Protection contre ransomwares en entreprise : comment rester en mesure de récupérer lorsque une attaque réussit

Le 19 octobre 2025, un ransomware a interrompu toutes les expéditions depuis les centres logistiques d’Askul, une entreprise japonaise de fournitures de bureau et de commerce électronique. Les attaquants étaient entrés via un compte administrateur attribué à un prestataire externalisé — le seul compte que l’entreprise avait exempté de l’authentification multifacteur (MFA). Lorsque les attaquants ont chiffré les serveurs d’Askul, ils ont également supprimé ses fichiers Sauvegarde, et une partie des données volées a ensuite été publiée en ligne. ^[1]

L’enquête interne d’Askul a révélé que ses sauvegardes en ligne n’avaient pas été conçues pour résister à une attaque par ransomware ; les attaquants ont donc pu en chiffrer certaines avec tout le reste, ce qui a considérablement retardé la reprise. ^[1] Askul est loin d’être un cas isolé. Les ransomwares ciblent les sauvegardes dans 4 attaques sur 5, afin de forcer le paiement d’une rançon en détruisant votre capacité de restauration. ^[2]

Ce guide explique comment une attaque en entreprise se déroule, les couches qui l’arrêtent, pourquoi Stockage des sauvegardes avec Absolute Immutability constitue votre Protection contre les ransomwares ultime, et comment évaluer les solutions qui prétendent la fournir.

Points clés

• À l’échelle de l’entreprise, la protection contre ransomwares dépend de la capacité d’un seul jeu d’identifiants volés à accéder à tout, y compris aux sauvegardes, car dans la plupart des cas, les attaquants utilisent des droits d’administrateur pour détruire les options de restauration avant le chiffrement ou pendant celui-ci.

• Le ransomware est désormais une menace quasi certaine : plus de 4 organisations sur 5 ont subi au moins une attaque au cours des deux dernières années. ^[2] Aucun produit unique ne suffit ; la protection exige un ensemble de contrôles en couches couvrant l’identité et l’accès, l’e-mail et les terminaux, le réseau, la détection, ainsi que Sauvegarde et la restauration.

• Le Immuabilité standard comporte souvent des exceptions et des failles cachées qui pourraient permettre la suppression des sauvegardes, mais avec Absolute Immutability, personne ne peut modifier ni supprimer les données Sauvegarde, même avec des identifiants d’administrateur. Alors que 93 % des responsables technologiques affirment que Stockage de sauvegarde immuable est absolument critique pour la protection contre ransomwares, seuls 16 % en disposent. ^[2]

Qu’est-ce que la protection contre ransomwares ?

La protection contre ransomwares est la combinaison de contrôles techniques, de politiques et de capacités de restauration qui protège une organisation contre les attaques par ransomware et limite les dégâts lorsque ces attaques réussissent. Elle a deux missions : empêcher les attaquants d’entrer et de se propager dans le réseau, et garantir que l’organisation peut se rétablir lorsqu’une attaque réussit malgré tout.

Ces deux missions deviennent plus difficiles à l’échelle de l’entreprise. Une seule console de virtualisation peut exécuter des centaines de machines virtuelles ; les comptes privilégiés et de service se multiplient entre les départements et les partenaires ; et le système Sauvegarde dispose de sa propre console d’administration, à laquelle un attaquant muni d’identifiants volés peut se connecter comme un administrateur légitime.

La restauration, à son tour, implique des centaines de restaurations effectuées selon l’ordre de priorité métier. Avec autant d’éléments accessibles depuis si peu de comptes, la protection en entreprise se résume à la question de savoir si un seul jeu d’identifiants volés peut accéder à tout, y compris aux sauvegardes. Fermer ce chemin, afin qu’aucun compte unique ne puisse détruire à la fois les données de production et leurs copies de restauration, est le fondement de la résilience face aux ransomwares.

Comment une attaque par ransomware se déroule-t-elle au sein d’une entreprise ?

