Vous avez des sauvegardes. Bravo. Maintenant voici la mauvaise nouvelle : les groupes ransomware le savent, et ils ont passé les 18 derniers mois à concevoir précisément des techniques pour les rendre inutiles. En 2026, avoir des sauvegardes ne suffit plus — il faut comprendre exactement comment elles sont attaquées pour construire une défense qui tienne.

La fin de la stratégie "sauvegarde = filet de sécurité"

Pendant des années, la réponse standard à la menace ransomware était simple : appliquez la règle 3-2-1, gardez des sauvegardes hors ligne, vous pourrez restaurer sans payer. C'était vrai. Ça l'est beaucoup moins aujourd'hui.

Les chiffres parlent d'eux-mêmes. Selon le rapport BlackFog State of Ransomware 2026, 73 % des organisations qui ont subi une attaque ransomware cette année avaient des sauvegardes. Parmi elles, 58 % n'ont pas pu restaurer depuis ces sauvegardes — soit parce qu'elles avaient été chiffrées ou détruites, soit parce que le temps de restauration était trop long, soit parce que les données récupérées étaient incomplètes. Ces chiffres représentent un changement fondamental dans le rapport de force entre attaquants et défenseurs.

La raison est simple : les opérateurs ransomware ont industrialisé la destruction des sauvegardes. Ce n'est plus un bonus opportuniste — c'est une phase obligatoire et méthodique de la kill chain moderne. Les groupes comme Gentlemen (plus de 800 victimes en 2026), RansomHub, et les successeurs de LockBit embarquent tous des modules dédiés à l'énumération et la destruction des sauvegardes avant le chiffrement final.

Ce changement de paradigme a des implications concrètes pour chaque RSSI, DSI et responsable IT. La question n'est plus "avons-nous des sauvegardes ?" mais "est-ce que nos sauvegardes résisteraient à un attaquant qui passe trois semaines à les identifier et les neutraliser avant de déclencher le chiffrement ?"

Anatomie d'une kill chain moderne : comment vos sauvegardes sont attaquées

Pour défendre efficacement, il faut comprendre précisément les techniques employées. J'identifie quatre grandes catégories d'attaque, par ordre de sophistication croissante.

1. Attaque directe sur les NAS et serveurs de sauvegarde

La technique la plus simple est malheureusement encore très efficace. Les NAS Synology, QNAP, et les serveurs de fichiers Windows avec partages SMB ouverts sont exposés directement à Internet ou accessibles depuis un poste compromis en réseau. La campagne C3RB3R d'octobre-novembre 2026 illustre parfaitement ce vecteur : exploitation de CVE-2026-13639 (CVSS 9.8) sur les NAS Synology accessibles depuis Internet, chiffrement complet des données et des sauvegardes stockées localement.

Plus de 800 000 interfaces DSM Synology étaient encore accessibles publiquement fin octobre 2026 selon les données Shodan. Ce chiffre est stupéfiant. Cela signifie que des centaines de milliers de sauvegardes "hors ligne" (sur NAS à domicile ou en PME) sont en réalité directement accessibles depuis Internet via les bonnes CVEs. La règle 3-2-1 a un prérequis fondamental qu'on oublie trop souvent : les copies doivent être inaccessibles depuis l'environnement compromis.

2. Suppression des snapshots et copies instantanées

La deuxième technique cible les snapshots intégrés aux hyperviseurs (VMware vSphere, Hyper-V), aux baies de stockage (NetApp, Pure Storage), et aux services cloud (AWS EBS snapshots, Azure Managed Disks). Les opérateurs ransomware modernes embarquent systématiquement des routines qui énumèrent et suppriment ces snapshots avant le chiffrement final.

Sur Windows, les commandes classiques sont : vssadmin delete shadows /all /quiet pour supprimer les Volume Shadow Copies, wbadmin delete backup pour effacer les sauvegardes Windows Backup, et bcdedit /set {default} recoveryenabled No pour désactiver la récupération automatique. Sur VMware vSphere, l'API vCenter permet de supprimer les snapshots de toutes les VMs accessibles depuis un compte compromis. Sur AWS, des clés IAM avec le droit ec2:DeleteSnapshot permettent de supprimer tous les snapshots EBS en quelques secondes. En 2026, ces étapes sont automatisées dans les loaders ransomware et prennent moins de 60 secondes à exécuter.

