Ce que Sophos a vu juste sur les rançongiciels en 2025 — et la question sur les sauvegardes que personne ne pose

Un chiffre discret qui devrait déclencher l'alarme

Chaque année, Sophos publie son rapport State of Ransomware, fondé sur une enquête indépendante de tout fournisseur menée auprès de milliers de responsables IT et cybersécurité. L'édition 2025 a interrogé 3 400 répondants dans 17 pays, dont 1 733 issus de grandes entreprises (plus de 1 000 employés). Les principaux enseignements sont prometteurs : les taux de chiffrement des données reculent, la restauration s'accélère et de plus en plus d'organisations refusent de payer la rançon.

Mais enfoui dans les données relatives aux grandes entreprises se cache un chiffre qui devrait figurer sur le tableau de chaque CISO :

Le recours aux sauvegardes pour se remettre d'une attaque par rançongiciel est passé de 73 % en 2024 à 53 % en 2025 — un plus bas sur quatre ans.

Relisez bien. L'année où les défenseurs étaient censés mieux contrer les rançongiciels, ils sont devenus mesurablement moins aptes à s'appuyer sur leurs propres sauvegardes pour s'en remettre.

Ce n'est pas une note de bas de page anodine. C'est l'enseignement le plus stratégique de l'ensemble des données Sophos — et presque personne n'en parle.

Chez BackupSec, nous lisons le rapport Sophos 2025 différemment de la plupart des synthèses d'analystes. Les grands chiffres racontent une histoire ; les données opérationnelles sous-jacentes en racontent une autre. Cet article détaille ce que le rapport révèle réellement, selon nous, sur la résilience moderne face aux rançongiciels — et pourquoi la confiance dans les sauvegardes est devenue, en toute discrétion, l'indicateur le plus important de la cyberdéfense en entreprise.

Le récit de surface : la défense l'emporte

Commençons par les bonnes nouvelles, car il y en a réellement.

Selon Sophos :

• Les taux de chiffrement des données ont chuté à 50 % au niveau mondial — le niveau le plus bas en six ans d'existence du rapport, contre 70 % l'année précédente.
• Dans les grandes entreprises, les taux de chiffrement sont tombés à seulement 49 %, contre 66 % en 2024.
• La proportion d'attaques stoppées avant chiffrement a plus que doublé en deux ans — passant de 22 % en 2023 à 47 % en 2025.
• Le coût moyen de restauration est passé de 2,73 millions de dollars à 1,53 million de dollars au niveau mondial.
• Le paiement médian de rançon a chuté de 50 % — de 2 millions de dollars en 2024 à 1 million de dollars en 2025.
• 53 % des organisations se sont entièrement rétablies en une semaine, en forte hausse par rapport aux 35 % de l'année précédente.

Si vous ne lisiez que ces chiffres, vous concluriez que le secteur a passé un cap. L'EDR gagne en maturité. Les délais de détection diminuent. La négociation se sophistique. Les assureurs durcissent leurs exigences en matière de contrôles minimaux. Tout cela est vrai.

Mais vous arrivez ensuite aux données de restauration — et l'histoire cesse d'avoir un sens.

La contradiction qui révèle tout

Voici la donnée qui fait voler en éclats le récit optimiste :

Parmi les grandes entreprises touchées par un rançongiciel en 2025, seules 53 % ont utilisé des sauvegardes pour restaurer leurs données chiffrées. Ce chiffre était de 73 % à peine un an plus tôt. Dans le même temps, 48 % des entreprises ont tout de même payé la rançon — un niveau globalement stable par rapport aux années précédentes.

Autrement dit : le chiffrement survient moins souvent, mais lorsqu'il se produit, moins d'organisations font confiance à leurs sauvegardes pour s'en sortir. Elles sortent plutôt le portefeuille.

L'analyse de Sophos elle-même qualifie cela de « confiance réduite dans les capacités de restauration des sauvegardes ». C'est une manière polie de dire quelque chose de plus tranchant :

L'infrastructure de sauvegarde censée protéger les entreprises, comme on le leur avait promis, ne tient pas ses promesses lors d'incidents réels.

Telle est la contradiction au cœur du rapport 2025. Les défenseurs deviennent plus aptes à stopper les attaques tôt. Mais dès qu'une attaque aboutit réellement et que les données sont chiffrées, la couche de restauration qui devrait servir de filet de sécurité est de plus en plus contournée au profit du paiement des criminels.

