Le problème du 2,7 : pourquoi les victimes de ransomware font généralement face à plus d'une faiblesse

Le chiffre le plus sous-estimé du rapport 2025 de Sophos

Lorsque Sophos a publié son rapport State of Ransomware 2025 en juin 2025, les principaux résultats étaient encourageants. Les données avaient été chiffrées dans 50 % des attaques, contre 70 % en 2024. 53 % des victimes s'étaient entièrement rétablies en moins d'une semaine, contre 35 %. Le paiement de rançon médian a été divisé par deux, de 2 millions à 1 million de dollars. Ces chiffres sont réels, et ils comptent. Mais le rapport explorait aussi, pour la première fois, les facteurs organisationnels qui avaient exposé les entreprises. Une statistique de cette section change, selon nous, la façon dont les responsables des risques en entreprise devraient penser le ransomware.

L'enquête a porté sur 3 400 responsables IT et cybersécurité dans 17 pays, tous issus d'organisations de 100 à 5 000 salariés touchées par un ransomware au cours des 12 mois précédents. Interrogés sur les raisons pour lesquelles leur organisation avait été victime, les répondants ont cité 2,7 facteurs contributifs en moyenne.

Pas un. Pas même deux. En moyenne, les victimes ont désigné près de trois conditions opérationnelles derrière une seule attaque.

Ce n'est pas un détail. C'est un indice solide que la défense contre les ransomwares fondée sur un seul contrôle ne correspond pas à la façon dont les victimes décrivent leurs propres incidents, et que l'architecture de sauvegarde est discrètement devenue l'un des contrôles compensatoires les plus importants de la pile de sécurité de l'entreprise.

Chez BackupSec, nous pensons que le chiffre de 2,7 est le plus utile du rapport sur le plan stratégique. Cet article explique ce qu'il mesure, pourquoi il rend les stratégies fondées uniquement sur la prévention difficiles à défendre, et ce qu'il implique pour les organisations qui traitent encore la sauvegarde comme un sujet secondaire par rapport à la « vraie » sécurité.

Ce que représente réellement le chiffre de 2,7

La question posée par Sophos était "Why do you think your organization fell victim to the ransomware attack?" (pourquoi pensez-vous que votre organisation a été victime de l'attaque de ransomware ?). Les répondants pouvaient choisir plusieurs des sept raisons opérationnelles proposées, et ils en ont choisi 2,7 en moyenne. La liste complète, avec la part des 3 400 répondants ayant cité chacune d'elles :

• Manque d'expertise : 40,2 %. Ne pas disposer des compétences ou des connaissances nécessaires pour détecter et arrêter l'attaque à temps.
• Faille de sécurité inconnue : 40,1 %. Une faiblesse des défenses dont l'organisation n'avait pas conscience.
• Manque de personnel/de capacité : 39,4 %. Pas assez d'experts en cybersécurité pour surveiller les systèmes au moment de l'attaque.
• Manque de protection : 39,0 %. Ne pas disposer des produits et services de cybersécurité nécessaires.
• Faille de sécurité connue mais non traitée : 38,2 %.
• Protection de mauvaise qualité, incapable d'arrêter l'attaque : 37,1 %.
• Erreur humaine : 34,2 %.

Deux conséquences découlent de la façon dont la question a été posée. Le chiffre de 2,7 est une moyenne : certaines victimes ont cité un seul facteur, d'autres plusieurs. Et il enregistre ce que les répondants pensent avoir contribué à l'attaque, pas le résultat d'une investigation forensique. Les facteurs se recoupent aussi. Sophos les regroupe en problèmes de protection (63 % des répondants), problèmes de ressources (63 %) et failles de sécurité (65 %), et ne constate "no single stand-out source." (aucune source qui se détache nettement).

Sophos a interrogé séparément les répondants sur le point d'entrée technique. Les vulnérabilités exploitées étaient la cause première de 32 % des attaques, les identifiants compromis de 23 %, les e-mails malveillants de 19 % et le phishing de 18 %. Ces parts décrivent la manière dont l'attaquant est entré. Le chiffre de 2,7 décrit les conditions qui l'ont entourée.

Le résumé de Sophos elle-même est que "victims are typically facing multiple operational challenges." (les victimes font généralement face à de multiples difficultés opérationnelles). Nous y voyons un problème structurel, et non une série de malchances.

Si les victimes citent généralement près de trois conditions contributives, alors le modèle de défense que la plupart des entreprises appliquent encore, « trouver la faille, combler la faille », fait face à un attaquant qui n'a besoin que d'une seule d'entre elles pour réussir. Pendant ce temps, le défenseur doit toutes les gérer à la fois.

Ce n'est pas un problème de sécurité. C'est un problème d'asymétrie.

L'asymétrie : une porte contre sept

Considérez le calcul du point de vue de l'attaquant.

Un opérateur de ransomware moderne (un groupe aligné sur un État, un affilié RaaS ou une équipe indépendante) n'a pas besoin d'identifier et d'exploiter chaque faiblesse de votre environnement. Il lui faut un seul chemin viable : un système non corrigé, un jeu d'identifiants compromis, un bucket cloud mal configuré, un utilisateur sensible au phishing, une faille d'administration.

Considérez maintenant le calcul du point de vue du défenseur. Vous êtes responsable de :

1. La gestion des vulnérabilités sur des milliers d'actifs, selon des cycles qu'aucune cadence de correctifs ne parvient à devancer de manière fiable.
2. La gouvernance des identités pour les utilisateurs humains, les comptes de service, les identités fédérées et des agents de plus en plus autonomes.
3. La sécurité de la messagerie et des outils collaboratifs, un point d'entrée majeur et celui où la variabilité humaine est la plus forte. Dans l'enquête de Sophos, les e-mails malveillants et le phishing réunis étaient la cause première de 37 % des attaques.
4. La protection des terminaux contre des payloads qui évoluent plus vite que la détection par signatures ne peut s'adapter.
5. La segmentation réseau, conçue face à des modèles de menace qui changent en permanence.
6. La configuration du cloud et du SaaS sur des dizaines, voire des centaines de services, chacun avec son propre modèle de permissions.
7. L'infrastructure de sauvegarde et de récupération, qui doit fonctionner dans des conditions que le reste de votre pile n'a déjà pas su empêcher.

L'attaquant joue une case de cet échiquier. Le défenseur joue les sept, tous les jours, avec des ressources limitées.

Ces sept domaines relèvent de notre propre découpage, et non des sept options de réponse de Sophos. La liste de Sophos décrit des conditions organisationnelles comme l'expertise, la capacité et les failles inconnues, qui traversent tous les domaines ci-dessus. Le chiffre de 2,7 étaye néanmoins l'asymétrie par des données. Les victimes ont décrit leurs attaques (l'enquête portait sur les 12 mois précédents, si bien que beaucoup ont eu lieu en 2024) comme le produit de près de trois conditions contributives en moyenne. Ce n'est pas un signe de négligence. C'est le signe qu'une prévention complète est structurellement difficile à atteindre.

Pourquoi « il suffit de corriger la cause première » est un mauvais calcul

Une réaction courante face à l'analyse d'un incident consiste à identifier la « cause première » et à y remédier. La plupart des analyses post-incident renforcent ce raisonnement. Les données 2025 de Sophos montrent pourquoi ce cadrage, intuitivement satisfaisant, passe à côté de la façon dont les victimes elles-mêmes décrivent ce qui n'a pas fonctionné.

Si les victimes citent en moyenne 2,7 facteurs contributifs, une analyse qui s'arrête à une seule cause première risque d'être incomplète. Elle vous dit par quelle porte l'attaquant est entré. Elle ne vous dit pas pourquoi le bâtiment comptait tant de portes non verrouillées que l'une d'elles allait forcément être disponible.

C'est important sur le plan opérationnel. Les ressources consacrées au vecteur d'entrée précis de l'incident de l'an dernier sont des ressources qui ne vont pas aux lacunes d'architecture qui décideront de l'incident de l'an prochain. Notre lecture des données de Sophos est que les organisations qui fonctionnent sur le mode de la cause première unique sous-investissent probablement dans les contrôles en couches qui déterminent si un quelconque vecteur d'entrée débouche sur une issue catastrophique.

Le recadrage stratégique est le suivant : dans tout environnement d'entreprise suffisamment complexe, les attaquants finiront par trouver un chemin viable. La question qui détermine si ce chemin mène au paiement d'une rançon n'est pas « avons-nous fermé toutes les portes ? », mais « notre architecture survit-elle une fois que l'une d'elles s'ouvre ? »

Le contrôle compensatoire que la plupart des entreprises sous-estiment

Voici l'enseignement d'architecture vers lequel pointe le chiffre de 2,7 : lorsque la prévention échoue avec une certaine régularité, les couches qui déterminent l'issue pour l'activité se déplacent en aval.

C'est là que l'architecture de sauvegarde passe du statut d'« hygiène d'infrastructure » à celui de « contrôle stratégique principal ».

