Vous avez des sauvegardes. Tant mieux. Mais posez-vous la vraie question : que se passe-t-il si un ransomware les chiffre ou les supprime en même temps que vos données de production ? Car c’est exactement ce que visent les attaquants aujourd’hui.
Selon une étude Sophos, 94 % des victimes de ransomware ont vu les attaquants tenter de compromettre leurs sauvegardes. La logique est froide : une victime privée de sauvegardes est environ deux fois plus susceptible de payer la rançon, et sa récupération coûte bien plus cher. Une sauvegarde « classique », accessible et modifiable, n’est donc plus une assurance : c’est une cible. La parade tient en quelques principes : garder un historique de versions, à l’écart de la production, vérifié régulièrement — et, pour les données les plus sensibles, rendu immuable.
Faits clés
- Sauvegarde immuable : une copie qu’on ne peut ni modifier ni supprimer pendant une durée définie, même avec des accès administrateur compromis.
- WORM (Write Once, Read Many) et Object Lock : les mécanismes qui imposent cette immuabilité.
- Réplica ≠ sauvegarde : la redondance protège du crash matériel, pas du ransomware ni de l’erreur humaine (la corruption se réplique).
- Règle 3-2-1-1-0 : l’évolution du 3-2-1, avec une copie immuable/hors ligne et zéro erreur (sauvegardes testées).
- 94 % des victimes de ransomware voient leurs sauvegardes visées (source Sophos).
Pourquoi une sauvegarde « classique » ne suffit plus
Les attaquants ne se contentent plus de chiffrer vos serveurs. Avant de déclencher leur charge, ils prennent le temps de chercher et neutraliser vos sauvegardes : ils suppriment les points de restauration, chiffrent les partages de sauvegarde, révoquent des accès. Objectif : vous mettre dos au mur pour maximiser la pression et le paiement.
Le problème, c’est qu’une sauvegarde « normale » reste, par nature, accessible et modifiable par le système qui la produit. Si ce système est compromis, ou si un compte d’administration est volé, la sauvegarde l’est aussi. Une copie qu’on peut effacer n’est pas une bouée de secours : c’est une copie de plus à détruire.
Réplica n’est pas sauvegarde : la confusion qui coûte cher
C’est l’erreur la plus fréquente. « Mes données sont en triple copie sur votre stockage, je suis tranquille ». Non. La redondance (comme notre stockage Ceph en réplica 3) protège contre la panne matérielle : un disque lâche, les deux autres copies prennent le relais.
Mais la redondance réplique fidèlement tout ce qui se passe, y compris le pire. Si un ransomware chiffre un fichier, les trois copies sont chiffrées. Si vous supprimez par erreur un dossier, il disparaît des trois copies instantanément. La réplication n’a pas de mémoire du passé : elle ne sait pas revenir « à hier ».
La réplication vous protège de la panne d’un disque. La sauvegarde vous protège du temps : l’erreur humaine, la corruption, le ransomware. Ce sont deux choses différentes, et vous avez besoin des deux.
L’immuabilité, c’est quoi concrètement ?
Une sauvegarde immuable est une copie verrouillée : pendant une durée de rétention définie, personne ne peut la modifier ni la supprimer — ni un utilisateur, ni un administrateur, ni un ransomware, même avec des identifiants volés. La technique repose sur deux mécanismes :
Write Once, Read Many : une fois écrite, la donnée peut être lue autant qu’on veut mais jamais réécrite ni effacée avant l’expiration de sa rétention. Un principe issu de l’archivage légal.
Sur le stockage objet (compatible S3), le verrou d’objet impose une rétention infranchissable au niveau du stockage lui-même. Même un compte admin compromis ne peut pas raccourcir le verrou.
La clé est là : l’immuabilité est imposée par le stockage, pas par l’application qui sauvegarde. C’est ce qui la rend résistante à une compromission, même totale, du système de production.
Du 3-2-1 au 3-2-1-1-0
La règle 3-2-1 (3 copies, sur 2 supports différents, dont 1 hors site) reste valable, mais l’ère du ransomware lui a ajouté deux chiffres :
| Chiffre | Signification |
|---|---|
| 3 | Au moins 3 copies de vos données |
| 2 | Sur 2 types de supports différents |
| 1 | 1 copie hors site (géographiquement distincte) |
| 1 | 1 copie immuable ou hors ligne (air-gap) |
| 0 | 0 erreur : chaque sauvegarde est testée et la restauration vérifiée |
Le dernier « 0 » est le plus négligé et le plus important : une sauvegarde jamais testée est une sauvegarde dont vous ignorez si elle fonctionne. Le jour de l’incident est le pire moment pour le découvrir.
L’air-gap : isoler pour survivre
Complémentaire de l’immuabilité, l’air-gap consiste à isoler une copie du réseau de production : physiquement (un support déconnecté) ou logiquement (un environnement séparé, des identifiants distincts, pas de chemin direct depuis la prod). L’idée : même si un attaquant prend le contrôle total de votre infrastructure, il ne peut pas atteindre cette copie. C’est votre dernier filet.