Ce n'est pas l'histoire d'un rançongiciel devenu plus redoutable. C'est l'histoire d'une architecture de sauvegarde mise à nu.

Pourquoi les sauvegardes échouent-elles au moment de vérité ?

Le rapport Sophos ne répond pas directement à cette question, mais les données qui l'entourent forment un tableau cohérent. D'un point de vue architectural, trois schémas expliquent l'effondrement de la confiance dans les sauvegardes.

Schéma n° 1 : les sauvegardes sont compromises en même temps que la production

Le rapport 2025 montre que 75 % des attaques par rançongiciel impliquent désormais une exfiltration de données avant le chiffrement. Cela signifie que les attaquants modernes passent des jours, voire des semaines, à l'intérieur du réseau, à identifier et à accéder aux systèmes critiques — y compris l'infrastructure de sauvegarde — avant même de déployer la charge de chiffrement.

Dans les missions de réponse à incident que nous observons à l'échelle du secteur, ce temps de présence est systématiquement mis à profit pour faire une chose bien précise : localiser le référentiel de sauvegarde, en récupérer les identifiants, puis le chiffrer, le corrompre ou en supprimer les politiques de rétention quelques heures avant que la charge de production ne se déclenche.

Si votre système de sauvegarde partage un domaine, un fournisseur d'identité ou un jeu d'identifiants avec votre environnement de production, ce n'est pas une couche de restauration. C'est la deuxième cible sur la kill chain.

Schéma n° 2 : « sauvegarde réussie » ne signifie pas « restauration réussie »

Les données de Sophos illustrent clairement le coût humain : l'ensemble des répondants issus d'organisations dont les données ont été chiffrées indiquent que leurs équipes IT/cybersécurité ont été impactées d'une manière ou d'une autre. Stress accru (40 % des répondants en grande entreprise), pression renforcée de la direction (41 %) et changements de direction à la suite de l'incident figuraient parmi les conséquences fréquentes.

Un schéma revient sans cesse dans ces récits : l'équipe découvre, en plein incident, que les sauvegardes qu'elle exploite depuis des années ne peuvent en réalité pas être restaurées à la vitesse ou avec l'exhaustivité que l'entreprise exige. Les journaux des travaux affichent « réussite ». La restauration, elle, raconte une tout autre histoire.

C'est précisément le mode de défaillance que le « 0 » de la règle 3-2-1-1-0 a été conçu pour traiter : zéro erreur lors de la vérification des sauvegardes. Mais la vérification est une chose que la plupart des organisations affirment réaliser, et que très peu réalisent en continu, à grande échelle, face aux scénarios de restauration réels auxquels elles seront confrontées lors d'un véritable incident.

Schéma n° 3 : la couche organisationnelle est le maillon faible

Pour la première fois en 2025, Sophos a interrogé les répondants sur les facteurs organisationnels ayant contribué à leur compromission. Les résultats sont frappants :

• 40,2 % ont cité le « manque d'expertise » — des compétences ou des connaissances insuffisantes pour détecter et stopper l'attaque à temps.
• 40,1 % ont cité les « failles de sécurité inconnues » — des faiblesses dans leurs défenses dont ils ignoraient l'existence.
• Les répondants ont identifié en moyenne 2,7 facteurs contributifs par incident.

Traduisons cela du langage d'enquête : les équipes de sécurité en entreprise savent qu'elles manquent de ressources, savent qu'elles ont des angles morts et savent que la complexité a dépassé leur capacité à la gérer. L'infrastructure de sauvegarde — généralement la couche la moins choyée et la moins modernisée de la stack de l'entreprise — se trouve précisément à l'intersection de ces trois faiblesses.

Lorsque les personnes qui gèrent votre environnement de sauvegarde sont les mêmes que celles qui assurent la réponse à incident, l'application des correctifs, la gestion des identités et une douzaine d'autres priorités, la couche de sauvegarde ne reçoit pas l'attention architecturale dont elle a besoin. Et donc, lorsqu'on lui demande de tenir ses promesses lors d'un incident, elle n'y parvient pas.

Ce que les rapports sectoriels ajoutent au tableau

Sophos a publié plusieurs déclinaisons sectorielles des données 2025, et chacune apporte une nuance qui mérite l'attention.

Dans l'industrie manufacturière, les taux de chiffrement sont tombés à un plus bas sur cinq ans de 40 %, mais la rançon médiane payée a tout de même atteint 1 million de dollars, et 47 % des industriels ont fait état d'un stress accru de leurs équipes après un incident. La dépendance du secteur à la continuité opérationnelle — où quelques minutes d'arrêt se répercutent sur des chaînes d'approvisionnement entières — rend la confiance dans la restauration vitale.

Dans le commerce de détail, 46 % des incidents ont été attribués à une faille de sécurité inconnue, et 58 % des organisations dont les données avaient été chiffrées ont payé la rançon — le deuxième taux de paiement le plus élevé en cinq ans. Les demandes de rançon médianes dans le commerce de détail ont doublé pour atteindre 2 millions de dollars.

Le schéma est constant d'un secteur à l'autre : les organisations deviennent plus aptes à stopper les attaques. Elles ne deviennent pas proportionnellement plus aptes à s'en remettre. L'écart entre la maturité de la prévention et la maturité de la restauration se creuse — et c'est dans cet écart que prospèrent les paiements de rançons.

Ce que recommande le rapport Sophos (et ce qu'il laisse de côté)

Les recommandations de Sophos s'articulent autour de quatre axes : prévention, protection, détection et réponse. Elles sont judicieuses et bien étayées par les données. Concrètement, le rapport recommande :

• D'éliminer les causes profondes techniques et opérationnelles courantes (vulnérabilités exploitées, contrôles d'identité faibles).
• De renforcer la sécurité fondamentale par des configurations durcies, le MFA et une discipline d'application des correctifs.
• D'investir dans des capacités de détection et de réponse managées (MDR).
• De préparer des plans de réponse à incident détaillés.

Tout cela est juste. Tout cela est nécessaire. Mais il existe un cinquième pilier que le rapport ne place pas au centre, et les chiffres 2025 sur l'usage des sauvegardes sont la raison pour laquelle il devrait le faire :

L'architecture de restauration elle-même doit être modernisée — pas seulement défendue.

Un environnement de sauvegarde conçu pour se remettre de pannes matérielles et de suppressions accidentelles n'a rien à voir avec un environnement de sauvegarde conçu pour se remettre d'un adversaire déterminé présent dans le réseau depuis deux semaines. Le premier relève d'un problème de redondance. Le second relève d'un problème d'architecture. Et les données montrent que la plupart des environnements de sauvegarde en entreprise fonctionnent encore comme le premier.

Le déficit de confiance dans les sauvegardes : ce qu'il faut mesurer à la place

Si vous ne devez retenir qu'un seul changement opérationnel du rapport Sophos 2025, que ce soit celui-ci : cessez de mesurer le taux de réussite des sauvegardes, et commencez à mesurer la confiance dans les sauvegardes.

Le taux de réussite des sauvegardes est l'indicateur que votre logiciel de sauvegarde vous offre gratuitement. Il répond à la question : « Le travail s'est-il terminé ? » Cet indicateur n'a désormais plus aucun sens en tant qu'indicateur de restauration. Les attaquants le savent, les défenseurs l'apprennent peu à peu, et l'écart entre ce qu'affiche le tableau de bord et ce qu'un incident produit réellement est précisément l'origine de la chute de 20 points de la restauration fondée sur les sauvegardes.

La confiance dans les sauvegardes est un indicateur différent. Elle pose la question :

• Pouvons-nous restaurer nos systèmes de premier rang depuis un stockage immuable dans le respect de notre RTO annoncé, aujourd'hui, dans des conditions contestées ?
• Nos procédures de restauration fonctionnent-elles lorsque les fournisseurs d'identité de production sont compromis ?
• Avons-nous vérifié que nos politiques de rétention ne peuvent être modifiées par aucun identifiant de niveau production ?
• Surveillons-nous la télémétrie du système de sauvegarde pour y déceler des comportements d'adversaire — et pas seulement l'achèvement des travaux ?
• Lorsque l'on demande à l'équipe de réponse à incident « devons-nous payer ? » — sur quelle base technique repose la réponse ?

Ces questions ont des réponses. La plupart des entreprises ignorent aujourd'hui quelles sont les leurs, et les données Sophos sont la conséquence de cette incertitude qui se joue à grande échelle.