Un seul jeu d’identifiants qui donne accès à tout est exactement ce que recherchent les attaquants. Plus de 4 organisations sur 5 ont subi au moins une attaque par ransomware au cours des deux dernières années. ^[2]

La séquence ci-dessous suit les phases d’une attaque par ransomware dans leur pire scénario, où la protection contre ransomwares échoue à chaque étape et où les attaquants atteignent leur objectif.

1. Entrer. La plupart des attaques commencent par un e-mail ou un identifiant volé : e-mail malveillant, hameçonnage et identifiants compromis sont les trois principales causes racines des attaques par ransomware, avec respectivement 26 %, 24 % et 23 %. ^[3] Les attaquants d’Askul se sont simplement connectés en utilisant le compte administrateur d’un prestataire sans MFA. ^[1]
2. Rester hors de vue. Une fois à l’intérieur, les attaquants passent souvent des semaines à cartographier le réseau, à désactiver les outils Sécurité et à effacer les journaux au fur et à mesure. Les intrus d’Askul ont fait de même, en désactivant le logiciel de détection et réponse sur les terminaux (EDR) et en utilisant plusieurs variantes de ransomware, dont certaines ont échappé aux signatures EDR d’Askul à l’époque. ^[1]
3. Collecter les clés. Chaque système atteint par les attaquants fournit davantage d’identifiants, mais les principales cibles sont les comptes qui contrôlent l’infrastructure : administrateurs de domaine, de virtualisation et du système Sauvegarde.
4. Se propager dans tout le parc. Avec des droits d’administrateur, les attaquants se déplacent latéralement de serveur en serveur jusqu’à contrôler les systèmes qui gèrent tout le reste, des hyperviseurs exécutant des centaines de machines virtuelles aux consoles qui gèrent les sauvegardes.
5. Exfiltrer les données. Avant tout chiffrement, les données sensibles sont souvent copiées hors du réseau. Cette copie constitue la base de la double extorsion : la victime est poussée à payer une première fois pour une clé de déchiffrement et une seconde fois pour empêcher la publication des données. Une restauration propre ne résout que le premier problème. Askul a refusé de négocier, et une partie de ses données volées est apparue en ligne. ^[1]
6. Supprimer le chemin du retour. Dans la plupart des cas, les attaquants cherchent à éliminer les options de restauration avant ou au moment où la charge utile de chiffrement est déployée, en utilisant les droits collectés à l’étape 3. Un système Sauvegarde qui accepte une connexion valide ne peut pas distinguer un intrus de son propre administrateur. Les fichiers Sauvegarde d’Askul ont été supprimés au même moment où ses serveurs étaient chiffrés. ^[1]
7. Tout chiffrer d’un seul coup. Le chiffrement s’exécute ensuite simultanément sur de nombreux serveurs, souvent au niveau de la couche de virtualisation, de sorte que des centaines de systèmes tombent ensemble plutôt qu’un par un. Les systèmes chiffrés chez Askul incluaient ceux qui faisaient fonctionner ses centres logistiques hautement automatisés, et les expéditions se sont totalement arrêtées. ^[1]
8. La demande. La note de rançon arrive avec deux conditions : payer pour la clé de déchiffrement et payer pour garder privées les données volées. Avec les sauvegardes disparues, la clé est le seul chemin restant vers les données.

Les cinq couches de la protection contre ransomwares en entreprise

Aucun contrôle unique dans une stratégie de Protection contre les ransomwares ne peut interrompre la séquence ci-dessus, car chaque contrôle n’arrête que certaines étapes de l’attaque.

