Dans 76 % des attaques par ransomware, les référentiels de sauvegarde sont compromis avec succès. [1] La sauvegarde des données traditionnelle a été conçue pour faire face aux pannes matérielles et aux erreurs humaines, pas à un adversaire qui cartographie et neutralise délibérément l’infrastructure de restauration avant de déclencher le chiffrement.
Points clés
- Les opérateurs de ransomware ciblent souvent l’infrastructure de sauvegarde avant même que la charge de chiffrement ne s’exécute sur les charges de travail de production. Le chemin de restauration est souvent détruit avant que l’organisation ne sache qu’elle a été compromise.
- La restauration à partir des sauvegardes recule pour la troisième année consécutive, à 54 % en 2025 : preuve que les architectures de sauvegarde traditionnelles cèdent systématiquement face à un adversaire déterminé. [2]
- Les protocoles et modèles d’accès qui rendent la sauvegarde traditionnelle facile à administrer, notamment les partages accessibles en écriture, les identifiants administrateur et les contrôles au niveau logiciel, sont précisément les mécanismes qu’exploitent les ransomwares pour atteindre et détruire les points de restauration.
La sauvegarde a été conçue pour un autre type de défaillance
Historiquement, les architectures de sauvegarde reposaient sur un postulat fondamental : la menace est de bonne foi. Le matériel tombe en panne. Des utilisateurs suppriment des fichiers par erreur. Des systèmes plantent sans prévenir. La sauvegarde a été pensée pour gérer tout cela, et elle l’a fait pendant des décennies.
Les tâches planifiées, les référentiels accessibles en écriture et l’accès administrateur centralisé ont rendu la sauvegarde pratique et simple à exploiter. Ces choix de conception étaient les bons compte tenu des menaces de l’époque où la sauvegarde d’entreprise s’est standardisée.
Le ransomware moderne évolue dans un tout autre contexte de menace. Les opérateurs de ransomware ciblent les référentiels de sauvegarde dans 96 % des attaques [1] : le chemin de restauration est donc la cible principale, et non un objectif secondaire.
Détruire les sauvegardes prive l’organisation de toute possibilité de restauration sans payer, ce qui constitue toute la logique économique du ransomware. La sauvegarde traditionnelle a été éprouvée face aux taux de défaillance des supports de stockage, aux interruptions réseau et aux écrasements accidentels.
La protection contre les ransomwares face à un adversaire disposant d’un accès de niveau administrateur et de plusieurs semaines de préparation n’entrait tout simplement pas dans le périmètre. Chaque contrôle intégré à cette architecture, des politiques d’accès à la segmentation réseau en passant par la planification des tâches, part du principe que les personnes qui les utilisent sont dignes de confiance.
Les attaquants n’exploitent pas de vulnérabilités obscures pour atteindre l’infrastructure de sauvegarde. Ils empruntent les mêmes chemins d’accès que les équipes IT ont créés pour elles-mêmes. L’architecture n’est pas défaillante. Elle est utilisée exactement comme prévu, mais par les mauvaises personnes.
Le ransomware détruit le chemin de restauration avant le début du chiffrement
La plupart des organisations pensent qu’une attaque par ransomware commence au moment du chiffrement. C’est faux. Lorsque la charge malveillante s’exécute et que la demande de rançon s’affiche, la phase la plus destructrice de l’attaque est souvent déjà terminée.
ActualitésSécurité en IoT : comment protéger vos projets électroniques contre les intrusionsLes groupes de ransomware modernes passent généralement du temps à l’intérieur du réseau dans le seul but de localiser et de neutraliser l’infrastructure de sauvegarde. Pendant cette « phase de latence », ils modifient silencieusement les configurations de sauvegarde, changent les politiques de rétention et suppriment les points de restauration, avant que les administrateurs ne puissent être alertés. [1] Pendant cette phase, l’attaque ne ressemble pas à une attaque. Elle ressemble à une activité d’administration normale.
79 % des responsables IT considèrent désormais l’accès des attaquants aux référentiels de sauvegarde comme leur principale préoccupation, avant même le chiffrement lui-même. [3] Les organisations ont changé de priorité, car l’expérience leur a montré où se situe le premier point de vulnérabilité : non pas au stade du chiffrement, mais pendant la phase de reconnaissance qui le précède.
Mesurer l’efficacité des sauvegardes au taux de réussite des tâches passe complètement à côté de l’attaque. Une sauvegarde qui se termine sans erreur n’est pas pour autant une sauvegarde capable de garantir une restauration saine. Le logiciel de sauvegarde indique que les tâches se sont bien déroulées. Les tableaux de bord sont au vert.
