Beaucoup de petites entreprises rangent leurs dossiers sur un NAS à deux disques et considèrent la sauvegarde comme réglée. C'est une confusion fréquente : un NAS protège d'une panne de disque, pas d'une erreur, d'un rançongiciel ou d'un incendie. Voici ce qu'il couvre, pourquoi il est lui-même visé et comment en faire un vrai maillon de sauvegarde, checklist à l'appui.
01Un NAS, c'est d'abord un serveur de fichiers
Un NAS (Network Attached Storage, stockage en réseau) est un boîtier contenant plusieurs disques durs, branché sur le réseau de l'entreprise. Chaque poste y accède à des dossiers partagés, souvent sous la forme d'un lecteur réseau. Ses disques sont généralement montés en RAID, une technique qui répartit ou duplique les données sur plusieurs disques. D'où l'impression rassurante que tout est « en double ».
02Ce que le RAID protège, et ce qu'il ne protège pas
Le RAID sert à une chose : continuer à fonctionner quand un disque lâche. Grâce à lui, résume QNAP, « une panne de lecteur ne signifie pas perte de données » (page RAID de QNAP). Un RAID 1 ou un RAID 5 supporte la panne d'un disque, un RAID 6 celle de deux (centre de connaissances Synology). Mais en RAID 1, par exemple, les deux disques sont le miroir l'un de l'autre, erreurs comprises.
| Ce qui arrive | Le RAID vous protège-t-il ? |
|---|---|
| Un disque tombe en panne | Oui, dans la limite du type de RAID |
| Un dossier est supprimé par erreur | Non : la suppression est recopiée partout |
| Un rançongiciel chiffre les dossiers partagés | Non : le chiffrement aussi |
| Le NAS est volé | Non |
| Incendie ou inondation dans les locaux | Non |
Le rançongiciel, un logiciel malveillant qui chiffre vos fichiers pour exiger une rançon, n'a même pas besoin de viser le NAS. Dans un réseau d'entreprise, il « va chercher à se propager sur toutes les ressources accessibles », prévient la CNIL (avril 2021) : un seul poste infecté qui voit les dossiers partagés peut les chiffrer.
Même piège avec la synchronisation d'un dossier du NAS vers un service en ligne : elle reproduit les suppressions et les fichiers chiffrés, comme le rappelle notre article sur la règle du 3-2-1.
03Les NAS sont eux-mêmes des cibles
Cybermalveillance.gouv.fr cite les NAS parmi les systèmes exposés sur Internet dont la sécurisation insuffisante ouvre la porte aux rançongiciels (fiche réflexe, mise à jour le 7 mai 2026). Les fabricants le confirment :
- Août 2021. Synology signale des attaques par force brute (des mots de passe essayés en série) : une fois l'accès administrateur obtenu, les attaquants peuvent installer un rançongiciel, sans recours à une faille logicielle (communiqué du 4 août 2021).
- Janvier 2022. Le rançongiciel DeadBolt attaque des NAS QNAP à partir du 25 janvier, chiffre les fichiers et remplace la page de connexion par une demande de rançon. La faille exploitée avait été signalée le 13 janvier et déjà corrigée (avis de sécurité QSA-22-02, 2 février 2022).
- Octobre 2026. En enquêtant sur les failles de PHP signalées par le CERT-FR le 21 octobre (alerte CERTFR-2026-ALE-014), Synology repère des attaquants qui exploitent une faille corrigée en décembre 2024 pour chiffrer les NAS restés sur des versions de DSM, son système, qui ne sont plus maintenues (communiqué du 29 octobre 2026).
Si l'attaque a déjà eu lieu, suivez les premiers réflexes face à un rançongiciel.
04Ce qui fait d'un NAS un vrai maillon de sauvegarde
Un NAS peut participer à votre sauvegarde, à cinq conditions.
Des versions et des instantanés
Un instantané (snapshot) fige l'état d'un dossier partagé à un moment donné : si un rançongiciel frappe à 10 h, vous revenez à celui de la nuit. Sans instantané valide, prévient QNAP, il est en général impossible de récupérer des fichiers chiffrés (FAQ QNAP, juillet 2025). Les logiciels de sauvegarde des fabricants conservent aussi plusieurs versions successives : Hyper Backup chez Synology, Hybrid Backup Sync chez QNAP.