Puisqu’aucun système n’est impénétrable, la protection contre ransomwares en environnement d’entreprise suit un modèle Simple : partir du principe qu’une compromission surviendra, construire plusieurs couches de cybersécurité et se préparer à la restauration. ^[4]

Le National Institute of Standards and Technology (NIST) adopte la même approche dans son profil de gestion des risques liés aux ransomwares, qui place la restauration aux côtés de la protection et de la détection au sein d’un cadre unique. ^[5]

Identité et accès

Les contrôles d’identité ciblent les étapes 1 et 3, car la plupart des attaques nécessitent une connexion valide avant toute autre action. La MFA sur chaque compte distant et administratif rend un mot de passe volé beaucoup moins utile à lui seul. L’accès au moindre privilège limite chaque compte aux seuls systèmes et données requis par son rôle spécifique, de sorte qu’un compte volé n’ouvre qu’une petite partie de l’environnement.

La gestion des accès privilégiés (PAM) ajoute un contrôle plus strict sur les comptes que les attaquants ciblent le plus. Un outil PAM n’accorde des droits d’administrateur que lorsqu’ils sont nécessaires et enregistre la manière dont ils sont utilisés.

Les trois ne fonctionnent que si aucun compte n’est laissé en exception, y compris ceux attribués aux partenaires et aux prestataires.

E-mail et terminaux

Le filtrage des e-mails aide à empêcher une grande partie du hameçonnage à l’origine de l’étape 1 en vérifiant les expéditeurs, les liens et les pièces jointes avant que les messages n’atteignent les boîtes de réception.

Les outils EDR surveillent ensuite les serveurs et les ordinateurs portables pour détecter des comportements malveillants pendant l’étape 2, tels que des processus inhabituels ou des tentatives de désactivation de logiciels Sécurité. Les attaquants s’attendent à ce que l’EDR soit en place ; le désactiver est donc souvent l’un de leurs premiers gestes après avoir obtenu l’accès au réseau.

ransomware propulsé par l'IA ajoute une difficulté supplémentaire. Il peut générer ou réécrire son propre code de sorte que chaque version ait une apparence différente, ce qui laisse les outils basés sur des signatures sans motif stable à faire correspondre.

Le filtrage des e-mails et l’EDR fonctionnent au mieux lorsque leurs alertes alimentent la couche de détection plutôt que de rester isolées.

Réseau

La segmentation réseau ralentit l’étape 4 en divisant le réseau de l’organisation en zones distinctes qu’un attaquant doit franchir une à une.

Les systèmes critiques, tels que la gestion des hyperviseurs et les serveurs d’identité, devraient se trouver dans des zones auxquelles les postes de travail standard ne peuvent pas accéder directement, afin qu’un ordinateur portable compromis ne soit jamais à un seul saut de l’infrastructure.

La surveillance du trafic qui traverse les zones aide à révéler un attaquant en déplacement dans le réseau. La plupart des systèmes suivent des schémas prévisibles ; une connexion inhabituelle, comme une session de bureau à distance entre deux serveurs qui communiquent rarement, ressort comme un signe d’alerte.

Détection et alerte précoce

La détection réduit le temps que les attaquants passent à l’intérieur du réseau et peut se déclencher à n’importe quelle étape de 2 à 6. La surveillance comportementale apprend comment les utilisateurs, les systèmes et les applications se comportent normalement, et signale l’activité qui rompt le schéma, ce qui permet d’attraper des menaces que les outils basés sur des signatures manquent.

Les équipes Sécurité alimentent généralement ces alertes dans un système de gestion des informations et des événements Sécurité (SIEM), qui collecte en un seul endroit des signaux provenant de l’ensemble des systèmes de l’organisation, afin que les analystes puissent relier des événements connexes et réagir plus vite.

L’ensemble plus large des techniques de détection des ransomwares inclut également des leurres. Un leurre réseau imite une cible Sauvegarde légitime afin d’inciter les attaquants à se dévoiler avant que des données réelles ne soient en danger.

Object First Honeypot en est un exemple. Il déploie un environnement leurre Veeam Sauvegarde & Replication (VBR) au sein de l’appliance Object First en quelques clics seulement, servant de fil-piège pour détecter une activité suspecte ciblant l’infrastructure Sauvegarde.

