Les groupes de rançongiciel ne se contentent plus de chiffrer les postes de travail. Leurs campagnes récentes ciblent en priorité les sauvegardes elles-mêmes, pour empêcher toute restauration et maximiser la pression au paiement.
Le rapport Veeam Ransomware Trends 2025 documente cette évolution : neutraliser les copies de secours est devenu un objectif tactique prioritaire dans la majorité des attaques. Face à ce constat, la question n’est plus de savoir s’il faut sauvegarder, mais comment structurer des sauvegardes capables de résister à une compromission active.
Sauvegardes ciblées par les ransomwares : un changement de tactique documenté
Pendant longtemps, les sauvegardes restaient un filet de sécurité passif. On les configurait, on les oubliait, et elles servaient principalement en cas de panne matérielle ou d’erreur humaine. Ce schéma ne correspond plus à la réalité des cyberattaques actuelles.
Les attaquants consacrent désormais du temps, parfois plusieurs semaines après l’intrusion initiale, à repérer et corrompre les systèmes de sauvegarde avant de déclencher le chiffrement. Le but est simple : une entreprise privée de ses copies de restauration n’a plus de levier de négociation. Elle paie, ou elle perd ses données.
Le rapport Sophos State of Ransomware 2026 apporte un éclairage complémentaire. La proportion de victimes payant une rançon est tombée à 48 %, tandis que la restauration par sauvegardes remonte après un creux observé en 2025. SecureWorld, qui analyse ces données en juillet 2026, établit un lien direct entre la maturité des pratiques de sauvegarde et la baisse structurelle des paiements de rançon.
Autrement dit, les organisations qui investissent dans des sauvegardes robustes réduisent la rentabilité des campagnes pour les attaquants. C’est un cercle vertueux encore fragile, mais mesurable.
Sauvegarde immuable : pourquoi la copie classique ne suffit plus
Une sauvegarde stockée sur un serveur accessible depuis le réseau de l’entreprise peut être chiffrée au même titre que n’importe quel autre fichier. C’est la faille exploitée systématiquement par les groupes de rançongiciel. La réponse technique qui s’impose progressivement est la sauvegarde immuable.
Le principe repose sur un verrouillage en écriture : une fois la copie créée, aucun utilisateur, aucun administrateur, aucun processus ne peut la modifier ou la supprimer pendant une durée définie. Plusieurs technologies permettent cette approche (object storage avec verrouillage WORM, snapshots verrouillés, bandes physiques déconnectées).
Ce que l’immuabilité change concrètement
Avec une sauvegarde classique, un attaquant disposant de privilèges administrateur peut supprimer ou chiffrer les copies en quelques minutes. Avec une sauvegarde immuable, même un compte compromis à haut niveau de privilèges ne peut pas altérer les données protégées.
- Les copies WORM (Write Once Read Many) sur stockage objet empêchent toute modification pendant la période de rétention configurée, y compris par l’administrateur du système de sauvegarde.
- Les snapshots verrouillés sur baies de stockage créent des points de restauration figés, consultables mais non modifiables, indépendamment des droits d’accès réseau.
- Les bandes magnétiques déconnectées (air gap physique) restent le moyen le plus radical d’isoler une copie, puisqu’aucun accès réseau n’existe vers le support une fois éjecté.
Cette approche ne rend pas les sauvegardes invulnérables. Un attaquant qui compromet le système avant la première copie immuable, ou qui corrompt les données sources sans que personne ne le détecte, peut contaminer les sauvegardes en amont. L’immuabilité protège l’intégrité de la copie, pas la qualité des données copiées.
Règle 3-2-1 et restauration : le test que la plupart des entreprises négligent
La règle 3-2-1 circule dans tous les guides de cybersécurité : trois copies des données, sur deux supports différents, dont une hors site. Elle reste un cadre utile, mais son application réelle pose problème.
Beaucoup d’entreprises cochent formellement les cases (copie locale, copie cloud, copie sur bande) sans jamais vérifier que la restauration fonctionne dans des conditions proches d’un incident réel. Tester une sauvegarde ne signifie pas vérifier qu’un fichier s’ouvre. Cela signifie simuler la perte complète d’un serveur ou d’une application métier, mesurer le temps de restauration, et confirmer que l’activité peut reprendre dans un délai acceptable.
Écart entre politique de sauvegarde et capacité de restauration
Les retours terrain divergent sur ce point. Certaines organisations disposent de politiques de sauvegarde documentées et auditées, mais découvrent lors d’un incident que les délais de restauration dépassent largement les engagements internes. Les causes sont variées :
- Les sauvegardes incrémentales s’accumulent sans consolidation, allongeant la chaîne de restauration à reconstituer.
- Les environnements de test ne reproduisent pas la complexité de l’infrastructure de production (dépendances entre serveurs, bases de données liées, configurations réseau).
- Les responsables informatiques n’ont pas le temps, ou le budget, de planifier des exercices de restauration réguliers.
Une sauvegarde qui existe mais qui ne permet pas de relancer l’activité dans un délai compatible avec la survie économique de l’entreprise n’a qu’une valeur théorique.
Impact des sauvegardes sur la négociation post-cyberattaque
Le lien entre sauvegardes fonctionnelles et baisse des paiements de rançon, documenté par Sophos et SecureWorld, mérite d’être examiné sous l’angle économique. Quand une entreprise peut restaurer ses systèmes de façon autonome, le rapport de force avec les attaquants change radicalement.
La restauration par sauvegardes est redevenue le premier levier de sortie de crise devant le paiement, selon les données du rapport Sophos 2026. Ce basculement n’est pas anecdotique. Il modifie la dynamique du marché du rançongiciel : si davantage de cibles peuvent se passer de payer, les campagnes deviennent moins rentables et les groupes d’attaquants doivent adapter leur modèle.
En revanche, les données disponibles ne permettent pas de conclure que cette tendance est irréversible. Les attaquants innovent aussi. Le double extorsion (chiffrement plus exfiltration de données avec menace de publication) contourne partiellement l’avantage procuré par une bonne politique de sauvegarde, puisque la restauration ne résout pas le problème de la fuite.
La sauvegarde régulière, immuable et testée reste le socle technique qui réduit le plus directement l’impact opérationnel d’un ransomware. Elle ne couvre pas l’ensemble du risque cyber. La protection des données en amont, le cloisonnement réseau et la détection d’intrusion complètent le dispositif. Mais sans copie fiable à restaurer, aucune de ces mesures ne permet de reprendre l’activité après un chiffrement massif.
