Chaque année, Pwn2Own rassemble la communauté d’expert en cybersécurité autour de la découverte de vulnérabilités critiques dans des appareils et logiciels du quotidien. Du 21 au 23 octobre dernier, l’édition irlandaise de Pwn2Own à Dublin a réuni des experts et hackers éthiques pour tester la sécurité de nombreux équipements : NAS, routeurs, caméras IP, imprimantes, smartphones… utilisés par les entreprises et les particuliers. Les principaux sponsors de cette édition étaient Meta, Synology et QNAP. Nous ne reviendrons pas sur l’ensemble des failles découvertes (elles sont nombreuses), mais nous allons nous concentrer sur celles touchant Synology et QNAP.

Qu’est-ce que le Pwn2Own ?

Pwn2Own est une compétition internationale de cybersécurité créée par la Zero Day Initiative (ZDI), un programme de recherche en sécurité géré par Trend Micro. Son objectif, c’est d’encourager les chercheurs en sécurité à identifier et exploiter des vulnérabilités dans des logiciels, systèmes d’exploitation ou matériels populaires. Les fabricants fournissent eux-mêmes les appareils à tester, afin de les soumettre à des attaques contrôlées et sécurisées. Les participants tentent de découvrir des failles “zero-day”, c’est-à-dire non documentées et non corrigées. À la clé, des récompenses financières plutôt conséquentes, proportionnelles à la gravité et à l’impact des failles découvertes. Pour cette édition, la cagnotte globale s’élevait à 2 millions de dollars.

Synology

Dès les premières heures, plusieurs produits Synology ont été compromis :

• BeeStation Plus : débordement de pile permettant un accès root — gain de 40 000 $
• DS925+ : exploitation de deux bugs combinés pour obtenir une exécution de code arbitraire — gain de 40 000 $
• DP320 : là encore, deux bugs exploités conjointement — gain de 50 000 $
• Caméra IP CC400W : faille déjà connue du fabricant (non corrigée et non documentée à ce jour) — gain de 30 000 $
• DS925+ (nouvelle attaque) : exploitation de deux bugs pour contourner l’authentification et exécuter du code en tant que root — gain de 40 000 $
• BeeStation Plus (hors scope) : vulnérabilité découverte mais non récompensée, car en dehors du périmètre de la compétition.

QNAP

Les appareils QNAP ont eux aussi été la cible de plusieurs exploits notables au cours de la compétition.

• Une équipe est parvenue à compromettre les QHora-322 et TS-453E grâce à la combinaison de huit vulnérabilités, incluant plusieurs injections — gain de 100 000 $.
• Une autre équipe a exploité sur le TS-453E un enchaînement d’injections multiples et un bug de chaîne de format, permettant une exécution de code — gain de 40 000 $.
• Une faille d’injection de code unique a ensuite permis à des chercheurs de prendre le contrôle du TS-453E — gain de 40 000 $.
• Enfin, une autre vulnérabilité, liée à un identifiant codé en dur combiné à une injection, a conduit à une nouvelle compromission du TS-453E — gain de 40 000 $.

Autres fabricants concernés

D’autres marques ont également vu leurs produits compromis :

• Canon et Lexmark (imprimantes)
• Philips Hue (lampes connectées)
• Sonos (enceintes connectées)
• Samsung (smartphones Galaxy)
• Ubiquiti (systèmes de surveillance AI Pro)

En synthèse

L’édition 2025 de Pwn2Own Dublin a une nouvelle fois démontré la richesse et la pertinence de ce type d’événement pour l’industrie. Il faut saluer les constructeurs qui acceptent d’exposer leurs produits à ce niveau de test (et donc de risque financier). Le fait que QNAP et Synology soient co-sponsors, aux côtés de Meta, illustre clairement leur engagement en faveur de la cybersécurité et leur volonté d’adopter une démarche proactive dans la protection de leurs utilisateurs.

Un dicton dit : « Il faut du temps pour bâtir la confiance, un instant pour la détruire ». Synology en fait aujourd’hui l’expérience. Le célèbre fabricant de NAS traverse une période compliquée, marquée par des choix stratégiques qui divisent sa communauté. Parviendra-t-il à regagner la confiance des utilisateurs ? Rien n’est moins sûr…

Des décisions qui fragilisent la fidélité des utilisateurs

Ces derniers mois, Synology a pris plusieurs décisions qui ont surpris et parfois frustré ses utilisateurs :

• Arrêt d’applications populaires : Video Station a été supprimée et le transcodage a été retiré de toutes les autres applications du fabricant ;
• Retrait de fonctionnalités clés : le transcodage matériel sur les derniers modèles de NAS a été vérouillé, limitant les performances pour le streaming de contenus haute définition… ou encore les données SMART pourtant précieuses pour nos disques ;
• Compatibilité restreinte des disques : une certification obligatoire pour les modèles DSx25 rend le choix des utilisateurs plus complexe.

N’oublions pas un choix particulièrement entêté : Synology a décidé de maintenir (jusqu’en 2025) sa stratégie consistant à ne proposer que des connexions réseau 1 Gb/s sur ses la grand majorité des NAS, malgré les critiques et l’évolution des besoins du marché.

