Des sauvegardes qui survivent aux rançongiciels : 3-2-1-1-0, immuabilité et le test de restauration que personne ne fait

L'enquête Sophos State of Ransomware 2026, menée auprès de 2 158 organisations touchées dans l'année, indique que les attaquants ont réussi à chiffrer des données dans 56 % des attaques, contre 50 % l'année précédente, que 48 % des victimes aux données chiffrées ont payé, et que la facture moyenne de reprise a atteint 1,7 million USD. Le chiffre encourageant est que 66 % ont restauré depuis leurs sauvegardes, douze points de plus que l'an dernier. L'écart entre « nous avons des sauvegardes » et « nous avons restauré depuis elles » est le sujet de cet article : comment un rançongiciel atteint les sauvegardes, la règle 3-2-1-1-0 qui garde une copie hors de portée, et le test de restauration qui transforme une politique de sauvegarde en capacité de reprise.

Sophos State of Ransomware 2026 ; les chiffres sauvegardes et rançon se recouvrent, beaucoup de victimes ayant fait les deux.

Comment une intrusion atteint les sauvegardes

Chaque maillon de cette chaîne est un choix de conception. Le serveur de sauvegarde était dans le domaine que l'attaquant contrôle ; le compte de sauvegarde était un compte admin avec un mot de passe ; la copie cloud était supprimable avec les clés de production. Les groupes de rançongiciels documentent ces motifs parce qu'ils fonctionnent : les enquêtes du secteur rapportent depuis des années que les dépôts de sauvegarde sont visés dans la grande majorité des attaques et compromis dans la plupart de ces cas.

La règle : 3-2-1-1-0

Les deux mots qui comptent sont immuable et hors ligne. Immuable signifie un verrou de rétention que les identifiants de sauvegarde ne peuvent pas raccourcir : verrou d'objet en mode conformité, dépôt Linux durci avec drapeaux d'immuabilité, coffre d'éditeur avec une identité séparée. Hors ligne signifie aucun chemin réseau : bande, disque détaché, ou compte cloud sans relation de confiance avec la production. L'un des deux suffit pour le « 1 » de la règle ; les deux, c'est confortable.

Le sens des flèches est la conception : la production peut écrire dans le coffre et jamais supprimer ; le coffre peut restaurer vers la production ; rien en production ne détient un identifiant capable de toucher la rétention du coffre.

À quoi ressemble vraiment une reprise

La reprise a pris 60 heures, non parce que la restauration était lente, mais parce que les 30 premières heures ont servi à comprendre le périmètre et à reconstruire un système d'identité digne de confiance. C'est la forme normale : la restauration est le dernier tiers. Prévoyez une reconstruction propre d'Active Directory ou de votre fournisseur d'identité dans la reprise, et gardez sa propre sauvegarde dans le coffre.

Mesurer la capacité, pas la politique

Faites le test deux fois par an sur une copie des vraies données, chronométrez chaque phase, et corrigez ce que les jauges montrent : ici le RPO est manqué parce que la copie du coffre est nocturne (passer à des incréments de 4 heures pour la base principale), et la reconstruction de l'identité est le chemin critique (garder une image de contrôleur de domaine testée et hors ligne). Un test de sauvegarde qui vérifie seulement « la tâche a réussi » ne mesure rien.

En résumé

Le rançongiciel ne bat pas les sauvegardes ; il bat les sauvegardes qui partagent une identité, un réseau ou un droit de suppression avec la production. Gardez une copie que rien en production ne peut raccourcir ni supprimer, répétez toute la reprise, identité comprise, et gardez les chiffres du dernier test là où la direction peut les voir. Avec les niveaux de reprise d'activité et les mesures d'hygiène de l'ANSSI, c'est la différence entre une mauvaise semaine et une rançon.

Sources : Sophos, The State of Ransomware 2026 (enquête auprès de 2 158 organisations) ; ANSSI, guide sur les sauvegardes et les rançongiciels ; recommandations CISA et NCSC sur les sauvegardes hors ligne ; documentation des éditeurs sur le verrou d'objet et les dépôts durcis. Lus le 15 octobre 2026. La chronologie de reprise est un composite de missions, pas un client unique.