Sauvegarde et restauration

Les quatre couches de protection ci-dessus réduisent la probabilité qu’une attaque réussisse, mais aucune ne détermine ce qui se passe lorsqu’elle réussit. Cela dépend de la couche Sauvegarde et restauration, où les résultats se dégradent : seules 39 % des organisations ont récupéré au moins 75 % de leurs données après une attaque, contre 57 % en 2024. ^[2]

Une pierre angulaire de la restauration des sauvegardes de données consiste à maintenir des sauvegardes immuables, ce qui signifie que, pendant une fenêtre de temps prédéfinie, un Sauvegarde ne peut pas être modifié ni supprimé. Il faut toutefois être vigilant, car de nombreux systèmes qui prétendent offrir des sauvegardes immuables comportent des exceptions et des failles cachées.

La solution à ces failles est Absolute Immutability, ce qui signifie que même l’administrateur le plus privilégié, ou un attaquant ayant accès à Stockage des sauvegardes, ne peut ni modifier ni supprimer des données.

Absolute Immutability: Les fondations de la protection contre ransomwares de niveau entreprise

L’écart entre croire que les sauvegardes sont protégées et disposer réellement de cette protection est important : 76 % des responsables technologiques déclarent que leur solution Sauvegarde principale utilise le stockage immuable, mais seuls 16 % affirment que leur Stockage des sauvegardes actuel est absolument immuable. ^[2]

Absolute Immutability ne peut être atteint qu’en utilisant un système Stockage des sauvegardes « Sécurisé dès la conception », avec un accès zéro pour exécuter des actions destructrices, et cet accès zéro doit être vérifié par des tests tiers. ^[4]

L’une des failles les plus courantes réside dans la manière dont Technologie S3 Object Lock est configuré. En mode Conformité, les périodes de rétention sont strictement appliquées — même les administrateurs ne peuvent pas modifier ni supprimer les données protégées avant l’expiration de la période de rétention. Le mode Gouvernance, en revanche, permet aux utilisateurs privilégiés de contourner les paramètres Object Lock ; ainsi, un attaquant qui obtient un accès administrateur peut désactiver Immuabilité et détruire les données Sauvegarde. ^[4]

La mise en œuvre pratique de Absolute Immutability repose sur trois principes fondamentaux :

• Stockage objet S3 : Une norme ouverte, entièrement documentée, avec Immuabilité natif, permettant des tests d’intrusion indépendants et une vérification par des tiers.

• Immuabilité instantanée : Les données Sauvegarde deviennent immuables dès qu’elles sont écrites, sans lacunes et sans zones d’atterrissage.

• Appliance de stockage cible : Une appliance Dédié sépare Stockage des sauvegardes de Logiciel de sauvegarde et élimine les risques du stockage auto-géré en mode bricolage lors de l’installation, des mises à jour et de la maintenance. Aucune expertise Sécurité n’est requise, car l’exploitation Sécurité est transférée au fournisseur.

En suivant ces trois principes, les organisations peuvent atteindre Absolute Immutability, ce qui maintient les données Sauvegarde protégées et récupérables pendant leur période de rétention définie, que la menace soit un ransomware, un initié ou des identifiants volés. ^[4]

Protection contre ransomwares avec Object First

Quand — et non si — un ransomware frappe, l’avenir de votre entreprise est en jeu. À cet instant, la restauration est ce qui compte le plus — redémarrer et reprendre l’activité aussi vite que possible, sans complexité inutile.

Nous rendons la cyberrésilience Simple grâce à un Stockage des sauvegardes absolument immuable et conçu spécifiquement pour Veeam. C’est votre défense ultime contre les ransomwares.

Object First s’appuie sur les meilleures pratiques Zero Trust et est testé et vérifié par des tiers pour être Sécurisé. Il est Simple à déployer et à administrer avec AUCUNE expertise en sécurité requise, et suffisamment Puissant pour des sauvegardes ultra-rapides et une restauration instantanée surboostée, afin d’évoluer avec votre entreprise.

