Un chiffre discret qui devrait déclencher toutes les alarmes
Chaque année, Sophos publie son rapport State of Ransomware, fondé sur ce que l'éditeur décrit comme une enquête indépendante et neutre vis-à-vis des fournisseurs, menée auprès de responsables IT et cybersécurité dont l'organisation a été touchée par un ransomware. L'édition 2025, publiée en juin 2025, porte sur 3 400 répondants dans 17 pays, issus d'organisations de 100 à 5 000 salariés. En décembre 2025, Sophos a publié une déclinaison distincte, The State of Ransomware in Enterprise 2025, qui porte sur les 1 733 répondants issus d'entreprises de 1 000 à 5 000 salariés. Sophos nomme chaque rapport d'après l'année de l'enquête (janvier à mars 2025), si bien que nombre des attaques décrites ont eu lieu en 2024.
Les principaux résultats sont encourageants : les taux de chiffrement des données baissent, la récupération s'accélère et moins de victimes paient la rançon.
Mais le rapport consacré aux grandes entreprises contient un chiffre qui devrait figurer sur le tableau blanc de chaque RSSI :
Parmi les entreprises dont les données ont été chiffrées, la part de celles qui ont utilisé des sauvegardes pour les restaurer est passée de 73 % en 2024 à 53 % en 2025. Sophos parle d'un plus bas sur quatre ans.
Relisez bien. L'année même où les défenseurs sont devenus meilleurs pour arrêter les ransomwares avant le chiffrement, les entreprises qui ont tout de même subi un chiffrement étaient nettement moins susceptibles de se rétablir à partir de leurs propres sauvegardes.
Ce n'est pas une note de bas de page anodine. Nous pensons qu'il s'agit du résultat le plus important, sur le plan stratégique, des données de Sophos. Les chiffres principaux racontent une histoire ; les données de récupération en racontent une autre. Cet article passe en revue ce que, selon nous, les données révèlent de la résilience face aux ransomwares, et pourquoi la confiance dans les sauvegardes est devenue l'indicateur qui compte le plus.
Le récit de surface : la défense gagne du terrain
Commençons par les bonnes nouvelles, car il y en a réellement.
Sur l'ensemble des 3 400 répondants du rapport principal 2025 :
- Le chiffrement des données est tombé à 50 % des attaques, contre 70 % en 2024, soit le taux le plus bas en six ans d'étude.
- Le coût moyen de récupération, hors rançon, est passé de 2,73 millions à 1,53 million de dollars.
- Le paiement de rançon médian a baissé de 50 %, de 2 millions de dollars en 2024 à 1 million de dollars en 2025.
- 53 % des victimes s'étaient entièrement rétablies en moins d'une semaine, contre 35 % en 2024.
- 49 % des victimes dont les données avaient été chiffrées ont payé la rançon, contre 56 % en 2024.
Parmi les grandes entreprises, selon le rapport Enterprise :
- Le chiffrement des données est tombé à 49 % des attaques, contre 66 % en 2024.
- La part des attaques stoppées avant le chiffrement a plus que doublé en deux ans, passant de 22 % en 2023 à 47 % en 2025.
Sophos interprète la baisse du chiffrement comme le signe que les organisations "are more capable of stopping attacks before the encrypted payload is deployed" (sont plus capables d'arrêter les attaques avant le déploiement de la charge de chiffrement), et l'accélération de la récupération comme le signe possible d'investissements dans la "cyber incident preparation and recovery readiness" (préparation aux cyberincidents et capacité de récupération). Pris isolément, ces chiffres indiquent que le secteur a franchi un cap.
Puis viennent les données de récupération.
La contradiction qui révèle tout
Voici la donnée qui complique ce récit optimiste.
Parmi les entreprises dont les données ont été chiffrées, 53 % ont utilisé des sauvegardes pour les restaurer, contre 73 % un an plus tôt. Sur la même période, 48 % ont payé la rançon pour récupérer leurs données, contre 55 % (rapport Enterprise). Les deux voies ont reculé. Près d'un tiers (30 %) des entreprises dont les données avaient été chiffrées ont déclaré avoir utilisé d'autres moyens, qui selon Sophos pourraient inclure la "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" (restauration à partir de clichés instantanés, utilisation des fonctions de retour arrière de la protection des terminaux ou récupération de données depuis des systèmes non touchés).
En 2024, les sauvegardes devançaient le paiement de la rançon de 18 points (73 % contre 55 %). En 2025, l'avance n'était plus que de 5 points (53 % contre 48 %). Moins d'entreprises paient, ce qui est une bonne nouvelle. Mais la couche de récupération censée rendre le paiement inutile porte une part moindre de la charge, et non plus grande.