Comment Datacampus aborde la sauvegarde
Soyons transparents sur notre périmètre : on est hébergeur Linux. On sauvegarde les serveurs et VMs Linux et les applications qu’on opère pour vous — pas votre parc bureautique ni votre IT Windows interne. Pour ce périmètre, voici notre approche, sans l’embellir.
Nos sauvegardes s’appuient sur Proxmox Backup Server (PBS) : sauvegardes incrémentales dédupliquées, conservation de versions antérieures selon une politique de rétention, et stockage sur un système distinct de la production.
Chaque jour, un contrôle d’intégrité vérifie par sommes de contrôle que les sauvegardes sont lisibles et non corrompues. C’est notre version concrète du « 0 » : une sauvegarde dont on a confirmé qu’elle tient.
Parce que PBS conserve l’historique des versions, on peut revenir « à avant » une corruption ou un chiffrement — ce que la seule réplication ne permet jamais.
Sauvegardes stockées à l’écart de la production, et réplicables entre nos deux environnements du datacenter Cassin1 dans le cadre d’un plan de reprise (PRA).
En toute franchise : nous ne proposons pas aujourd’hui d’immuabilité stricte de type WORM ou Object Lock sur nos offres standard. C’est une piste de renforcement pour les besoins les plus sensibles : si c’est votre cas, parlons-en et on regardera ensemble ce qui est pertinent. Ce qu’on garantit déjà, c’est un historique de versions hors production et vérifié chaque jour — et, comme toujours, pas de call center : une équipe joignable directement le jour où il faut restaurer vite et bien.
TL;DR, ce qu’il faut retenir
- Les ransomwares ciblent les sauvegardes : 94 % des victimes les voient attaquées.
- Réplica ≠ sauvegarde : la redondance protège du crash matériel, pas de la corruption ni du ransomware.
- Une sauvegarde immuable ne peut être ni modifiée ni supprimée (WORM, Object Lock), même par un compte compromis.
- 3-2-1-1-0 : 3 copies, 2 supports, 1 hors site, 1 immuable/hors ligne, 0 erreur (testée).
- L’air-gap isole une copie hors d’atteinte d’une infrastructure compromise.
- Le test de restauration est non négociable : une sauvegarde jamais testée ne compte pas.
Vous voulez savoir si vos sauvegardes actuelles résisteraient à un ransomware ? Parlez à notre équipe : on regarde votre situation et on construit une stratégie qui ramène vos données, quoi qu’il arrive.
FAQ — Sauvegarde immuable et ransomware
Qu’est-ce qu’une sauvegarde immuable ?
C’est une copie de sauvegarde qui ne peut être ni modifiée ni supprimée pendant une durée de rétention définie, même par un utilisateur ou un administrateur disposant d’accès légitimes — ou par un ransomware ayant volé ces accès. L’immuabilité est imposée par le stockage lui-même (WORM, Object Lock).
Une réplication (réplica 3) remplace-t-elle une sauvegarde ?
Non. La réplication protège contre la panne matérielle en maintenant plusieurs copies synchronisées, mais elle réplique aussi instantanément toute corruption, suppression ou chiffrement par ransomware. Une sauvegarde, elle, conserve des versions antérieures vers lesquelles revenir. Les deux sont complémentaires.
Qu’est-ce que la règle 3-2-1-1-0 ?
C’est l’évolution de la règle 3-2-1 pour l’ère du ransomware : 3 copies des données, sur 2 types de supports, dont 1 hors site, plus 1 copie immuable ou hors ligne (air-gap), et 0 erreur — c’est-à-dire des sauvegardes testées et des restaurations vérifiées.
Qu’est-ce qu’une sauvegarde air-gap ?
C’est une copie isolée du réseau de production, physiquement (support déconnecté) ou logiquement (environnement séparé, identifiants distincts, aucun chemin direct depuis la production). Elle reste hors d’atteinte même si un attaquant prend le contrôle complet de l’infrastructure.
Pourquoi les ransomwares s’attaquent-ils aux sauvegardes ?
Parce qu’une victime privée de sauvegardes fonctionnelles est bien plus susceptible de payer la rançon. Les études montrent que la grande majorité des attaques tentent de détruire ou chiffrer les sauvegardes en priorité, avant même la production, pour maximiser la pression.
Faut-il tester ses sauvegardes ?
Oui, c’est essentiel. Une sauvegarde jamais testée est une sauvegarde dont on ignore si elle se restaure. Le test régulier de restauration (le « 0 » de la règle 3-2-1-1-0) est la seule garantie qu’elle remplira son rôle le jour de l’incident.
Pour aller plus loin :
• CERT-FR (ANSSI) — alertes et bonnes pratiques rançongiciels
• Cybermalveillance.gouv.fr — Fiche réflexe rançongiciels
• Sur datacampus.fr : La règle de sauvegarde 3-2-1 · Sauvegarde, snapshot et PRA · PRA pour PME · Ceph expliqué simplement