3. Compromission des solutions de backup managé

La troisième technique, plus sophistiquée, consiste à compromettre les solutions de backup elles-mêmes : Veeam, Commvault, Backup Exec, Acronis. Ces plateformes disposent d'agents sur tous les serveurs de l'infrastructure et de permissions très étendues. Un attaquant qui compromet le serveur Veeam Backup & Replication a potentiellement accès à tous les points de restauration de toute l'infrastructure.

CVE-2024-40711 dans Veeam B&R (patch septembre 2024) est un exemple tristement célèbre : une RCE sans authentification sur le port 8878 permettait à un attaquant d'exécuter du code sur le serveur de backup avec les droits SYSTEM. Des groupes comme Akira et RansomHub ont activement exploité cette CVE pour accéder aux sauvegardes avant le chiffrement. En 2026, le pattern persiste avec de nouvelles CVEs dans les mêmes produits — les serveurs Veeam sont devenus des cibles prioritaires dans les phases de reconnaissance pre-ransomware.

4. Double extorsion : rendre les sauvegardes sans valeur contre le chantage

La quatrième technique ne détruit pas les sauvegardes — elle les rend insuffisantes contre le levier de chantage. L'attaquant exfiltre les données pendant des semaines avant le chiffrement, puis menace de les publier même si la victime restaure depuis ses sauvegardes. La restauration technique est possible, mais l'exposition des données demeure.

En 2026, pratiquement tous les groupes ransomware majeurs pratiquent la double extorsion. Le temps moyen de séjour (dwell time) avant le chiffrement est estimé à 21 jours selon les données Mandiant Q3 2026 — trois semaines pendant lesquelles l'attaquant explore silencieusement le SI, identifie les données les plus sensibles, les exfiltre, compromet les backups, et prépare le chiffrement. Vos sauvegardes ne vous protègent pas contre l'exposition de vos données confidentielles.

Les erreurs les plus courantes que je vois en audit

Après des dizaines d'audits de résilience en 2025-2026, voici les patterns récurrents que je retrouve chez des organisations qui pensaient avoir des sauvegardes solides.

Erreur n°1 : le NAS de sauvegarde exposé à Internet. Prévalence : très élevée en PME. Je trouve régulièrement des NAS Synology ou QNAP avec les ports 5000/5001 ouverts directement sur Internet via redirection de port sur la box. Le propriétaire "accède à ses données de partout" — et l'attaquant aussi. Solution : accès exclusivement via VPN, jamais en exposition directe.

Erreur n°2 : les sauvegardes sur le même réseau que la production. Prévalence : très élevée en PME, courante en ETI. Le serveur Veeam est sur le même VLAN que les serveurs qu'il sauvegarde. Un ransomware qui se propage latéralement atteint inévitablement le serveur de backup. Solution : segmentation réseau dédiée pour les sauvegardes, avec règles de firewall n'autorisant que les flux de backup sortants depuis la production vers le serveur de backup.

Erreur n°3 : absence de sauvegarde immuable. Prévalence : quasi-universelle hors des grandes organisations. Les sauvegardes sont stockées sur des partages de fichiers classiques en lecture-écriture. Un ransomware avec les droits suffisants les chiffre sans difficulté. Solution : Object Lock sur S3/Azure Blob, Veeam Hardened Repository sur Linux (immutabilité WORM), ou bandes LTO en mode WORM.

Erreur n°4 : ne jamais tester la restauration. Prévalence : universelle. Les jobs de backup sont verts dans la console, mais personne n'a jamais restauré une machine complète en conditions réelles. Lors d'une attaque, découvrir que les sauvegardes sont corrompues ou que la restauration prend 72 heures transforme un incident gérable en catastrophe. Solution : exercices de restauration trimestriels avec RTO documenté et testé.

Ce qui résiste vraiment aux ransomwares modernes

Après avoir vu ce qui ne fonctionne plus, voici ce qui tient réellement en 2026. Non pas une liste exhaustive — mais ce que je recommande systématiquement en priorité dans mes missions.

