Lorsqu’une organisation nous appelle après une attaque par rançongiciel, la première question n’est jamais « avez-vous des sauvegardes ? ». Elle est « depuis quel compte peut-on les atteindre ? ». La distinction paraît subtile ; elle détermine pourtant si la reprise prendra quatre heures ou trois semaines.
Le scénario qui se répète
Un poste est compromis par une pièce jointe. L’attaquant progresse latéralement, obtient un compte d’administration du domaine, puis inventorie ce qui est accessible. Le serveur de sauvegarde, joint au même domaine, apparaît dans cette liste. Il est chiffré en dernier, précisément parce qu’il est la seule option de reprise.
Le chiffrement des données de production n’est donc pas l’étape décisive de l’attaque : la neutralisation de la capacité de restauration l’est.
Trois propriétés à exiger
- Isolation : la sauvegarde ne doit pas être administrable avec les identifiants du domaine de production. Un compte distinct, une authentification distincte, idéalement un système distinct.
- Immuabilité : une copie que personne — y compris un administrateur — ne peut supprimer ou modifier avant l’expiration de sa rétention.
- Restaurabilité prouvée : une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Le test doit être planifié, exécuté et consigné.
La règle 3-2-1, revisitée
La règle classique — trois copies, deux supports, une hors site — reste valable, mais elle est antérieure aux rançongiciels. Nous lui ajoutons systématiquement deux chiffres : une copie immuable et zéro accès depuis le domaine de production. La formulation devient 3-2-1-1-0.
Et le coût ?
Le surcoût d’une stratégie isolée et immuable est généralement inférieur à 15 % du budget de sauvegarde existant. À comparer au coût réel d’une interruption : dans le cas industriel que nous avons traité en 2024, cinq jours d’arrêt de production ont représenté plusieurs centaines de fois ce montant.
« La question n’est pas d’avoir des sauvegardes, mais de pouvoir les restaurer quand tout le reste est compromis. »
Direction des systèmes d’information, groupe industriel
Si vous ne deviez retenir qu’une action de cet article : vérifiez cette semaine avec quels identifiants votre serveur de sauvegarde est administrable. La réponse est souvent instructive.
Pôle cybersécurité — NDS Technologies