Le résumé de Sophos elle-même est direct : "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience." (prises ensemble, ces constatations traduisent une plus forte résistance aux demandes, conjuguée à des faiblesses et à un manque de résilience des sauvegardes).
Des faiblesses et un manque de résilience des sauvegardes : c'est la partie qui nous intéresse. Les défenseurs arrêtent de mieux en mieux les attaques en amont. Mais lorsqu'une attaque réussit et que les données sont chiffrées, les sauvegardes qui devraient servir de filet de sécurité sont moins souvent utilisées.
Ce n'est pas l'histoire de ransomwares devenus plus difficiles à contrer. C'est l'histoire d'architectures de sauvegarde mises à nu.
Pourquoi les sauvegardes échouent-elles au moment de vérité ?
Les rapports de Sophos ne disent pas pourquoi l'usage des sauvegardes a reculé. L'enquête enregistre la manière dont les données ont été récupérées, pas les raisons pour lesquelles les sauvegardes ont été ou non utilisées. Les trois schémas ci-dessous relèvent de notre interprétation, étayée par les données de Sophos lorsqu'elles existent.
Schéma 1 : les sauvegardes sont compromises en même temps que la production
Les attaquants s'en prennent délibérément aux sauvegardes. Dans l'étude de Sophos de 2024 sur les sauvegardes compromises, 94 % des organisations touchées par un ransomware ont déclaré que les attaquants avaient tenté de compromettre leurs sauvegardes, et 57 % de ces tentatives ont réussi. Les organisations dont les sauvegardes avaient été compromises étaient presque deux fois plus susceptibles de payer la rançon (67 % contre 36 %), et leur coût médian de récupération était huit fois plus élevé (3 millions de dollars contre 375 000 dollars).
Le vol de données accentue la pression. Dans le rapport Enterprise, 30 % des entreprises dont les données avaient été chiffrées s'étaient aussi fait voler des données (15 % de l'ensemble des entreprises victimes). Une restauration propre ne change rien pour des données qui ont déjà quitté l'entreprise.
Si votre système de sauvegarde partage un domaine, un fournisseur d'identité ou un jeu d'identifiants avec votre environnement de production, ce n'est pas une couche de récupération distincte. C'est la cible suivante dans la même kill chain.
Schéma 2 : « sauvegarde réussie » ne veut pas dire « restauration réussie »
Les données Enterprise contiennent un signal direct. Sur les 72 entreprises qui ont payé davantage que la demande de rançon initiale, 42 % ont donné cette raison : "Our backups failed or were malfunctioning" (nos sauvegardes ont échoué ou présentaient des dysfonctionnements) (rapport Enterprise). Le groupe est restreint, mais ce sont des entreprises victimes qui disent en toutes lettres que leurs sauvegardes n'ont pas tenu.
Le coût humain est lui aussi manifeste. Toutes les entreprises dont les données avaient été chiffrées ont signalé des répercussions sur leur équipe IT/cybersécurité : 40 % ont fait état d'une pression accrue de la direction, 39 % d'une anxiété ou d'un stress accrus face aux attaques futures, et dans 27 % des cas, la direction de l'équipe a été remplacée.
Un journal de tâche qui indique « succès » vous dit que la sauvegarde s'est exécutée. Il ne vous dit pas que la restauration fonctionnera avec la rapidité ou l'exhaustivité dont l'activité a besoin.
C'est précisément le mode de défaillance auquel répond le « 0 » de la règle 3-2-1-1-0. Le guide des bonnes pratiques de sécurité de Veeam le définit comme "0 errors" (zéro erreur) lors de la vérification automatique de la restaurabilité de chaque sauvegarde avec SureBackup. Une tâche terminée n'est pas une restauration vérifiée, et la vérification ne compte que si elle teste les scénarios de récupération auxquels vous seriez confronté lors d'un véritable incident.
Schéma 3 : la couche organisationnelle est le maillon faible
Pour la première fois en 2025, Sophos a interrogé les victimes sur les facteurs organisationnels qui les avaient exposées. Sur l'ensemble des 3 400 répondants du rapport principal :
- 40,2 % ont cité un manque d'expertise : l'absence des compétences ou des connaissances nécessaires pour détecter et arrêter l'attaque à temps.
- 40,1 % ont cité des failles de sécurité inconnues : des faiblesses de leurs défenses dont ils n'avaient pas conscience.
- 39,4 % ont cité un manque de personnel ou de capacité.
- Les répondants ont cité en moyenne 2,7 facteurs contributifs.
La déclinaison Enterprise est presque identique : une faille de sécurité inconnue (40 %), un manque de personnel ou de capacité (39,2 %) et un manque d'expertise (38,9 %) arrivent en tête, avec trois facteurs cités en moyenne.
