Toutefois, une fois cette période expirée, les données peuvent être supprimées. Il est donc important de définir une période de conservation adaptée. Parmi les exemples proposés par QNAP figurent les dossiers WORM dans QuTS hero, qui utilise le système de fichiers ZFS, ainsi que myQNAPcloud One (WORM dans myQNAPcloud Storage et Object Lock dans myQNAPcloud Object).

Quelle est la différence entre les stratégies de backup 3-2-1 et 3-2-1-1-0 ?

La règle de backup 3-2-1 impose de conserver trois copies des données, de les stocker sur deux types de supports de stockage différents et de conserver une copie hors site. La règle 3-2-1-1-0 ajoute deux exigences : une copie hors ligne ou immuable et aucune erreur de restauration (avec des tests de restauration réguliers).

Le RAID suffit-il à se protéger contre les ransomware ?

Non. Le RAID protège uniquement contre les pannes de disque dur. Il ne protège pas contre la suppression ou la modification accidentelle des données, ni contre leur chiffrement. Le RAID ne remplace pas les backup.

La synchronisation des fichiers (sync) peut-elle être considérée comme un backup ?

Non. La synchronisation réplique directement les modifications des fichiers d’origine vers la destination. Si un fichier est chiffré ou supprimé, la même modification est également répercutée à la destination. Les backup, en revanche, conservent les versions précédentes des fichiers, ce qui permet de restaurer les données dans leur état antérieur aux modifications.

Les snapshot suffisent-ils, ou ai-je toujours besoin de backup ?

Les snapshot ne peuvent pas remplacer entièrement les backup. Les snapshot et les données d’origine sont stockés sur le même ensemble de disques durs. Ils peuvent également être supprimés si les privilèges d’administration sont compromis. En cas de destruction complète du matériel, de défaillance du pool de stockage ou de formatage du stockage sous-jacent, les snapshot seront eux aussi perdus. Une protection efficace exige une approche complémentaire : utiliser les snapshot comme première ligne de défense pour une restauration rapide, et les backup hors site, hors ligne ou immuables comme dernière ligne de défense.

Déconnecter complètement mon NAS d’Internet est-il l’option la plus sûre ?

Ce n’est pas recommandé. Déconnecter complètement le NAS d’Internet l’empêche de recevoir les mises à jour de sécurité et les notifications. L’essentiel est de restreindre les connexions entrantes provenant de réseaux externes. Si vous avez besoin d’un accès à distance, choisissez une méthode de connexion qui ne nécessite pas d’ouvrir des ports sur le routeur. Un VPN ou un service d’accès à distance fourni par le fabricant et reposant sur un relais vous permet d’accéder à distance au NAS sans l’exposer à Internet (QNAP propose QVPN Service et myQNAPcloud Link).

Si mon NAS n’est pas exposé à Internet, n’ai-je rien à craindre ?

Cela ne garantit pas une sécurité absolue. Si des appareils, tels que les ordinateurs à la maison ou au bureau, sont infectés, la menace peut se propager de ces terminaux au NAS. Les entreprises peuvent également envisager de mettre en place des mécanismes de détection des activités suspectes sur leurs réseaux internes (par exemple, la solution de sécurité du réseau interne ADRA NDR X de QNAP).

Que signifient les alertes répétées d’échec de connexion ?

Si les tentatives de connexion proviennent d’adresses IP externes, votre NAS est la cible d’attaques par force brute (des tentatives de connexion répétées utilisant de nombreuses combinaisons de mots de passe), ce qui signifie qu’il est exposé à Internet. Vérifiez immédiatement les paramètres de votre routeur. Si les tentatives proviennent d’adresses IP internes, vérifiez si les ordinateurs associés à ces adresses sont infectés par des logiciels malveillants.

Puis-je encore utiliser un ancien modèle de NAS ou un modèle dont le support a pris fin ?

Oui, mais il est recommandé de le déconnecter d’Internet, de limiter strictement son utilisation au réseau interne et de conserver des backups complets. Les modèles dont le support a pris fin ne reçoivent plus de correctifs de sécurité, ce qui laisse les vulnérabilités nouvellement découvertes sans correction.

À propos de cet article

Contexte de cette liste de contrôle

Aucun système n’est totalement exempt de risques. Une sécurité efficace repose sur l’application continue de correctifs et l’amélioration de l’architecture, associées à des environnements d’exploitation sécurisés et à de bonnes pratiques de configuration. Depuis 2019, les appareils NAS QNAP sont ciblés par des ransomware tels qu’eCh0raix. En 2021 et 2022, des vulnérabilités d’applications dans les produits QNAP ont également été exploitées par des ransomware, affectant certains utilisateurs. Nous avons tiré de précieux enseignements de ces incidents et apporté des améliorations substantielles à notre ingénierie de sécurité et à la conception de notre architecture. Ces initiatives comprennent l’imposition de mises à jour automatiques obligatoires des applications, l’activation par défaut des snapshots natifs et le déploiement de règles de firewall pour bloquer le trafic malveillant. De nombreux points de cette liste de contrôle s’appuient sur l’expérience acquise lors des investigations et des interventions menées à la suite de ces incidents.

QNAP a créé sa Product Security Incident Response Team (PSIRT) en 2017 et a été reconnu par MITRE comme CVE Numbering Authority (CNA) la même année. L’entreprise propose également un programme de récompenses pour le signalement de vulnérabilités depuis 2022. Pour les vulnérabilités à haut risque, QNAP donne aussi la priorité à la mise à jour des définitions de logiciels malveillants via Malware Remover afin de bloquer les attaques jusqu’à ce que la mise à jour du firmware soit terminée. Ces pratiques sont documentées publiquement dans le Centre de confiance QNAP.

Références

• Guide de sécurité des NAS QNAP
• Centre de confiance QNAP｜Sécurité, conformité et réponse aux incidents par la PSIRT
• Stockage immuable QNAP
• QNAP HDP for Business

 

Mention relative à l’IA : certaines images et certains textes de cet article ont été créés ou améliorés à l’aide de l’intelligence artificielle (IA), puis vérifiés par des rédacteurs humains.