L'immutabilité des données de sauvegarde est non négociable. Les sauvegardes doivent être stockées dans un format qu'un administrateur compromis ne peut pas modifier ou supprimer pendant une période de rétention minimale. AWS S3 Object Lock en mode Compliance, Azure Immutable Blob Storage, ou Veeam Hardened Repository (un Linux minimal avec uniquement le port SSH et le repository Veeam) sont les implémentations les plus robustes testées. Coût marginal : faible. Impact sur la résilience : majeur.

L'air-gap physique pour les données critiques. Pour les données vraiment critiques — données clients, propriété intellectuelle, backups système — une copie sur support physique déconnecté reste la seule garantie absolue contre le chiffrement réseau. Les bandes LTO en coffre-fort ou les disques rotatifs en armoire ignifugée hors site peuvent paraître archaïques. Ils fonctionnent. En 2026, plusieurs grandes entreprises ont maintenu leurs backups sur bandes précisément parce qu'aucun ransomware ne peut chiffrer une bande LTO dans un coffre physique.

La supervision dédiée des activités de backup. Monitorer les suppressions massives de fichiers dans les répertoires de backup, les accès inhabituels aux serveurs de sauvegarde (la nuit, le week-end, depuis des IP inhabituelles), et les tentatives de désactivation du service VSS. Ces patterns précèdent le chiffrement de plusieurs heures à plusieurs jours — une fenêtre de détection que peu d'organisations exploitent.

La séparation des identités de backup. Les comptes de service utilisés par Veeam, Commvault ou Acronis ne doivent pas être des comptes Active Directory standards. Ils doivent être des comptes dédiés, avec des droits strictement limités aux opérations de backup, sans accès interactif, dans une OU séparée avec des politiques de mot de passe différentes. Un attaquant qui compromet l'administrateur AD de production ne doit pas automatiquement accéder aux backups.

La réalité des délais de récupération : le vrai coût ignoré

Même en supposant des sauvegardes intactes, le délai de récupération reste un levier de pression massif pour les attaquants. Les chiffres réels que j'observe sont très loin des engagements contractuels théoriques.

Pour une infrastructure de taille moyenne — 200 serveurs, 50 To de données — une restauration complète depuis backups prend typiquement entre 5 et 15 jours ouvrés en conditions réelles. Pas 15 minutes comme certains commerciaux le suggèrent : 5 à 15 jours. Pendant ce temps, l'activité est partiellement ou totalement arrêtée. En 2026, le coût moyen d'une interruption de 10 jours pour une ETI française est estimé entre 800 000 et 2 millions d'euros (source : rapport CESIN 2026).

Face à ce délai, certaines organisations préfèrent payer la rançon — souvent 200 000 à 500 000 dollars — pour obtenir la clé de déchiffrement et récupérer leurs systèmes en 48-72 heures. C'est le calcul économique cynique que les groupes ransomware ont parfaitement modélisé. La seule réponse est d'investir dans une architecture de backup permettant une restauration réelle en moins de 24 heures pour les systèmes critiques — ce qui exige des tests réguliers, pas juste des jobs verts.

Mon avis d'expert

En 2026, avoir des sauvegardes sans les avoir testées et sans les avoir isolées de la production, c'est comme avoir une assurance incendie avec une clause d'exclusion pour les feux de forêt en Provence en été. Ça donne une fausse confiance qui se paye très cher quand on en a besoin. J'ai vu des organisations payer des rançons de plusieurs centaines de milliers d'euros alors qu'elles avaient des sauvegardes "complètes" — qui n'avaient jamais été testées, qui étaient sur le même réseau que la production, ou qui avaient été chiffrées 6 heures avant les serveurs. La maturité backup d'une organisation se mesure à la dernière restauration complète réussie en conditions réelles — pas au taux de succès des jobs dans la console Veeam.

Conclusion

Le ransomware de 2026 n'est pas celui de 2020. Les opérateurs ont intégré la destruction systématique des sauvegardes dans leurs processus opérationnels. Face à cette réalité, la stratégie défensive doit évoluer : immutabilité, air-gap physique, supervision dédiée, tests de restauration réguliers. Ce n'est pas un luxe réservé aux grandes entreprises — c'est le minimum pour toute organisation qui dépend de ses données pour fonctionner. Le coût de mise en œuvre de ces mesures est une fraction du coût d'une attaque réussie. La question n'est pas "peut-on se permettre une vraie stratégie backup ?" mais "peut-on se permettre de ne pas le faire ?"

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact