Le problème du 2,7 : pourquoi les rançongiciels modernes gagnent toujours, les mathématiques de leur côté

Le chiffre le plus sous-estimé du rapport Sophos 2025

Lorsque Sophos a publié son rapport State of Ransomware 2025, la plupart des analyses se sont concentrées sur les indicateurs phares : baisse des taux de chiffrement, amélioration des délais de restauration, recul des paiements de rançon. Ces chiffres sont réels, et ils comptent. Mais au fond d'une section du rapport explorée pour la première fois cette année — les facteurs organisationnels qui ont laissé les entreprises exposées — se cache une statistique unique qui, selon nous, redéfinit entièrement la façon dont les responsables des risques en entreprise devraient appréhender les rançongiciels.

Parmi les 3 400 organisations interrogées, les victimes ont identifié en moyenne 2,7 facteurs contributifs différents à l'origine des attaques qui ont réussi contre elles.

Pas une. Pas même deux. Près de trois faiblesses indépendantes agissant simultanément dans chaque incident réussi.

Ce n'est pas une note de bas de page. C'est la preuve mathématique que l'ère de la défense contre les rançongiciels reposant sur un contrôle unique est révolue — et que l'architecture de sauvegarde est discrètement devenue le contrôle compensatoire le plus important de la stack d'entreprise moderne.

Chez BackupSec, nous estimons que le chiffre de 2,7 est le plus stratégiquement utile de tout le rapport. Cet article décrypte ce qu'il signifie réellement, pourquoi il rend les stratégies axées uniquement sur la prévention mathématiquement intenables, et ce qu'il implique pour les organisations qui considèrent encore la sauvegarde comme un accessoire de la « vraie » sécurité.

Ce que représente réellement le 2,7

Dans le rapport Sophos 2025, pour la première fois, il a été demandé aux répondants d'identifier les facteurs organisationnels qui ont contribué à ce qu'ils soient touchés — pas seulement le point d'entrée technique, mais les conditions opérationnelles plus larges qui les ont rendus vulnérables. Les résultats brossent un tableau qu'aucun résumé exécutif ne saisit clairement :

• 40,2 % ont cité un manque d'expertise — des compétences ou des connaissances insuffisantes pour détecter et arrêter l'attaque à temps.
• 40,1 % ont cité des failles de sécurité inconnues — des faiblesses dans leurs défenses dont ils ignoraient l'existence jusqu'à l'incident.
• Des pourcentages significatifs ont cité un manque de capacité, une absence de produits de protection, des lacunes dans la discipline des processus et une visibilité incomplète sur leur propre surface d'attaque.
• Des causes techniques sous-jacentes s'y sont ajoutées : vulnérabilités exploitées (32 %), identifiants compromis (23 %), e-mails malveillants (19 %) et hameçonnage (18 %).

Lorsque les répondants ont additionné les facteurs qu'ils estimaient avoir contribué à leur incident, la moyenne s'est établie à 2,7. Sophos parle d'« une situation complexe et à multiples facettes ». Nous lui donnerions un nom plus précis : une fatalité structurelle.

Si chaque incident de rançongiciel réussi en 2025 a impliqué près de trois défaillances indépendantes, alors le modèle de défense implicite selon lequel la plupart des entreprises opèrent encore — « trouver la faille, combler la faille » — affronte un attaquant qui n'a besoin de trouver qu'une seule des trois. Pendant ce temps, le défenseur doit toutes les gérer simultanément.

Ce n'est pas un problème de sécurité. C'est un problème d'asymétrie.

L'asymétrie : une porte contre sept

Considérez les mathématiques du point de vue de l'attaquant.

Un opérateur de rançongiciel moderne — qu'il s'agisse d'un groupe affilié à un État, d'un affilié RaaS ou d'un opérateur indépendant — n'a pas besoin d'identifier et d'exploiter chaque faiblesse de votre environnement. Il lui suffit de trouver un seul chemin viable : un système non corrigé, un jeu d'identifiants compromis, un bucket cloud mal configuré, un utilisateur sensible à l'hameçonnage, une faille administrative.

Considérez maintenant les mathématiques du point de vue du défenseur. Vous êtes responsable de :

1. la gestion des vulnérabilités sur des milliers d'actifs, selon des cycles qu'aucune cadence de correctifs ne devance de manière fiable.
2. la gouvernance des identités couvrant les utilisateurs humains, les comptes de service, les identités fédérées et des agents de plus en plus autonomes.
3. la sécurité de la messagerie et de la collaboration, le point d'entrée le plus courant et celui qui présente la plus grande variabilité humaine.
4. la protection des terminaux face à des charges utiles qui évoluent plus vite que ne peut s'adapter la détection par signature.
5. la segmentation réseau conçue face à des modèles de menace qui évoluent en permanence.
6. la configuration cloud et SaaS répartie sur des dizaines ou des centaines de services, chacun avec son propre modèle de permissions.
7. l'infrastructure de sauvegarde et de restauration qui doit fonctionner dans des conditions que le reste de votre stack n'a déjà pas su empêcher.

L'attaquant ne joue qu'une seule case sur cet échiquier. Le défenseur joue les sept, chaque jour, avec des ressources limitées.

Le chiffre de 2,7 de Sophos est la confirmation empirique que cette asymétrie n'est plus hypothétique. Dans les incidents réels survenus en 2025, les défenseurs échouaient sur près de trois cases simultanément — non par négligence, mais parce que le modèle est structurellement biaisé contre une prévention complète.

Pourquoi « il suffit de corriger la cause racine » est un mauvais calcul

Une réponse courante à l'analyse d'incident consiste à identifier la « cause racine » et à y remédier. Les cadres de conformité renforcent ce raisonnement. La plupart des revues post-incident aussi. Les données Sophos 2025 révèlent pourquoi cette approche, bien qu'intuitivement satisfaisante, est de plus en plus déconnectée de la façon dont les incidents modernes se déroulent réellement.

Si l'incident réussi moyen implique 2,7 facteurs contributifs, alors identifier une seule cause racine constitue, par définition, une analyse incomplète. Cela vous indique par quelle porte l'attaquant est passé — pas pourquoi le bâtiment comptait tant de portes déverrouillées que l'une d'elles allait forcément être disponible.

Cela compte sur le plan opérationnel, car les ressources consacrées à se focaliser sur le vecteur d'entrée précis de l'incident de l'année dernière sont autant de ressources non consacrées aux lacunes architecturales qui détermineront celui de l'année prochaine. Les données Sophos laissent entendre que les organisations fonctionnant en mode « cause racine unique » sous-investissent systématiquement dans les contrôles en couches qui déterminent si n'importe quel vecteur d'entrée mène à une issue catastrophique.

Le recadrage stratégique est le suivant : dans tout environnement d'entreprise suffisamment complexe, les attaquants finiront par trouver un chemin viable. La question qui détermine si ce chemin aboutit à une rançon payée n'est pas « avons-nous fermé toutes les portes ? » mais « notre architecture survit-elle dès qu'une d'elles s'ouvre ? »

Le contrôle compensatoire que la plupart des entreprises sous-estiment

Voici l'enseignement architectural que le chiffre de 2,7 rend incontournable : lorsque la prévention échouera avec une régularité mathématique, les couches qui déterminent les résultats métier se déplacent en aval.

C'est là que l'architecture de sauvegarde passe d'« hygiène d'infrastructure » à « contrôle stratégique de premier plan ».

Dans un modèle de menace à vecteur unique, la sauvegarde est un filet de sécurité. Dans un modèle de menace à 2,7 facteurs, la sauvegarde est le contrôle compensatoire de chaque défaillance de prévention qui surviendra inévitablement. Les données Sophos 2025 le montrent en termes crus :

• 48 % des grandes organisations ont payé la rançon malgré les progrès en matière de prévention.
• Le recours aux sauvegardes pour restaurer les données chiffrées est tombé à un plus bas de quatre ans, à 53 %, contre 73 % l'année précédente.
• Le coût moyen de restauration en entreprise a atteint 1,83 million de dollars pour les organisations comptant 1 000 à 5 000 employés — et ce chiffre exclut toute rançon versée.

