Introduction : Un diagnostic qui tourne mal
Je m’étais lancé dans une simple vérification de la température des disques durs de mon NAS Synology DS1621xs+. J’avais entendu que chaque 10 °C supplémentaires augmentaient le risque de panne d’un disque d’environ 23 %. En ouvrant DSM, je pensais simplement contrôler les ventilateurs. Au lieu de cela, j’ai découvert un fléau invisible : plus de 40 heures d’essais de connexion répétitifs.
Les premiers signes d’intrusion
L’interface Log Center affichait une série de messages d’échec, chacun identique mais avec des IP différentes. Je n’avais jamais vu ce type de pattern auparavant. L’enquête a révélé que les tentatives se produisaient toutes les 10 à 40 secondes.
1. Le contexte technique du NAS et la sécurité par défaut
Mon laboratoire domestique était derrière un CGNAT, et j’utilisais Tailscale pour l’accès distant sécurisé. J’avais configuré les paramètres de base : désactivation des services inutiles, mise à jour DSM, et activation du pare‑feu intégré.
Malgré ces précautions, le NAS restait exposé aux attaques automatisées grâce à une configuration oubliée dans mon propre script d’automatisation. Le problème ne venait pas d’une faille connue de Synology mais d’un « backdoor » que j’avais laissé actif.
2. Analyse des logs : un pattern alarmant
Chaque entrée du Log Center ressemblait à : User [admin] from [IP] failed to sign in to [DSM] via [password]. Les noms d’utilisateurs alternatifs – marketing, muhasebe, melvin, charlene – étaient des essais de brute‑force. Aucun n’a jamais utilisé mon vrai nom d’utilisateur.
Le tableau des logs montre que la première tentative a eu lieu le 26 septembre à 20:38 h et s’est poursuivie jusqu’au 28 septembre à 3:17 h, avec un rythme régulier de 10‑40 secondes. Cette cadence indique un script automatisé plutôt qu’un humain.
3. Les conséquences potentielles d’une attaque réussie
Un credential stuffing réussi aurait permis l’accès non autorisé à toutes les données du NAS : photos, documents sensibles, sauvegardes de serveurs. En outre, le contrôle des ventilateurs pourrait être détourné pour provoquer une surchauffe, augmentant la probabilité de panne.
La perte d’intégrité des logs et la compromission de l’authentification sont des menaces majeures dans un environnement domestique où les sauvegardes ne sont pas toujours sécurisées hors site.
4. Mesures correctives immédiates
J’ai désactivé le script malveillant, supprimé les comptes inutilisés et activé l’authentification à deux facteurs (2FA) via Tailscale. J’ai aussi configuré un seuil de tentatives d’échec : après 5 essais consécutifs, l’adresse IP est bloquée pendant 30 minutes.
- Activer le pare‑feu DSM
- Mettre à jour le firmware Synology
- Utiliser des mots‑de‑passe complexes (12 caractères alphanumériques + symboles)
- Surveiller les logs quotidiennement
Mise en place d’un système de notification
J’ai configuré un webhook vers Slack pour recevoir une alerte chaque fois qu’une tentative échoue. Cela permet une réaction rapide avant que l’attaque ne s’intensifie.
5. Bonnes pratiques pour protéger votre NAS
1. Limiter les services exposés : désactivez SSH, Telnet ou FTP si non nécessaires.
2. Utiliser un VPN dédié plutôt que l’accès direct via Tailscale.
3. Mettre en place une politique de rotation des mots‑de‑passe (au moins tous les 90 jours).
4. Activer la surveillance du matériel : alertes temps réel sur température et vitesse des ventilateurs.
« La sécurité d’un NAS ne se limite pas aux pare‑feu, elle dépend aussi de la vigilance quotidienne des logs. » – Expert en cybersécurité Synology
Conclusion : Protégez votre NAS avant qu’il ne soit trop tard
Cette expérience a souligné que même un dispositif domestique peut devenir cible d’attaques automatisées. En appliquant les mesures ci‑dessus, vous réduisez drastiquement le risque de compromission et assurez la pérennité de vos données.
Ne laissez pas votre NAS être la prochaine victime d’une attaque de credential stuffing : mettez en place dès aujourd’hui ces bonnes pratiques et restez vigilant. Protégez vos données, sécurisez votre NAS.