Attention
Un instantané ordinaire est stocké sur les disques du NAS. Il disparaît avec lui en cas de vol ou d'incendie, et un attaquant devenu administrateur peut l'effacer. Depuis DSM 7.2, Synology propose sur ses modèles compatibles des instantanés « immuables » (principe WORM : écrire une fois, lire plusieurs fois), impossibles à modifier ou à supprimer pendant leur période de protection, de 7 à 14 jours conseillés (centre de connaissances Synology, septembre 2026).
Une copie hors du NAS et hors des locaux
Il faut donc une copie sur un autre support : disque externe, second NAS ou stockage en ligne. Cybermalveillance.gouv.fr demande de déconnecter le support de sauvegarde « lorsque vous ne l'utilisez plus » et d'en garder une « dans un lieu différent de celui où sont stockées les données originales » (fiche « Sauvegardes », mise à jour le 14 septembre 2026). Par exemple, deux disques externes utilisés en alternance et emportés après la copie, ou un espace en ligne immuable.
Des comptes séparés, pas de lecteur réseau ouvert
Si la destination de sauvegarde apparaît comme un lecteur réseau sur les postes, un rançongiciel la chiffrera comme le reste. L'ANSSI recommande que le stockage des sauvegardes ne soit accessible que depuis le serveur de sauvegarde, avec des comptes d'administration dédiés et une authentification indépendante de celle du réseau de l'entreprise (guide « Sauvegarde des systèmes d'information », version 1.1, novembre 2025, recommandations R5, R7 et R14). Dans une TPE :
- la tâche de sauvegarde tourne sur le NAS, avec un compte qui ne sert qu'à cela ;
- aucun poste ne voit la destination de sauvegarde ;
- les identifiants de cette destination diffèrent de ceux du NAS, avec la double authentification si elle est proposée.
Des mises à jour, et pas d'accès direct depuis Internet
L'ANSSI demande de mettre à jour tous les composants de la sauvegarde, micrologiciels compris (recommandation R20). Pour les accès à distance, Cybermalveillance.gouv.fr conseille un VPN (réseau privé virtuel) et la double authentification. En attendant ses correctifs contre les failles de PHP, QNAP jugeait que la meilleure protection était de garder l'appareil hors d'Internet ; ses correctifs ont été publiés depuis (avis QSA-26-18, mis à jour le 28 octobre 2026).
Une restauration déjà réussie
L'ANSSI demande des tests de restauration réguliers et une procédure écrite (recommandation R22). Les vérifications d'intégrité des logiciels ne remplacent pas un essai : restaurez un dossier ailleurs, ouvrez quelques fichiers, notez le temps nécessaire.
À retenir
Un NAS devient un maillon de sauvegarde quand il garde des versions protégées, envoie une copie hors de ses murs et hors de portée des postes, reste à jour et a déjà réussi une restauration.
05Checklist : votre NAS est-il une sauvegarde ?
Chaque « non » est une faille à combler.
- Vos fichiers existent-ils aussi sur un support qui n'est pas branché en permanence ?
- Une copie est-elle conservée hors de vos locaux ?
- Pouvez-vous retrouver un fichier tel qu'il était la semaine dernière ?
- Instantanés et copie externe sont-ils protégés contre la suppression ?
- La destination de sauvegarde est-elle invisible depuis les postes ?
- Le compte de sauvegarde est-il distinct des comptes du quotidien ?
- Le système du NAS est-il maintenu par le fabricant, à jour et fermé à Internet ?
- Avez-vous réussi une restauration ces derniers mois ?
Enfin, la messagerie et les fichiers en ligne ne passent pas par le NAS : sauvegardez-les à part, quelle que soit votre suite (Microsoft 365 ou Google Workspace).
En résumé
- Le RAID protège d'une panne de disque, pas d'une suppression, d'un rançongiciel, d'un vol ou d'un incendie.
- Les NAS sont eux-mêmes visés : mises à jour, mots de passe robustes, pas d'accès direct depuis Internet.
- Les instantanés permettent de revenir en arrière, mieux encore s'ils sont immuables.
- Une copie doit quitter le NAS et les locaux, hors de portée des postes.
- Seule une restauration réussie prouve que la sauvegarde fonctionne.
Pour vérifier que votre NAS s'inscrit dans une vraie stratégie de sauvegarde, découvrez nos solutions de cloud et sauvegarde. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.