Dans un modèle de menace à vecteur unique, la sauvegarde est une solution de repli. Dans un modèle de menace multifactoriel, la sauvegarde est le contrôle compensatoire des défaillances de prévention qui se produiront. Le premier rapport State of Ransomware in Enterprise 2025 de Sophos, fondé sur les 1 733 répondants issus d'organisations de 1 000 à 5 000 salariés, montre les enjeux :

• 48 % des entreprises victimes dont les données avaient été chiffrées ont payé la rançon pour les récupérer, contre 55 % en 2024.
• Le recours des entreprises aux sauvegardes pour restaurer les données chiffrées est tombé à 53 %, un plus bas sur quatre ans, contre 73 % en 2024.
• Les organisations de 1 000 à 5 000 salariés ont dépensé en moyenne 1,83 million de dollars pour se rétablir, hors rançon éventuellement payée, selon le rapport principal 2025.

Sophos lit ensemble les chiffres de paiement et de sauvegarde comme pointant "to stronger resistance to demands together with weaknesses and lack of backup resilience." (vers une plus forte résistance aux demandes, conjuguée à des faiblesses et à un manque de résilience des sauvegardes). L'éditeur note aussi que 30 % des entreprises dont les données avaient été chiffrées ont utilisé d'autres moyens pour les restaurer ; la baisse du recours aux sauvegardes ne s'explique donc pas uniquement par des sauvegardes défaillantes. Le tableau reste néanmoins cohérent. Moins d'attaques vont jusqu'au chiffrement, mais lorsque c'est le cas, les sauvegardes n'ont assuré la récupération que dans environ la moitié des cas en entreprise. L'écart entre la maturité de la prévention et celle de la récupération est précisément là où se logent les paiements de rançon.

Pour les responsables des risques en entreprise, cela implique une réaffectation précise de l'attention portée à l'architecture. Les investissements dans la détection, l'identité et les correctifs restent tous essentiels. Mais aucun d'eux ne supprime le 2,7. Ils ne font que changer les trois portes ouvertes un jour donné. Le contrôle qui détermine si une porte ouverte devient un incident existentiel est celui que la plupart des organisations ont le moins modernisé : l'architecture qui conserve des copies saines, immuables et validées des données critiques pour l'activité, et qui peut les restaurer en conditions adverses.

À quoi peut ressembler le 2,7 lors d'un incident

Sophos ne décompose pas le 2,7 en séquence ; ce qui suit est donc notre illustration de la manière dont des facteurs contributifs peuvent se combiner dans un environnement d'entreprise, et non des données d'enquête :

Le premier facteur est généralement un vecteur d'entrée : un équipement de périphérie non corrigé, un identifiant compromis réutilisé sur plusieurs systèmes, ou un e-mail de phishing qui a abouti. C'est la défaillance que le rapport post-incident qualifiera de « cause première ».

Le deuxième facteur est généralement une défaillance de privilèges ou de visibilité qui a permis à la prise de pied initiale de s'étendre : des permissions permanentes excessives, des lacunes dans la détection des mouvements latéraux, ou une segmentation insuffisante entre les entités de l'entreprise.

Le troisième facteur est celui sur lequel nous nous concentrons : une défaillance de la couche de récupération qui transforme une violation contenue en rançon payée. Des identifiants de sauvegarde accessibles depuis la production, des politiques de rétention modifiables par des administrateurs compromis, ou des procédures de restauration jamais testées face au scénario auquel l'équipe est désormais confrontée. Sophos fournit ici une donnée ponctuelle : dans le rapport principal 2025, sur les 151 organisations qui ont payé davantage que la demande de rançon initiale, 38 % ont déclaré que leurs sauvegardes avaient échoué ou présentaient des dysfonctionnements.

Les deux premiers facteurs concentrent l'attention lors de la réponse aux incidents. Le troisième décide souvent de l'issue financière, et il est difficile à évaluer honnêtement tant qu'un incident n'impose pas la question.

C'est la réalité opérationnelle que désigne le chiffre de 2,7. Les facteurs n'ont rien d'abstrait : ensemble, ils forment la séquence de défaillances qui transforme un événement de sécurité gérable en crise remontant jusqu'au conseil d'administration.

Ce que cela signifie pour l'allocation des risques

Si vous acceptez que le constat du 2,7 a une portée architecturale (et une enquête auprès de 3 400 organisations victimes le rend difficile à écarter), plusieurs conclusions en matière d'allocation s'imposent.

Diversifiez l'investissement tout au long de la chaîne de défaillances, et non au sein d'une seule couche. Redoubler d'efforts sur la sécurité de la messagerie tout en laissant l'architecture de récupération inchangée modifie le facteur qui cède en premier ; cela ne réduit pas le nombre total de défaillances. Les budgets de sécurité qui allouent une part disproportionnée à la prévention tout en traitant la sauvegarde comme une simple ligne de dépense banalisée reposent sur un modèle de menace qui ne reflète pas la façon dont les victimes décrivent leurs incidents.

