Si vous avez un disque dur externe My Book Live ou Live Duo de Western Digital, déconnectez-le d’Internet au plus vite sous peine de voir disparaitre toutes les données qu’il contient. C'est le conseil du fabricant qui indique avoir ouvert une enquête. Aucun correctif n’est pour le moment disponible.
Suite à plusieurs retours d’utilisateurs sur son forum, WD recommande à ceux disposant d’un My Book Live (2010) ou Live Duo avec deux emplacements (2012) de les déconnecter d’Internet dès que possible. Le risque est important puisqu’un « logiciel malveillant » peut conduire à une restauration des paramètres d’usine… avec une perte totale des données à la clé. Un scénario catastrophe, aucune intervention de l’utilisateur n’étant nécessaire.
Pas de mise à jour depuis 2015… malgré une faille en 2018
Inutile de vous ruer sur le site du fabricant pour vérifier que vous avez bien la dernière mise à jour pour le moment, car le dernier firmware en date remonte à… 2015. Cela fait donc six ans que WD n’a pas déployé le moindre correctif de sécurité, autant dire une éternité dans le monde de l’informatique.
Pourtant, une faille de sécurité critique – un score de 9,8 sur 10 – portant la référence CVE-2018-18472 a été signalée en 2018. Exploitable à distance, elle permet à n’importe quelle personne disposant de l’adresse IP du NAS « d'exécuter des commandes sur l'appareil en tant que root ». Elle n’a pas été corrigée jusqu’à maintenant.
« On pense qu'un acteur malveillant a effectué une recherche globale sur Internet pour trouver des appareils vulnérables, et a utilisé cette brèche pour lancer la commande de réinitialisation d'usine », explique Bleeping Computer qui a repéré la faille.
L’importance de faire des sauvegardes
De son côté, Western Digital se contente d’une déclaration bateau : « Nous enquêtons activement et nous fournirons des mises à jour au fur et à mesure qu’elles seront disponibles ». Dans tous les cas, il ne semble guère y avoir d’espoir de récupérer les données effacées. La question de la responsabilité de la marque devrait rapidement se poser.
C’est l’occasion de rappeler qu’il faut penser à régulièrement vérifier si son matériel est à jour et, suivant les cas, se poser la question des risques en cas de panne ou de faille : cela n’arrive pas qu’aux autres. Concernant les sauvegardes de vos données, la stratégie 3-2-1 permet de limiter les risques… avant qu’il ne soit trop tard !