Le constructeur est revenu sur certaines de ces restrictions (disques durs et réseau Multi-Gig), mais la confiance des utilisateurs a été profondément ébranlée. Ces décisions cumulées illustrent combien il est fragile de maintenir une relation de confiance dans un secteur où les choix techniques et stratégiques sont scrutés de près.

Une perte de parts de marché sur le segment particulier

Autrefois leader incontesté sur le marché des particuliers, Synology voit désormais sa position remise en cause. Les données de ventes sur des plateformes comme Amazon ou LDLC montrent clairement que la marque n’est plus systématiquement en tête. Ce segment, longtemps considéré comme sa vache à lait*, a été le moteur de sa notoriété et de ses millions d’unités vendues.

Des concurrents comme TerraMaster, le jeune UGREEN, ou encore QNAP et Asustor captent désormais l’attention des utilisateurs particuliers et des entreprises, profitant des hésitations de Synology pour proposer des alternatives performantes et souvent plus accessibles.

Les conséquences pour Synology et ses utilisateurs

Cette situation illustre un paradoxe : la popularité de Synology, construite sur des années de fiabilité et d’innovation, peut s’éroder rapidement dès lors que la marque prend des décisions impopulaires. Les utilisateurs (autrefois fidèles) se tournent désormais vers des alternatives offrant un meilleur rapport fonctionnalités/prix et une compatibilité plus ouverte.

Pour Synology, la leçon est claire : la confiance des utilisateurs ne se reconstruit pas en un jour. La marque doit réévaluer sa stratégie produit et son approche commerciale pour retrouver son leadership, sous peine de perdre durablement des parts de marché dans un secteur où la concurrence s’intensifie.

* Le terme « vache à lait » est une expression employée en marketing

Plusieurs d’entre vous nous ont récemment alerté au sujet d’un commentaire publié sous une vidéo YouTube. Celui-ci, signé par Synology Europe (en réalité plutôt Synology Allemagne), a suscité beaucoup de réactions puisqu’il évoque l’avenir de la compatibilité des disques durs tiers avec les NAS de la marque. Cependant, certains ont cru (à tort) que Synology faisait machine arrière. Ce n’est pas le cas…

Changement de politique initié par Synology

Comme nous l’avions déjà expliqué, Synology a inversé sa logique de compatibilité. Désormais, ce n’est plus uniquement l’entreprise qui teste et valide les disques (HDD et SSD) pour ses NAS. En effet, cela représente un énorme travail, aussi bien en temps qu’en coûts financiers. D’autant plus que les fabricants de disques modifient régulièrement leurs firmwares, ou changent certains composants matériels, sans toujours communiquer sur les impacts potentiels pour les NAS.

Pour réduire cette charge, le constructeur taïwanais a mis en place un cahier des charges très strict à destination des fabricants de disques. Ces derniers doivent désormais certifier eux-mêmes leurs produits afin de garantir leur compatibilité avec les nouveaux modèles, comme la gamme DSx25+. On peut raisonnablement supposer que d’autres engagements sont exigés et que Synology procèdera ensuite à certains contrôles complémentaires. Depuis le début, Synology nous a toujours affirmé être en discussion avec plusieurs fabricants, mais sans donner plus de détails.

Le commentaire de Synology

Sous la vidéo YouTube en question, on peut lire ce commentaire (en allemand) :

« Wir wissen, dass sich viele User mehr Flexibilität bei den HDDs wünschen. Derzeit führen wir Gespräche mit Herstellern, damit in Zukunft auch wieder Drittanbieter-Festplatten offiziell unterstützt werden. Das ist aber ein Prozess, der nicht von heute auf morgen abgeschlossen ist. »

Et voici une traduction faite avec DeepL :

« Nous savons que de nombreux utilisateurs souhaitent davantage de flexibilité en matière de disques durs. Nous sommes actuellement en pourparlers avec les fabricants afin que les disques durs tiers soient à nouveau officiellement pris en charge à l’avenir. Mais il s’agit d’un processus qui ne se fera pas du jour au lendemain. »

Ce commentaire confirme donc que Synology est bien toujours en discussion avec les constructeurs de disques pour rouvrir la compatibilité. Toutefois, rien n’indique un quelconque rétropédalage de la part Synology comme nous avons pu le lire…

La réponse de Synology France

Afin d’éviter toute interprétation hasardeuse, nous avons contacté directement Synology France. Ivan Lebowski (Sales Team Leader) nous a confirmé :

« La situation n’a pas vraiment changé. Nous sommes en discussion avec les fabricants de disques afin qu’ils puissent certifier leurs disques sur nos NAS. »

En clair, Synology confirme les discussions, mais ne s’avance pas davantage. Pas de calendrier, pas d’annonce officielle, seulement une confirmation que le processus est en cours.