En clair : les équipes de sécurité manquent de personnel et de compétences, et ont des angles morts qu'elles ne voient pas. Nous soutenons que l'infrastructure de sauvegarde se trouve au point de rencontre de ces trois faiblesses. Lorsque les personnes qui l'exploitent gèrent aussi la réponse aux incidents, les correctifs et les identités, elle reçoit rarement une attention architecturale avant qu'un incident ne lui demande de tenir ses promesses.
Ce qu'ajoutent les rapports sectoriels
Sophos a également publié des déclinaisons sectorielles de l'enquête 2025.
Dans l'industrie manufacturière et la production (332 répondants), le taux de chiffrement est tombé à 40 %, le plus bas en cinq ans, et le paiement de rançon médian était de 1 million de dollars, contre 1,2 million. 47 % ont fait état d'une anxiété ou d'un stress accrus face aux attaques futures au sein de l'équipe IT/cybersécurité. L'usage des sauvegardes est resté stable à 58 %.
Dans la distribution (361 répondants dans 16 pays), le taux de chiffrement est tombé à 48 %, lui aussi un plus bas sur cinq ans. Une faille de sécurité inconnue était le facteur opérationnel le plus fréquent, cité par 46 % des victimes. 58 % des distributeurs dont les données avaient été chiffrées ont payé la rançon, ce que Sophos qualifie de "the second highest ransom payment rate in five years" (deuxième taux de paiement de rançon le plus élevé en cinq ans). La demande de rançon médiane a doublé, de 1 million à 2 millions de dollars, et l'usage des sauvegardes est tombé à 62 %, le plus bas en quatre ans.
Le tableau sectoriel est contrasté : l'usage des sauvegardes a reculé dans la distribution et s'est maintenu dans l'industrie. Ce que les rapports sectoriels ont en commun avec les données Enterprise, c'est que la prévention progresse plus vite que la récupération par les sauvegardes. Les taux de chiffrement ont baissé dans les deux secteurs, tandis que l'usage des sauvegardes a reculé ou stagné. C'est dans cet écart entre la maturité de la prévention et celle de la récupération que se logent, selon nous, les paiements de rançon.
Ce que recommande le rapport de Sophos (et là où nous mettrions davantage l'accent)
Le rapport principal et le rapport Enterprise se concluent par les mêmes quatre recommandations :
- Prévention : éliminer les causes premières techniques et opérationnelles identifiées par le rapport.
- Protection : une sécurité de base solide, avec des terminaux (serveurs compris) bien défendus, y compris une protection anti-ransomware dédiée capable d'arrêter un chiffrement malveillant et d'en annuler les effets.
- Détection et réponse : une détection et une réponse aux menaces 24 h/24, via un prestataire de détection et réponse managées (MDR) si vous n'avez pas les ressources ou les compétences en interne.
- Planification et préparation : un plan de réponse aux incidents que vous savez parfaitement déployer, ainsi que des sauvegardes de qualité et des exercices réguliers de restauration des données à partir de celles-ci.
Tout cela est juste. Les sauvegardes y figurent, en une phrase, sous la planification et la préparation. Au vu des chiffres de sauvegarde des grandes entreprises, nous donnerions plus de poids à la récupération :
L'architecture de récupération elle-même doit être modernisée, et pas seulement défendue.
Un environnement de sauvegarde conçu pour se remettre de pannes matérielles et de suppressions accidentelles n'est pas le même qu'un environnement conçu pour se remettre d'un adversaire déjà présent dans le réseau, qui s'en prend d'abord aux sauvegardes. Le premier est un problème de redondance. Le second est un problème d'architecture. S'exercer aux restaurations est nécessaire, mais cela ne sert à rien si l'attaquant peut atteindre les sauvegardes avec lesquelles vous vous êtes exercé.
L'écart de confiance dans les sauvegardes : ce qu'il faut mesurer à la place
Si vous ne retenez qu'un seul changement opérationnel des données 2025 de Sophos, que ce soit celui-ci : cessez de considérer le taux de réussite des sauvegardes comme votre indicateur de récupération, et commencez à mesurer la confiance dans les sauvegardes.
Le taux de réussite des sauvegardes est l'indicateur que votre logiciel de sauvegarde vous fournit gratuitement. Il répond à une seule question : la tâche s'est-elle terminée ? À lui seul, ce n'est pas un indicateur de récupération. Nous pensons que l'écart entre ce qu'affiche le tableau de bord et ce que produit un incident explique en partie la baisse de 20 points de la récupération par les sauvegardes.
La confiance dans les sauvegardes pose d'autres questions :
- Pouvons-nous restaurer les systèmes de premier niveau depuis un stockage immuable dans le respect de notre RTO déclaré, aujourd'hui, en conditions hostiles ?
