Why Immutable Backups
Can Still Be Compromised
Why Immutable Backups
Can Still Be Compromised
Les sauvegardes sont fréquemment compromises lors d'attaques par rançongiciel. Dans certains cas traités par DriveSavers, la solution de sauvegarde concernée était pourtant présentée comme immuable.
Les sauvegardes immuables constituent une défense standard contre les rançongiciels, souvent associée à leur isolement physique (« air-gapping »). Mais l'immuabilité ne garantit pas pour autant que les données pourront être récupérées après une attaque.
Qu'est-ce qu'une sauvegarde immuable ?
Une sauvegarde immuable est une copie de données qui ne peut être ni modifiée ni supprimée pendant une période de conservation définie, pas même par un administrateur. Cette conception en écriture unique (« write-once ») fait de l'immuabilité une défense standard contre les rançongiciels, puisque, en théorie, les attaquants ne peuvent pas altérer une sauvegarde qu'ils ne peuvent pas modifier. Mais l'immuabilité ne protège que les données elles-mêmes, et non le logiciel ni les identifiants qui les gèrent.
En octobre 2025, le rançongiciel Akira a atteint le référentiel de sauvegarde Nakivo d'un client, une plateforme dont le stockage immuable constitue un argument commercial. Les sauvegardes Nakivo ont été supprimées, tandis que les données des machines virtuelles présentes sur le volume ont été chiffrées.
L'équipe informatique du client a exécuté des utilitaires de récupération sur le volume pendant plusieurs jours, sans succès. Elle a également copié 15 To de données de production sur le même espace de stockage qu'occupaient les sauvegardes supprimées. Ce processus a écrasé une partie des données de sauvegarde supprimées.
DriveSavers a réalisé une image des disques et reconstruit manuellement les informations de mappage BTRFS manquantes afin d'accéder aux données de sauvegarde que le volume avait déjà libérées. Sur le serveur de base de données prioritaire, le taux de récupération a atteint 99,4 % à partir du seul référentiel de sauvegarde. En fusionnant les zones non chiffrées des disques virtuels de production avec les données de sauvegarde, le taux de réussite a atteint 99,91 %.
Sans ces 15 To de données écrasées, il se serait agi d'une récupération intégrale.
L'immuabilité et l'isolement physique (« air gapping ») sont souvent évoqués ensemble, alors qu'ils remplissent en réalité des fonctions distinctes.
Veeam établit cette distinction clairement. Une sauvegarde isolée physiquement (« air-gapped ») est déconnectée du réseau, soit physiquement en retirant le disque ou en débranchant les ports, soit numériquement en bloquant tout trafic réseau vers celle-ci. Une sauvegarde immuable, elle, ne peut être ni modifiée ni supprimée avant l'expiration de sa période de conservation, mais l'immuabilité n'implique pas nécessairement qu'elle soit hors ligne : elle peut rester accessible via le réseau.
Veeam identifie précisément la faiblesse de chacune de ces approches. La logistique physique ralentit la récupération à partir d'une sauvegarde isolée physiquement. Quant aux sauvegardes immuables, elles restent accessibles sur le réseau, ce qui représente un risque lorsque les contrôles qui les entourent sont insuffisants.
L'immuabilité empêche qu'une sauvegarde soit modifiée. L'isolement physique l'empêche d'être atteinte. Une couche de gestion compromise ne peut avoir aucun effet sur une sauvegarde qu'elle ne peut pas atteindre.
Posez une seule question à votre fournisseur : un administrateur disposant de privilèges complets peut-il outrepasser le paramètre d'immuabilité de cette plateforme ?
La réponse dépendra de la manière dont l'immuabilité a été mise en œuvre. Sur certains systèmes, les utilisateurs disposant de privilèges suffisants peuvent outrepasser la protection ; sur d'autres, aucun utilisateur ne peut la supprimer avant l'expiration de la période de conservation.
Demandez ensuite où la protection en écriture unique est appliquée. L'immuabilité mise en œuvre par l'application de sauvegarde dépend du fait que cette application reste digne de confiance. L'immuabilité appliquée au niveau de la couche de stockage, via un verrouillage d'objet (« object lock ») sur un stockage compatible S3 ou un appareil matériel doté d'une protection WORM, ne dépend pas uniquement de l'application de sauvegarde pour la faire respecter.
Une fois que vous avez compris comment vos sauvegardes immuables sont protégées, prenez des mesures pour protéger l'infrastructure qui les entoure :
Renforcer la couche de gestion
Conservez la console de sauvegarde sur des identifiants distincts plutôt que sur l'annuaire de production, afin que la compromission du domaine ne livre pas également les sauvegardes. Exigez une authentification multifacteur sur la console.
Limiter l'accès administratif
Restreignez le nombre de comptes disposant de privilèges complets et examinez régulièrement cet accès.
Retester après les changements administratifs
Vérifiez la politique d'immuabilité à chaque changement d'administrateur des sauvegardes, plutôt que de présumer que la configuration héritée fonctionne toujours comme prévu.