Quand Stockage des sauvegardes est à ce point Sécurisé, Simple et Puissant, vous et votre organisation êtes Simply Resilient.

Les huit meilleures pratiques de Object First pour la protection contre ransomwares en entreprise

Chez Object First, nous œuvrons pour un monde où aucune organisation n’a à payer une rançon pour des données chiffrées. Voici les huit meilleures pratiques de protection contre ransomwares que nous recommandons à chaque entreprise.

1. Imposez la MFA sur chaque compte distant et administratif, en commençant par les consoles de gestion Sauvegarde, et ne faites aucune exception pour les partenaires, sous-traitants ou prestataires de services, car un seul compte exempté peut compromettre l’ensemble du réseau.
2. Attribuez aux systèmes Sauvegarde leurs propres comptes administrateur, distincts des comptes utilisateurs quotidiens et des comptes administrateur de domaine, et appliquez le principe du moindre privilège afin qu’un identifiant de domaine récupéré n’ouvre pas aussi la console Sauvegarde.
3. Exigez une approbation par plusieurs personnes pour les actions destructrices telles que les réinitialisations, les changements de rétention ou les changements Sécurité. Un protocole à huit yeux, avec deux personnes côté client et deux membres du personnel côté fournisseur approuvant chaque action, comble la faille qu’un seul compte administrateur compromis créerait autrement.
4. Chiffrez les données Sauvegarde de bout en bout dès leur création, en utilisant des clés qui changent à chaque session Sauvegarde. Immuabilité empêche les attaquants de modifier ou de supprimer les sauvegardes, tandis que le chiffrement à clés tournantes rend illisibles toutes les données Sauvegarde qu’ils volent.
5. Conservez trois copies de vos données sur deux types de supports différents, dont une hors site, une immuable, et zéro sauvegarde non vérifiée, comme le précise la règle 3-2-1-1-0 Sauvegarde. Placer ces copies dans des zones de résilience distinctes, un élément central de protection contre les ransomwares, signifie qu’une compromission d’une zone n’atteint pas les autres.
6. Alertez sur les changements de politique de rétention, les tentatives de suppression inhabituelles et les échecs d’authentification contre le référentiel Sauvegarde, et acheminez ces alertes vers la même équipe et le même circuit d’escalade que les alertes Sécurité de production.
7. Testez les restaurations selon un calendrier fixe, en couvrant les systèmes critiques chaque trimestre et l’environnement de production complet au moins une fois par an, et consignez le temps nécessaire pour chacun. Un Sauvegarde non testé n’est qu’une supposition, et le temps enregistré montre si la restauration respecte votre Recovery Time Objective (RTO).
8. Conservez suffisamment de points de restauration immuables pour revenir à avant la compromission initiale, et pas seulement l’attaque visible. Les attaquants maintiennent souvent une persistance pendant des jours ou des semaines avant de déclencher le chiffrement ; le Sauvegarde le plus récent peut donc déjà contenir leur point d’ancrage.

Comment évaluer des solutions de protection contre ransomwares pour l’entreprise

Les recommandations ci-dessus ne valent que si le stockage sous-jacent les prend en charge, et beaucoup d’acheteurs ne vérifient jamais si c’est le cas. Alors que 89 % des responsables technologiques conviennent que les affirmations des fournisseurs concernant Immuabilité doivent être validées par un audit tiers, seuls 56 % utilisent des tests et des rapports tiers. ^[2]

Les vérifications ci-dessous permettent à une entreprise de tester ces affirmations avant de choisir parmi des solutions protection contre les ransomwares, afin que la décision repose sur des preuves plutôt que sur une Fiche technique.

• Déterminez si votre fournisseur ou l’administrateur le plus privilégié peut raccourcir la rétention ou supprimer un Sauvegarde avant son expiration. Si l’un ou l’autre le peut, un attaquant disposant des mêmes identifiants le peut aussi.

• Confirmez que les données Sauvegarde deviennent immuables dès qu’elles sont écrites, et non seulement après la fin du job Sauvegarde, car tout écart entre les deux laisse une fenêtre de falsification.