- Nos procédures de récupération fonctionnent-elles lorsque les fournisseurs d'identité de production sont compromis ?
- Avons-nous vérifié que nos politiques de rétention ne peuvent être modifiées par aucun identifiant du niveau de production ?
- Surveillons-nous la télémétrie du système de sauvegarde pour y repérer un comportement adverse, et pas seulement l'achèvement des tâches ?
- Lorsque l'équipe de réponse aux incidents se voit demander « faut-il payer ? », sur quelle base technique repose la réponse ?
Ces questions ont des réponses. Beaucoup d'entreprises ne connaissent pas encore les leurs.
Ce que nous retenons des données 2025 de Sophos
À la lecture complète des rapports, voici l'histoire que nous y voyons.
Les organisations sont devenues nettement meilleures pour arrêter les ransomwares avant qu'ils ne chiffrent les données. C'est un vrai progrès, et il mérite d'être reconnu.
Mais la couche de récupération, cette promesse que les organisations n'auraient jamais à payer puisqu'elles pourraient restaurer à partir de sauvegardes saines, porte une part moindre de la charge. Dans les données Enterprise, la baisse de 20 points de la récupération par les sauvegardes est la fumée. Nous pensons que la faille architecturale sous-jacente est le feu.
Pour les entreprises des secteurs réglementés, celles qui exploitent des parcs hybrides complexes, ou simplement celles qui refusent de financer la prochaine campagne de ransomware, c'est maintenant qu'il faut avoir cette conversation. La question n'est pas « avons-nous des sauvegardes ? ». Elle est la suivante : notre architecture de sauvegarde résiste-t-elle à un véritable adversaire, et pouvons-nous le prouver avant d'en avoir besoin ?
Comment BackupSec aborde l'écart de confiance
Chez BackupSec, nous partons du principe que les environnements de sauvegarde doivent être observables et testés en conditions adverses, et pas seulement opérationnels en conditions normales. Trois de nos services correspondent aux défaillances décrites ci-dessus :
- ZeroMON surveille Veeam Backup & Replication : état des tâches, dérive de configuration avec une piste Forensic & Audit indiquant qui a changé quoi et quand, checklist Security Analyzer, rapports, et un honeypot sur l'appliance de supervision. Il affiche l'état d'immuabilité tel que le rapportent les paramètres des référentiels de Veeam lui-même ; il lit la configuration de Veeam et ne vérifie pas les verrous au niveau des objets sur le stockage. Les alertes sont envoyées par e-mail et par notification dans l'application. ZeroMON se déploie sur site sous forme d'OVA et se connecte avec un compte en lecture seule, et rien de ce qu'il collecte n'est envoyé à BackupSec ni à aucun tiers.
- ZeroTAM met à la disposition de votre équipe un conseiller dédié à la sécurité des sauvegardes pour les revues d'architecture, la planification de la récupération après ransomware, la planification de la capacité et un support prioritaire en cas de crise. C'est un service de conseil, et non un logiciel, qui répond directement aux constats de manque d'expertise et de manque de capacité évoqués plus haut.
- ZeroPEN est un test d'intrusion guidé par la menace, portant sur Veeam Backup & Replication, Veeam ONE et Enterprise Manager. Il simule une kill chain de ransomware alignée sur MITRE ATT&CK en huit étapes : accès initial, découverte et inventaire, abus d'identifiants, compromission du serveur Veeam, accès aux référentiels, neutralisation des sauvegardes, simulation d'exfiltration et preuve de capacité de chiffrement. Il est non destructif : ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (ne supprime jamais de vraies sauvegardes, n'effectue aucun chiffrement réel et n'arrête ni les services de production ni les services de sauvegarde). La mission inclut également une vérification de l'intégrité des restaurations et de l'immuabilité, et se conclut par un dossier de rapport prêt pour l'audit et un nouveau test pour les constats critiques.
Nous ne remplaçons pas votre plateforme de sauvegarde. Nous vous aidons à voir et à tester celle que vous exploitez déjà.
Les 53 % des données Enterprise de Sophos ne sont pas une fatalité. Selon nous, ils reflètent des architectures de sauvegarde conçues pour une autre menace.
Parlez à BackupSec de la sécurité de vos sauvegardes →
Cette analyse s'appuie sur le rapport State of Ransomware 2025 de Sophos, sur son rapport State of Ransomware in Enterprise 2025 et sur ses rapports sectoriels 2025. L'interprétation est celle de BackupSec. Sophos a depuis publié The State of Ransomware 2026 ; cet article porte sur les données 2025. Pour voir comment ces constats s'appliquent à votre environnement, contactez notre équipe →