Tester l'infrastructure de sauvegarde en tant que cible
Les attaquants ciblent la capacité de récupération. Incluez l'infrastructure de sauvegarde dans les tests d'intrusion plutôt que de la considérer comme extérieure à la surface d'attaque.
D'après leur enquête menée auprès de plus de 900 dirigeants seniors dans les domaines de l'informatique, de la sécurité et de la gestion des risques, le rapport Data Trust and Resilience 2026 de Veeam révèle que 90 % des organisations se disaient confiantes dans leur capacité à se remettre d'un incident cybernétique. Parmi les répondants ayant réellement subi un incident de rançongiciel, seulement 28 % sont parvenus à récupérer l'intégralité des données affectées. 44 % en ont récupéré moins des trois quarts, laissant subsister d'importantes lacunes.
Supprimé ou chiffré ne signifie pas irrécupérable. Lorsque DriveSavers entreprend une mission de récupération de données après une attaque par rançongiciel, le travail commence par identifier ce qui subsiste sur le support et ce qui peut en être reconstruit.
Nos ingénieurs réparent les dommages structurels que le chiffrement provoque sur les disques virtuels, les fichiers de sauvegarde et les bases de données. Lorsqu'un déchiffreur a déjà été exécuté et a laissé des fichiers corrompus, nous sommes parfois en mesure de réparer les dommages qui en résultent. Lorsqu'un disque virtuel est partiellement chiffré, DriveSavers utilise ses outils et techniques pour identifier et récupérer les données présentes dans les zones non touchées. Nous récupérons également des versions plus anciennes ou non affectées des données, y compris à partir de systèmes copy-on-write, et nous recherchons des sources alternatives telles que des bandes ou des ressources dans le cloud.
Déconnectez les appareils concernés du réseau dès que possible. Débranchez tout support de stockage externe et empêchez les systèmes affectés d'accéder au stockage infonuagique connecté.
Déconnecter n'équivaut pas à éteindre. Mettre un appareil hors tension peut effacer des preuves conservées dans la mémoire volatile ; traitez donc cette solution comme un dernier recours, à n'envisager que lorsque la déconnexion s'avère impossible.
Plus important encore, n'écrivez aucune nouvelle donnée sur un support contenant des sauvegardes supprimées ou endommagées. Restaurer des données ou continuer à utiliser le support affecté peut écraser des données qui, autrement, pourraient être récupérées.
Désactivez les ressources réseau partagées et désactivez l'accès à distance aux appareils infectés. Conservez la note de rançon ainsi que tout e-mail ou pièce jointe suspect. Appelez-nous ensuite avant toute restauration ou reconstruction.
Payer la rançon exigée ne comble pas non plus cet écart. Dans l'étude de Veeam menée en 2025, 17 % des organisations ont déclaré n'avoir pas pu récupérer leurs données, malgré le respect des exigences des attaquants.
Les déchiffreurs peuvent échouer avec des fichiers volumineux, comme les bases de données et les fichiers de sauvegarde. Un chiffrement incomplet peut également provoquer l'échec d'un déchiffreur. Si une attaque est interrompue en cours de chiffrement, un fichier peut être altéré sans atteindre l'état de chiffrement complet attendu par le déchiffreur, ce qui empêche ce dernier de le restaurer.
DriveSavers travaille fréquemment avec des clients ayant obtenu un déchiffreur, mais nécessitant tout de même une récupération de données, car ce déchiffreur n'est pas parvenu à restaurer leurs données ou a laissé des fichiers corrompus.
La dissuasion et la prévention retiennent l'essentiel de l'attention, et c'est justifié. Mais les recommandations en matière de réponse aux incidents traitent souvent les services de récupération de données après rançongiciel comme un dernier recours, découvert en pleine crise plutôt que planifié à l'avance.
Le pire moment pour une organisation de commencer à planifier ses solutions, c'est après que les sauvegardes ont déjà été ciblées et que les méthodes de récupération standard ont échoué. Le facteur temps est déterminant dans une réponse à un rançongiciel : déterminer si les données sont récupérables peut prendre des heures, voire des jours, alors que les décisions relatives à la continuité des activités et aux négociations de rançon doivent souvent être prises bien plus rapidement.
Quelle que soit la personne prenant ces décisions, elle le fait sous pression, et un prestataire de récupération de données de confiance devrait déjà figurer dans le plan de réponse. Nous constatons que les assureurs cyber demandent désormais si les données sont récupérables avant même d'accepter de négocier le paiement d'une rançon ; désigner un prestataire à l'avance peut donc accélérer l'ensemble du processus de récupération.
Si votre organisation a besoin d'aide pour évaluer si la récupération de données est possible après une attaque, nous proposons des services professionnels de récupération de données après rançongiciel, auxquels font confiance les assureurs et les cabinets de réponse aux incidents.
Contactez DriveSavers au 1 (888) 282-2227.
English (United States) 
English (Australia) 
French (France) 
English (UK) 
French (Canada) 
English (Canada) 
Spanish (Mexico) 
German 
Dutch 
Italian 
Finnish 
Polish 
Norwegian 
Swedish 
Danish 
Spanish (Spain) 
Chinese 
Japanese 
German (Austria)