Lorsque l'on lit ces chiffres à l'aune du contexte des 2,7 facteurs, l'histoire devient cohérente : les organisations s'améliorent dans la prévention de certaines attaques mais n'améliorent pas l'architecture de restauration qui détermine les résultats lorsque la prévention échoue. Le résultat est un écart grandissant entre la maturité de prévention et la maturité de restauration — et c'est précisément dans cet écart que se logent les paiements de rançon.

Pour les responsables des risques en entreprise, cela implique une réaffectation précise de l'attention architecturale. Les investissements dans la détection, l'identité et l'application des correctifs restent tous essentiels. Mais aucun d'eux n'élimine le 2,7. Ils ne font que déplacer les trois portes ouvertes un jour donné. Le contrôle qui détermine si une porte ouverte devient un incident existentiel est celui que la plupart des organisations ont le moins modernisé : l'architecture qui détient des copies propres, immuables et validées des données critiques pour l'activité, et qui peut les restaurer dans des conditions hostiles.

À quoi ressemble le 2,7 dans un incident réel

Pour rendre cela concret, voyons comment le 2,7 se compose généralement dans un environnement d'entreprise réel. Les facteurs précis varient, mais le schéma est constant :

Le premier facteur est généralement un vecteur d'entrée : un équipement de périphérie non corrigé, un identifiant compromis réutilisé sur plusieurs systèmes ou un e-mail d'hameçonnage réussi. C'est la défaillance que le rapport post-incident qualifiera de « cause racine ».

Le deuxième facteur est typiquement une défaillance de privilèges ou de visibilité qui a permis au point d'ancrage initial de s'étendre : des permissions permanentes excessives, des lacunes dans la détection des mouvements latéraux ou une segmentation inadéquate entre les unités métier.

Le troisième facteur est presque toujours une défaillance de la couche de restauration qui a transformé une compromission contenue en rançon payée : des identifiants de sauvegarde accessibles depuis la production, des politiques de rétention modifiables par des administrateurs compromis, ou des procédures de restauration qui n'ont jamais été testées face au scénario réel auquel l'équipe est désormais confrontée.

Les deux premiers facteurs accaparent l'attention lors de la réponse à incident. Le troisième détermine l'issue financière. Et c'est le troisième que la plupart des entreprises sont le moins équipées pour évaluer honnêtement avant qu'un incident n'impose la question.

Voilà la réalité opérationnelle que désigne le chiffre de 2,7. Les facteurs ne sont pas abstraits — ils constituent la séquence précise de défaillances qui transforment un événement de sécurité gérable en une crise au niveau du conseil d'administration.

Ce que cela signifie pour l'allocation du risque

Si vous admettez que le constat des 2,7 a une portée architecturale — et le jeu de données Sophos sous-jacent de 3 400 organisations rend la chose difficile à écarter — plusieurs conclusions sur l'allocation s'imposent.

Diversifiez l'investissement sur l'ensemble de la chaîne de défaillance, et non au sein d'une seule couche. Renforcer la sécurité de la messagerie tout en laissant inchangée l'architecture de restauration ne fait que modifier l'ordre dans lequel les facteurs échouent ; cela ne réduit pas le nombre total de défaillances. Les budgets de sécurité d'entreprise qui allouent une part disproportionnée à la prévention tout en traitant la sauvegarde comme une simple ligne de dépense banalisée opèrent face à un modèle de menace qui ne reflète plus la façon dont les incidents se déroulent réellement.

Évaluez les architectures face à des scénarios multifactoriels, et non à des tests à vecteur unique. Un test d'intrusion qui confirme qu'une défense tient n'est pas la preuve que votre environnement survit à une attaque réelle. Les données Sophos montrent que les attaques réelles exploitent près de trois faiblesses simultanément. Les exercices sur table et les missions de red team devraient être conçus pour tester explicitement cette condition combinée.