Évaluez les architectures face à des scénarios multifactoriels, et non à des tests à vecteur unique. Un test qui confirme qu'une défense tient ne prouve pas que votre environnement survit à une vraie attaque. Dans l'enquête de Sophos, les victimes ont cité près de trois facteurs contributifs en moyenne. Les exercices sur table et les missions de red team devraient être conçus pour tester explicitement cette condition composée.

Mesurez la confiance dans la récupération, et non l'achèvement des sauvegardes. Sophos ne dit pas pourquoi le recours des entreprises aux sauvegardes est tombé à 53 %, et une partie de cette baisse reflète d'autres méthodes de récupération. Notre lecture est que de nombreuses architectures de sauvegarde ont été conçues pour des défaillances à facteur unique (un serveur tombe en panne, un utilisateur supprime un fichier) et doivent désormais fonctionner dans des conditions multifactorielles (l'attaquant est dans le réseau depuis deux semaines et a touché à tout). Ce sont des problèmes différents. La recommandation de Sophos elle-même est de "make quality backups and regularly practice restoring data from them." (réaliser des sauvegardes de qualité et s'exercer régulièrement à restaurer les données à partir de celles-ci).

Traitez la couche de récupération comme le contrôle compensatoire qu'elle est devenue. Puisque la prévention échouera parfois, la couche qui détermine l'issue est celle qui conserve des copies de données saines, isolées et immuables, et qui peut les restaurer rapidement en conditions hostiles. Cette couche doit être architecturée, gouvernée et testée avec la même rigueur que l'environnement de production qu'elle protège.

Où intervient BackupSec

Chez BackupSec, notre approche repose sur un principe : la prévention finira par échouer quelque part, et lorsque cela arrivera, c'est la couche de récupération qui décidera si la défaillance est surmontable ou existentielle.

Trois de nos services répondent aux questions que soulève le chiffre de 2,7 :

• ZeroMON répond à la question « Que fait réellement notre environnement de sauvegarde en ce moment ? » Il surveille Veeam Backup & Replication : état des tâches, modifications de configuration avec qui, quoi et quand (Forensic & Audit), checklist Security Analyzer, rapports, et un honeypot sur l'appliance de supervision. Il affiche l'état d'immuabilité tel que le rapportent les paramètres des référentiels de Veeam lui-même ; il lit la configuration de Veeam et ne vérifie pas les verrous au niveau des objets sur le stockage. Les alertes sont envoyées par e-mail et par notification dans l'application. ZeroMON se déploie sur site sous forme d'OVA, se connecte avec un compte en lecture seule et n'envoie rien à BackupSec ni à aucun tiers.
• ZeroTAM répond à la question « Avons-nous l'expertise nécessaire pour interpréter ce que nous voyons ? » C'est la question qui se cache derrière le facteur le plus fréquent de la liste de Sophos. Un conseiller dédié à la sécurité des sauvegardes couvre l'architecture, la planification de la récupération après ransomware et la capacité, avec un support prioritaire en cas de crise. C'est du conseil, et non un logiciel.
• ZeroPEN répond à la question « Jusqu'où un attaquant irait-il contre nos sauvegardes ? » C'est un test d'intrusion guidé par la menace, portant sur Veeam Backup & Replication, Veeam ONE et Enterprise Manager, qui simule une kill chain de ransomware en huit étapes alignées sur MITRE ATT&CK, de l'accès initial à la neutralisation des sauvegardes, puis à la preuve de capacité de chiffrement. Il est non destructif : il "never deletes real backups, performs real encryption, or stops production or backup services." (ne supprime jamais de vraies sauvegardes, n'effectue aucun chiffrement réel et n'arrête ni les services de production ni les services de sauvegarde). Les constats sont accompagnés de preuves prêtes pour l'audit, et les constats critiques font l'objet d'un nouveau test.

Nous ne remplaçons pas votre plateforme de sauvegarde. Nous aidons à rendre la couche de récupération qu'elle supporte observable, comprise et testée face aux conditions multifactorielles que décrivent les données de Sophos.

Si votre organisation lit le rapport 2025 de Sophos et en conclut que la réponse consiste à fermer toutes les portes, les données vous disent autre chose : les portes ne resteront pas toutes fermées, et l'architecture qui détermine ce qui se passe lorsque l'une d'elles s'ouvre est la conversation qui mérite d'être menée en 2026.

Parlez à BackupSec →

Cette analyse s'appuie sur les rapports State of Ransomware 2025 et State of Ransomware in Enterprise 2025 de Sophos. L'interprétation et le cadre sont ceux de BackupSec. Pour voir comment cette analyse s'applique à votre environnement, contactez notre équipe →