Le Terramaster D1 SSD Plus est un boîtier externe pour SSD NVMe pensé pour les utilisateurs exigeants : vidéastes, photographes… ou simplement passionnés de haute performance. Compatible USB4 et Thunderbolt 4/5, il promet des débits supérieurs à la majorité des solutions grand public, tout en offrant une excellente dissipation thermique. Nous l’avons testé avec un Samsung 990 Pro sur un iMac 2024 Thunderbolt 4. Voici notre verdict…

Terrasmaster D1 SSD Plus

Design et qualité de fabrication

Le Terramaster D1 SSD Plus inspire immédiatement confiance. Sa construction en aluminium inspire confiance… on est loin des boîtiers en plastique que l’on voit habituellement. Il mesure 112,5 × 60 × 33 mm pour environ 246 g. Oui, il est relativement lourd pour ses dimensions, mais il reste portable !

Le design n’est pas qu’esthétique, car l’aluminium joue un rôle de dissipation thermique passive. Le boîtier reste frais (ainsi que le SSD), même lors de transferts prolongés. Aucun ventilateur n’est nécessaire, ce qui le rend totalement silencieux.

À l’intérieur de la boîte, on retrouve un câble USB-C, un étui de transport, un petit tournevis et une pâte thermique supplémentaire. Terramaster propose un ensemble complet et cohérent, dont le design ne laisse pas indifférent.

Compatibilité et fonctionnalités

Le D1 SSD Plus est conçu pour une large gamme d’usages :

• Interfaces prises en charge : USB4, Thunderbolt 5/4/3 et USB 3.x
• SSD compatibles : NVMe M.2 2280 PCIe 3.0/4.0 jusqu’à 8 To

Cette compatibilité élargie en fait une solution pérenne, capable de suivre l’évolution de vos machines, qu’il s’agisse d’un PC, d’un Mac ou même d’une console.

Performances

Pour ce test, nous avons installé un Samsung 990 Pro, l’un des SSD NVMe les plus rapides du marché. Nous avons connecté le D1 SSD Plus à un iMac 2024 équipé de ports USB 4 / Thunderbolt 4 (jusqu’à 40 Gbit/s).

Voici les résultats que nous avons obtenus avec le logiciel AJA System Test :

• Lecture : ~3161 Mo/s
• Écriture : ~3082 Mo/s

Ensuite, nous avons utilisé Disk Speed Test :

• Lecture : ~3142 Mo/s
• Écriture : ~3170 Mo/s

Ces vitesses réelles sont légèrement inférieures aux valeurs maximales possibles avec le boitier en Thunderbolt 5, mais elles restent largement suffisantes pour du montage vidéo 4K/8K en direct ou la manipulation de fichiers très volumineux.

Parfois, il m’arrive d’utiliser SwissTransfer à titre personnel, mais je n’en avais encore jamais parlé ici… à tort. En tant qu’adepte de l’auto-hébergement avec mon NAS, j’essaie habituellement de gérer mes besoins de partage de fichiers avec mes propres outils. Mais il faut reconnaître qu’il y a quelques limites dès qu’il s’agit d’envoyer ponctuellement de très gros volumes à des contacts externes : bande passante restreinte, accès au NAS limité ou disponibilité variable, etc. C’est précisément pour répondre à ces situations qu’Infomaniak propose ce service gratuit qui permet d’envoyer jusqu’à 50 Go en une seule fois, simplement et sans publicité…

Comment fonctionne SwissTransfer ?

SwissTransfer mise avant tout sur la simplicité d’utilisation de son service :

• jusqu’à 50 Go par envoi, sans inscription ni publicité ;
• partage par e-mail ou via un lien direct ;
• durée de validité modulable jusqu’à 30 jours, avec possibilité de personnaliser la date d’expiration ;
• nombre de téléchargements limité, jusqu’à 500 transferts par jour ;
• option de mot de passe pour sécuriser les fichiers.

L’expérience utilisateur est volontairement minimaliste : pas de compte à créer, pas de publicité, pas de fonctionnalités superflues. Franchement, c’est très appréciable

Confidentialité

Tous les fichiers sont stockés dans les centres de données d’Infomaniak, situés exclusivement en Suisse. À l’expiration définie par l’utilisateur, ils sont automatiquement supprimés. Contrairement à certains services extra-européens, les fichiers ne sont pas utilisés pour l’entraînement de modèles d’IA ni exploités à des fins publicitaires. L’exemple récent de WeTransfer, qui avait annoncé vouloir entraîner ses IA avec les fichiers déposés avant de faire machine arrière, illustre bien pourquoi la question de la confiance est centrale.

Points forts et limites

SwissTransfer présente plusieurs avantages : la possibilité d’envoyer gratuitement de très gros fichiers (jusqu’à 50 Go), l’absence de publicité, une interface simple et l’assurance que les données restent stockées en Suisse. En revanche, il faut garder en tête que le service se concentre uniquement sur le transfert. Il n’offre pas de stockage permanent ni d’outils collaboratifs. Pour l’archivage ou le travail en équipe, Infomaniak propose d’autres services payants

En synthèse

SwissTransfer s’est rapidement imposé comme une alternative à des services dominés par les géants américains. Simple, gratuit et transparent, le service permet de partager de gros fichiers en toute sécurité, sans conditions cachées.

Et vous, utilisez-vous un service pour envoyer de gros fichiers ? Si oui, lequel et pourquoi ?