Mesurez la confiance dans la restauration, et non l'achèvement des sauvegardes. Le taux de recours aux sauvegardes de 53 % dans les données Sophos sur les entreprises n'est pas une histoire de sauvegardes qui échouent en général. C'est l'histoire d'architectures de sauvegarde conçues pour des défaillances à facteur unique (un serveur est tombé en panne, un utilisateur a supprimé un fichier) à qui l'on demande de fonctionner dans des conditions multifactorielles (l'attaquant est dans le réseau depuis deux semaines et a touché à tout). Ce sont des problèmes différents, et la plupart des environnements de sauvegarde d'entreprise ont été bâtis pour le premier.

Traitez la couche de restauration comme le contrôle compensatoire qu'elle est devenue. Lorsque la prévention échouera avec une régularité mathématique, la couche qui détermine les résultats est celle qui détient des copies propres, isolées et immuables des données et peut les restaurer rapidement dans des conditions hostiles. Cette couche doit être architecturée, gouvernée et testée avec la même rigueur que l'environnement de production qu'elle protège.

Là où BackupSec intervient

Chez BackupSec, toute notre approche repose sur une unique prémisse architecturale : la prévention finira par échouer, et lorsque cela arrivera, c'est la couche de restauration qui déterminera si la défaillance est récupérable ou existentielle.

Le constat des 2,7 issu des données Sophos constitue, à bien des égards, la justification empirique de cette prémisse. Les trois services que nous proposons — observabilité, conseil et preuve de restauration éprouvée par test d'intrusion — sont conçus pour répondre aux questions que le chiffre de 2,7 oblige les responsables des risques en entreprise à affronter :

• ZeroMON répond à « Que fait réellement notre environnement de sauvegarde en ce moment ? » — grâce à la surveillance continue des opérations de sauvegarde et des signaux de sécurité, à des pistes d'audit forensiques en temps réel, à la détection de la dérive de configuration et à une visibilité prête pour Veeam sur l'ensemble du parc de sauvegarde.
• ZeroTAM répond à « Avons-nous l'expertise pour interpréter ce que nous observons ? » — grâce à un conseiller dédié en sécurité des sauvegardes qui connaît votre environnement, vos priorités de restauration et votre architecture, disponible pour des conseils proactifs et une réponse de crise, sans la friction de tickets de support qui changent sans cesse de mains.
• ZeroPEN répond à « Pouvons-nous réellement restaurer lorsque la couche de prévention échoue ? » — grâce à des tests d'intrusion des sauvegardes qui ciblent vos plans de gestion, vos contrôles d'accès et votre posture d'immuabilité, suivis de scénarios de restauration réels qui valident une restauration propre, complète et dans les temps au regard de vos objectifs RTO et RPO déclarés.

BackupSec est déployé on-premise, se connecte via un accès API en lecture seule et ne déplace jamais les données de sauvegarde ni la télémétrie en dehors de votre environnement. Nous ne remplaçons pas votre plateforme de sauvegarde — nous rendons la couche de restauration qu'elle prend en charge observable, conseillable et démontrable dans les conditions multifactorielles que décrivent les données Sophos.

Si votre organisation lit le rapport Sophos 2025 et en conclut que la solution est de fermer toutes les portes, les données vous disent autre chose : les portes ne resteront pas toutes fermées, et l'architecture qui détermine ce qui se passe quand l'une d'elles s'ouvre est la conversation qui mérite d'être menée en 2026.

Parlez à BackupSec de la validation de restauration →

Cette analyse s'appuie sur le rapport Sophos State of Ransomware 2025 et sur l'ensemble des recherches consacrées aux rançongiciels en 2025. L'interprétation et le cadre présentés ici sont propres à BackupSec. Pour discuter de la façon dont cette analyse s'applique à votre environnement spécifique, contactez notre équipe →