L’écart entre « la sauvegarde s’est exécutée » et « la sauvegarde fonctionnera » n’apparaît qu’en situation de restauration. Et un incident de ransomware est le pire moment possible pour le découvrir.
Les modèles d’accès qui font fonctionner la sauvegarde l’exposent aussi
Les protocoles SMB et NFS ont été conçus pour offrir un accès haute performance aux fichiers dans des environnements réseau de confiance. Les partages administratifs accessibles en écriture sont une nécessité de gestion. Les politiques d’immuabilité au niveau logiciel peuvent être configurées, modifiées ou désactivées par toute personne disposant des bons identifiants.
Ce sont des choix de conception délibérés qui rendent les environnements de sauvegarde faciles à exploiter. Dans un contexte hostile, ces mêmes choix exposent directement l’organisation à une attaque par ransomware fondée sur le vol d’identifiants.
Lorsque les opérateurs de ransomware obtiennent un accès administrateur par hameçonnage, par credential stuffing ou en exploitant des outils de gestion à distance, ils héritent d’un accès complet à l’environnement de sauvegarde. Ils peuvent modifier les paramètres de rétention, désactiver les tâches planifiées ou supprimer des points de restauration en empruntant les mêmes chemins qu’un administrateur de sauvegarde utilise au quotidien. Rien dans le modèle de sauvegarde traditionnel ne permet de distinguer une action d’administration légitime d’une action malveillante.
L’immuabilité au niveau logiciel présente la même exposition. Les processus ou utilisateurs disposant de droits d’administration sur le logiciel de sauvegarde peuvent être en mesure de modifier ou de supprimer un verrou de rétention : ce verrou protège donc contre les suppressions accidentelles, pas contre un attaquant muni d’identifiants valides.
Les chiffres de restauration le confirment directement. En 2025, seules 53 % des grandes entreprises ont réussi à restaurer leurs données à partir de leurs sauvegardes après une attaque par ransomware. [2] Autrement dit, près de la moitié ont constaté que leurs sauvegardes étaient insuffisantes lorsqu’un véritable incident les a mises à l’épreuve.
Le coût moyen de la reprise, hors paiement de rançon, s’est élevé à 1,53 million de dollars, incluant l’indisponibilité, la remédiation et la perturbation opérationnelle prolongée qui survient lorsque la restauration à partir des sauvegardes échoue. [2]
Pourquoi Object First est la meilleure défense contre les ransomwares
Si la défaillance est architecturale, la solution doit l’être aussi. Les contrôles logiciels, les politiques d’accès et les règles de rétention fonctionnent souvent au sein du même environnement que celui auquel un attaquant muni d’identifiants peut accéder. Combler cette faille exige une protection au niveau de la couche de stockage, en dessous du niveau où des identifiants peuvent la contourner.
ActualitésNéon personnalisé : comment créer une déco lumineuse unique ?Quand, et non pas si, un ransomware frappe, votre avenir dépend de votre cyber-résilience. Object First est votre défense ultime : un stockage de sauvegarde doté de l’Immuabilité Absolue, conçu spécifiquement pour Veeam.
Fondé sur le Zero Trust, testé et validé par des tiers, Object First ne requiert aucune expertise en sécurité et évolue au rythme de votre entreprise. Quand le stockage de sauvegarde est aussi sécurisé, simple et puissant, vous et votre organisation êtes tout simplement résilients.
David Bennett, PDG d’Object First, déclare : « Les organisations ne peuvent pas se permettre de perdre du temps lorsqu’un ransomware frappe : leur chiffre d’affaires, leur réputation et des emplois sont en jeu. La résilience ne se limite pas à protéger les données ; elle se mesure à la rapidité avec laquelle vous pouvez restaurer quand cela compte le plus. Object First offre aux utilisateurs de Veeam une solution simple d’utilisation et à l’épreuve des ransomwares pour restaurer plus rapidement et devenir tout simplement résilients. »
Références
[1] Veeam. « 2025 Ransomware Trends: From Risk to Resilience ». 2025. https://www.veeam.com/blog/ransomware-trends.html
[2] Sophos. « The State of Ransomware 2025 ». 2025. https://www.sophos.com/en-us/content/state-of-ransomware
[3] Object First. « Object First Survey: 89 Percent of IT Leaders Fear AI-Powered Cyberattacks Will Cost Them Their Data ». 2026. https://objectfirst.com/newsroom/press-releases/object-first-survey-89-percent-of-it-leaders-fear-ai-powered-cyberattacks-will-cost-them-their-data/