Ce que nous retenons des données Sophos 2025

À la lecture attentive du rapport complet, l'histoire que nous y voyons n'est pas celle que la plupart des synthèses ont racontée. La voici :

Le secteur est devenu nettement plus apte à empêcher les rançongiciels d'atteindre leur pleine charge. C'est une amélioration réelle et importante, qui mérite d'être saluée.

Mais la couche de restauration — la promesse architecturale selon laquelle les organisations n'auraient jamais à payer de rançon parce qu'elles pourraient restaurer à partir de sauvegardes saines — se vide discrètement de sa substance. La chute de 20 points de la restauration fondée sur les sauvegardes, c'est la fumée. Le déficit architectural sous-jacent, c'est le feu.

Pour les entreprises opérant dans des secteurs réglementés, gérant des parcs hybrides complexes ou simplement peu disposées à financer la prochaine campagne de rançongiciel avec leur propre trésorerie, c'est la conversation prioritaire pour 2026. Non pas « avons-nous des sauvegardes ? » — chaque organisation interrogée par Sophos avait des sauvegardes. La question est la suivante : notre architecture de sauvegarde survit-elle à un véritable adversaire, et pouvons-nous le prouver avant d'en avoir besoin ?

Comment BackupSec aborde le déficit de confiance

Chez BackupSec, nous avons bâti notre service sur le principe que les environnements de sauvegarde doivent être observables, accompagnés par des conseils et démontrables dans des conditions adverses — et pas seulement opérationnels dans des conditions nominales. Chaque élément de notre approche répond aux défaillances que les données Sophos mettent au jour :

• ZeroMON — notre plateforme d'observabilité — assure une surveillance continue des opérations de sauvegarde et des signaux de sécurité : suivi des travaux en temps réel, alertes de dérive de configuration, pistes d'audit forensiques, analyse de capacité et visibilité prête pour Veeam. C'est la couche qui détecte les défaillances silencieuses des sauvegardes que les données Sophos laissent entrevoir. C'est la réponse opérationnelle à la question « nos sauvegardes font-elles réellement ce que le tableau de bord prétend qu'elles font ? »
• ZeroTAM — notre service de conseil d'experts — met à la disposition des équipes en entreprise un conseiller dédié en sécurité des sauvegardes pour les revues d'architecture, la planification de la restauration après rançongiciel, la stratégie de capacité et la gestion de crise. C'est la couche humaine qui répond au constat de « manque d'expertise » cité par 40,2 % des répondants de Sophos — sans rotation de tickets de support ni conseils génériques.
• ZeroPEN — notre service de tests d'intrusion des sauvegardes et de validation de restauration — répond directement au déficit de 53 % dans l'usage des sauvegardes. Nous testons l'intrusion de vos plans de gestion des sauvegardes, de vos contrôles d'accès, de vos paramètres d'immuabilité et de votre posture d'isolation à la manière d'un véritable adversaire. Nous exécutons ensuite de réels scénarios de restauration au regard de vos objectifs RTO/RPO et vérifions que les données restaurées sont saines, complètes et exemptes de toute persistance de l'attaquant. Le résultat n'est pas une liste de constats — c'est une preuve documentée que la restauration fonctionne.

BackupSec est déployé on-premise. Nous nous connectons via un accès API en lecture seule. Vos données de sauvegarde, votre télémétrie et vos détails de configuration ne quittent jamais votre environnement. Nous ne remplaçons pas votre plateforme de sauvegarde — nous rendons celle que vous exploitez déjà observable, accompagnée par des conseils et démontrable.

Le taux d'usage des sauvegardes de 53 % relevé dans les données Sophos sur les grandes entreprises n'est pas une fatalité. C'est la conséquence d'une ère architecturale qui s'achève. Les organisations qui combleront le déficit de confiance au cours des douze prochains mois seront celles qui cesseront de figurer dans la colonne « a payé la rançon » du rapport de l'an prochain.

Parlez à BackupSec de la validation de votre capacité de restauration →

Cette analyse s'appuie sur le rapport Sophos State of Ransomware 2025 et sur les publications sectorielles associées. L'interprétation et le cadre présentés ici sont propres à BackupSec. Pour discuter de la manière dont les enseignements 2025 s'appliquent à votre environnement spécifique, contactez notre équipe →