Sauvegarde · 20/05/2026
Quand le rançongiciel s'attaque d'abord aux sauvegardes
Le chiffrement des postes de travail est la partie visible d'une attaque, et c'est la dernière. Elle est précédée de plusieurs jours pendant lesquels l'attaquant cartographie le système, prend le contrôle des comptes d'administration et neutralise méthodiquement la sauvegarde. C'est dans cet intervalle que tout se joue.
Une intrusion conduite proprement ne commence pas par du bruit. Elle commence par un accès discret, se poursuit par plusieurs jours d'observation, et ne devient visible qu'au moment où l'attaquant a la certitude que sa victime ne pourra pas restaurer. La sauvegarde n'est pas une victime collatérale : c'est un objectif prioritaire, traité en premier.
La chronologie type
- Accès initial : accès distant sans second facteur, identifiants achetés, hameçonnage ciblé, ou service exposé non corrigé.
- Reconnaissance : cartographie de l'annuaire, des partages, des serveurs de fichiers et surtout de la console de sauvegarde.
- Élévation de privilèges : obtention d'un compte d'administration du domaine, souvent par un compte de service surprivilégié.
- Exfiltration : copie des données sensibles vers l'extérieur, pour permettre le chantage à la publication.
- Neutralisation de la sauvegarde : suppression des clichés instantanés, désactivation des tâches, réduction des rétentions, purge des dépôts.
- Chiffrement : déclenché en une fois, généralement la nuit ou un week-end prolongé.
L'intervalle entre la première et la dernière étape se compte en jours, parfois en semaines. C'est une fenêtre de détection, et c'est la seule qui existe.
Comment la sauvegarde est neutralisée
Les gestes sont connus et ils ne déclenchent aucune alerte parce que rien n'échoue. La suppression des clichés instantanés du système de fichiers retire la possibilité de revenir en arrière localement. La désactivation des tâches planifiées arrête la production de nouvelles copies. La réduction de la durée de rétention à un ou deux jours provoque la disparition automatique des copies anciennes lors du cycle de purge suivant, sans qu'aucune suppression manuelle n'apparaisse. Enfin, le montage des dépôts avec les mêmes identifiants d'administration permet leur effacement direct.
Le point commun de ces quatre gestes est qu'ils utilisent des fonctions normales du produit, exécutées par un compte légitime. Aucun antivirus ne les bloquera. La parade n'est donc pas de détecter un outil malveillant mais de rendre ces opérations impossibles ou bruyantes.
Les points de rupture
| Étape de l'attaque | Mesure qui l'arrête | Signal à surveiller |
|---|---|---|
| Accès initial | Second facteur sur tous les accès distants | Connexion depuis une adresse inhabituelle |
| Reconnaissance | Segmentation du réseau d'administration | Balayage de ports depuis un poste bureautique |
| Élévation | Comptes de service sans droits d'administration | Création ou modification de compte privilégié |
| Neutralisation | Console de sauvegarde hors annuaire de production | Tâche désactivée, rétention modifiée |
| Chiffrement | Copie immuable ou hors ligne | Volume d'écriture anormal sur les partages |
La ligne la plus rentable du tableau est la quatrième. Une alerte déclenchée sur la modification d'une politique de rétention ou sur la désactivation d'une tâche coûte une demi-journée de paramétrage et se déclenche plusieurs jours avant le chiffrement. Peu d'organisations l'ont mise en place, parce que la supervision de la sauvegarde s'intéresse traditionnellement aux échecs, jamais aux réussites suspectes.
La deuxième ligne renvoie à la structure du réseau. Un réseau d'administration séparé et filtré transforme la reconnaissance en travail long et bruyant. Nous en détaillons la construction dans notre note sur la segmentation d'un réseau de PME, et le contrôle d'accès aux prises physiques ferme le chemin d'entrée le plus discret, sujet traité dans notre analyse de l'authentification 802.1X sur les prises murales.
Ce qui sauve réellement
Trois dispositions font la différence, et elles sont indépendantes du produit utilisé. La première est l'isolement de la sauvegarde : compte d'administration distinct, non issu de l'annuaire de production, avec second facteur, et accès réseau restreint aux seuls flux nécessaires. La deuxième est l'existence d'une copie que le compte d'administration de la sauvegarde ne peut pas détruire, qu'elle soit verrouillée en conservation ou physiquement déconnectée, comme nous l'expliquons dans notre relecture de la règle 3-2-1 et dans notre point sur le rôle actuel de la bande magnétique. La troisième est la conservation des journaux hors du périmètre attaquable, sans quoi la reconstitution de la chronologie devient impossible.
Ce dernier point a des conséquences réglementaires directes. Les délais de notification imposés par le cadre européen courent à partir de la connaissance de l'incident, et l'évaluation initiale attendue sous soixante-douze heures suppose de pouvoir dire ce qui s'est passé, ce que nous détaillons dans notre note sur ce que NIS2 fait retomber sur les prestataires.
La nuit de l'incident
La première décision à prendre n'est pas technique. Isoler, c'est-à-dire couper les liaisons entre sites et déconnecter les dépôts, arrête la propagation mais interrompt aussi l'activité. Cette décision doit être préparée à froid, avec un seuil écrit, une personne habilitée et un numéro qui répond. C'est exactement ce que nous décrivons dans nos notes sur l'organisation d'une astreinte de nuit.
La seconde décision concerne la restauration : depuis quelle copie, vers quel environnement, dans quel ordre. Une organisation qui a mené des exercices connaît ses durées et sait dans quel ordre remonter. Les autres découvrent l'ordre de redémarrage pendant la crise, ce qui multiplie les délais par trois ou quatre, comme nous l'observons dans nos notes sur le test de restauration trimestriel.
Le détail qui coûte cher
Restaurer dans un environnement qui n'a pas été assaini réintroduit l'accès initial. La remontée doit se faire dans un périmètre reconstruit, avec des mots de passe et des clés renouvelés, y compris ceux des comptes de service. C'est le poste de travail le plus long de toute la reprise, et celui qu'on tente le plus souvent de sauter.