93 % des attaques ransomware en environnement manufacturing ciblent directement les sauvegardes (Sophos, 2024). Ce chiffre n'est pas un hasard statistique : un attaquant qui chiffre vos données de production sans toucher à vos backups vous laisse une porte de sortie gratuite. La quasi-totalité des groupes ransomware actuels intègrent donc une phase dédiée à la recherche et à la destruction des sauvegardes, avant même de déclencher
le chiffrement final.
Ce guide détaille les techniques utilisées pour compromettre les sauvegardes, les quatre piliers techniques qui rendent une architecture backup réellement résistante, et ce que NIS2 et DORA exigent concrètement sur ce point. L'objectif : que votre sauvegarde reste exploitable même le jour où votre réseau de production est compromis.
Un ransomware qui chiffre uniquement les serveurs de production échoue commercialement si l'entreprise peut restaurer ses données depuis
une sauvegarde saine. Les groupes ransomware l'ont intégré depuis plusieurs années : la phase de reconnaissance qui précède le chiffrement inclut systématiquement la recherche des référentiels de sauvegarde, de leurs identifiants d'administration et de leurs plages réseau.
Selon l'ANSSI, 70 % des incidents ransomware impliquent une compromission directe des sauvegardes, pas seulement des systèmes de production.
Cette proportion s'explique par une logique simple : détruire ou chiffrer les backups avant de lancer le chiffrement final maximise la pression sur la victime et le montant de la rançon négociée.
Le coût moyen d'une cyberattaque pour une PME française atteint 466 000 € (ANSSI/Bpifrance 2025), et 50 à 60 % des entreprises touchées cessent leur activité dans les 18 mois qui suivent. Dans la majorité des cas documentés, l'absence de sauvegarde restaurable, plutôt que l'attaque elle-même, explique la fermeture définitive.
La logique s'est aggravée avec la généralisation de la double extorsion : l'attaquant exfiltre les données avant de les chiffrer, puis menace de les publier
en plus de réclamer une rançon pour la restauration. Détruire les sauvegardes dans ce contexte élimine le seul levier de négociation dont dispose
la victime : la capacité à restaurer sans payer. Pour un environnement industriel intégrant des systèmes OT, cette pression s'ajoute au coût direct d'un arrêt de production, souvent supérieur au montant de la rançon elle-même.
Un attaquant qui a obtenu un accès administrateur sur le réseau de production dispose de plusieurs méthodes pour neutraliser les sauvegardes avant
de déclencher le chiffrement :
Ces quatre méthodes ont un point commun : elles exigent que l'environnement de sauvegarde reste accessible depuis le réseau de production avec les mêmes identifiants. Une architecture qui rompt ce lien élimine mécaniquement ces quatre vecteurs.
Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant sa période de rétention, y compris par un compte administrateur légitime.
Cette propriété repose techniquement sur un stockage WORM (Write Once Read Many), au niveau du logiciel de sauvegarde ou du stockage sous-jacent. Un ransomware qui obtient des identifiants administrateur ne peut pas contourner une politique d'immutabilité correctement configurée au niveau
du stockage.
L'air-gap coupe toute connexion réseau permanente entre la production et la sauvegarde. Un attaquant disposant d'identifiants valides ne trouve aucun chemin réseau vers une machine qui n'est pas connectée. C'est la seule protection qui reste efficace contre un attaquant ayant compromis les comptes d'administration du réseau de production, y compris le compte de service de la solution de sauvegarde elle-même.
Notre Guide sur l'air-gap physique détaille la différence technique avec une simple isolation réseau, souvent confondues.
Une sauvegarde jamais restaurée en conditions réelles reste une hypothèse et non une garantie. Un test de restauration documenté vérifie que
les données sont exploitables, que le RTO (Recovery Time Objective) annoncé correspond à la réalité, et que la chaîne de restauration fonctionne
de bout en bout, y compris depuis la copie air-gappée.
L'authentification à plusieurs facteurs sur la console de sauvegarde, la séparation stricte entre comptes d'administration de production et comptes d'administration de sauvegarde, et le principe du moindre privilège réduisent la surface d'attaque sur l'environnement de sauvegarde lui-même.
NIS2 impose aux entités concernées (environ 15 000 entités françaises en 2026, réparties entre Annexe I et Annexe II) un système de sauvegarde opérationnel, avec une déclinaison de la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une copie hors site. Notre guide sur NIS2 et les obligations techniques de backup détaille ce que le référentiel ReCyF de l'ANSSI exige concrètement.
(DORAva plus loin pour les entités financières. L'Article 12 §5 exige explicitement une séparation « physiquement et logiquement » distincte pour la restauration des systèmes critiques. Une isolation réseau seule, sans air-gap physique, ne satisfait que la condition logique du texte, pas la condition physique.
Notre article sur Les cinq obligations de l'Article 12 détaille ce point par point.
Dans les deux cadres réglementaires, le point commun reste identique : une politique de sauvegarde documentée ne suffit pas. Les autorités de contrôle demandent une preuve opérationnelle, testée et datée. Ces quatre piliers s'intègrent naturellement dans une architecture de sauvegarde externalisée(conçue pour la conformité, pas seulement pour la disponibilité des données.
Quatre questions permettent de vérifier rapidement le niveau de protection réel de votre sauvegarde actuelle :
Une réponse négative à l'une de ces questions signale une vulnérabilité directement exploitable par les techniques décrites plus haut.
Une sauvegarde qu'un attaquant peut supprimer ou chiffrer avec les mêmes identifiants que la production n'apporte aucune protection réelle contre
un ransomware. Les quatre piliers présentés ici, immutabilité, air-gap physique, tests de restauration et contrôle d'accès strict, ne fonctionnent efficacement qu'ensemble : retirer l'un d'entre eux laisse un vecteur de compromission ouvert.
NIS2 et DORA formalisent désormais cette exigence dans un cadre réglementaire, avec des obligations de preuve et de test documenté.
Notre guide sur la sauvegarde sécurisée par isolation physique détaille les critères techniques d'une architecture air-gappée et immuable.
VYTALX conçoit et installe des architectures de sauvegarde air-gappées et immuables directement chez ses clients, avec des tests de restauration documentés et un accompagnement pour la mise en conformité NIS2 et DORA. Planifiez une revue technique de votre stratégie backup pour évaluer votre résistance face à un scénario ransomware réel.