• Demandez des résultats publiés de tests d’intrusion réalisés par des tiers plutôt que de vous fier à une affirmation Fiche technique. Les tests indépendants ne sont possibles que sur des protocoles ouverts et documentés ; un système propriétaire vous oblige donc à vous en remettre à la parole du fournisseur.

• Examinez comment le stockage fonctionne avec le Logiciel de sauvegarde que vous utilisez déjà, car un stockage conçu pour ce logiciel élimine le travail de configuration personnalisée où les déploiements auto-gérés introduisent souvent des vulnérabilités.

• Clarifiez qui est responsable du patching, des mises à jour et du durcissement, et de quelle expertise Sécurité votre équipe a besoin pour exploiter le système en toute sécurité. Avec un stockage auto-géré, ces opérations et leurs risques restent à la charge de votre équipe.

• Avant d’acheter, testez la vitesse de restauration avec vos propres volumes de données et charges de travail, en commençant par les systèmes dont l’entreprise a besoin en premier, plutôt que de vous fier aux benchmarks du fournisseur. Le résultat montre à quelle vitesse vous pouvez récupérer des données après une attaque par ransomware.

• Menez un exercice sur table simulant une compromission complète des identifiants, dans laquelle un attaquant détient tous les comptes administrateur, y compris ceux du Logiciel de sauvegarde et du stockage. Ensuite, confirmez en pratique que le stockage refuse toujours les suppressions et les changements de rétention provenant de ces comptes. Ce n’est qu’alors que vous pourrez être certain que vos sauvegardes sont réellement Imperméable aux ransomwares.

FAQ

Quelle est la meilleure protection contre les ransomwares pour une entreprise ?

Aucun contrôle unique n’est suffisant ; la meilleure protection contre ransomwares en entreprise est multicouche. Parmi ces couches, Stockage des sauvegardes avec Absolute Immutability est celle qui fonctionne encore après l’échec de la prévention et de la détection, car aucun compte volé ne peut en raccourcir la rétention.

Comment tester si votre protection contre ransomwares fonctionne ?

Exécutez des tests de restauration selon un calendrier, enregistrez chaque durée de restauration et comparez-la à votre RTO, et organisez des exercices sur table en partant du principe qu’un compte administrateur est déjà compromis. Ensuite, confirmez que votre Stockage des sauvegardes refuse réellement une suppression ou un changement de rétention depuis ce compte, plutôt que de vous fier à ce que montre l’écran de configuration.

Quelle est la première chose à faire lors d’une attaque par ransomware ?

Déterminez quels systèmes sont affectés et isolez-les immédiatement du réseau, en n’éteignant les appareils que s’ils ne peuvent pas être déconnectés. [6] L’isolement stoppe la propagation tout en préservant les preuves dont votre plan de réponse aux ransomwares a besoin pour l’investigation et la restauration.

References

[1] Askul Corporation. "Report on the Results of the Investigation into the Impact of the Ransomware Attack and Initiatives to Strengthen Security (13th Report)." December 12th, 2025 (Japanese). https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf

[2] Omdia. "Recovery without Compromise: The Data-Backed Case for Backup Storage with Absolute Immutability." Commissioned by Object First, June 2026. https://objectfirst.com/recovery-without-compromise/

[3] Sophos. "The State of Ransomware 2026." 2026. https://www.sophos.com/en-us/content/state-of-ransomware

[4] Object First. "Absolute Immutability: The Ultimate Ransomware Defense." White paper, 2025. https://objectfirst.com/absolute-immutability-whitepaper/

[5] National Institute of Standards and Technology. "NIST IR 8374 Rev. 1: Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile." June 2026. https://csrc.nist.gov/pubs/ir/8374/r1/final

[6] CISA, MS-ISAC, NSA, and FBI. "#StopRansomware Guide." September 2023. https://www.cisa.gov/stopransomware/ransomware-guide