Le constat le plus ennuyeux du rapport Sophos 2025 est aussi le plus important
Chaque année, le débat sur les rançongiciels s'amplifie autour des nouvelles techniques d'attaque. Hameçonnage généré par IA. Ingénierie sociale par deepfake. Apprentissage automatique adverse. Binaires « living-off-the-land ». Compromissions de la chaîne d'approvisionnement via des dépendances obscures. Le récit suggère invariablement que les défenseurs font face à une menace fondamentalement nouvelle qui exige des outils fondamentalement nouveaux.
Et chaque année, le rapport State of Ransomware de Sophos revient, à l'issue d'une enquête indépendante de tout éditeur menée auprès de milliers de victimes, avec la même réponse démodée.
Pour la troisième année consécutive, les vulnérabilités exploitées constituent la cause racine technique la plus fréquente des incidents de rançongiciel — responsables de 32 % des attaques en 2025.
Pas de techniques d'IA inédites. Pas de failles « zero-day ». Pas d'attaques exotiques de la chaîne d'approvisionnement. Des correctifs qui existaient mais n'ont pas été appliqués. Des configurations dont on savait qu'elles étaient erronées. Des CVE assorties d'exploits publics et d'avis d'éditeurs qui ont atterri dans une file d'attente sans jamais en ressortir.
C'est le constat qui devrait mettre mal à l'aise tout responsable de la sécurité en entreprise, car il ne peut être résolu par l'achat d'un nouvel outil. Il s'agit d'un problème structurel lié à la manière dont les environnements d'entreprise accumulent de la dette technique — et les données de 2025 suggèrent qu'aucun investissement dans la détection avancée ne parvient à le combler.
Chez BackupSec, nous interprétons la persistance de l'exploitation de vulnérabilités comme cause racine n° 1 comme un signal stratégique : l'écart entre les faiblesses de sécurité connues et les faiblesses de sécurité corrigées est l'indicateur le plus fiable pour prédire quelles organisations figureront, l'an prochain, dans la colonne « a payé la rançon ». Cet article décortique pourquoi cet écart persiste, pourquoi il ne peut être comblé par la seule prévention, et quelles en sont les implications architecturales pour les organisations qui opèrent en 2026.
Ce que montrent réellement les données Sophos
Le rapport Sophos 2025 a interrogé 3,400 responsables IT et cybersécurité dans 17 pays, tous issus d'organisations ayant été frappées par un rançongiciel au cours des douze mois précédents. Interrogés sur la cause racine technique de leur incident, la répartition s'est révélée remarquablement constante d'une année sur l'autre :
- Vulnérabilités exploitées : 32 % des attaques — la cause n° 1 pour la troisième année consécutive.
- Identifiants compromis : 23 % — en baisse par rapport aux 29 % de 2024.
- Courriels malveillants : 19 %.
- Hameçonnage : 18 % — en hausse par rapport aux 11 % de l'année précédente.
Les rapports sectoriels renforcent ce constat. Dans l'industrie manufacturière, les vulnérabilités exploitées représentaient 32 % des incidents — là encore la cause principale. Dans le commerce de détail, le chiffre s'élevait à 30 %, également en tête. Dans pratiquement chaque découpage sectoriel publié par Sophos, le même constat persiste : un tiers de toutes les attaques de rançongiciel réussies commencent par une vulnérabilité que l'éditeur a déjà corrigée, dont l'équipe de sécurité est théoriquement consciente, et que l'attaquant a simplement atteinte en premier.
Ce qui rend ce constat stratégiquement important, ce n'est pas seulement sa constance. C'est le fait qu'il soit demeuré la cause n° 1 malgré trois années d'investissements intenses du secteur dans les outils de gestion des vulnérabilités, les plateformes de gestion de la surface d'attaque, les services d'évaluation de l'exposition et l'automatisation des correctifs. L'investissement a été considérable. Le résultat est resté inchangé.
Cela devrait nous apprendre quelque chose d'architectural sur le problème.
Pourquoi l'application de correctifs échoue — même quand les organisations s'y emploient
La réponse intuitive à « 32 % des attaques commencent par des vulnérabilités connues » est « alors appliquez les correctifs plus vite ». Cette réponse est correcte mais opérationnellement insuffisante, et les raisons pour lesquelles elle échoue méritent un examen honnête.
Le problème du dénominateur. Une entreprise de taille moyenne typique gère des milliers de composants logiciels distincts répartis entre systèmes d'exploitation, applications, microprogrammes, images de conteneurs et configurations SaaS. Les avis d'éditeurs arrivent en continu. Même une équipe de sécurité au sommet de sa forme ne peut corriger chaque composant le jour où une CVE est publiée. Le dénominateur des « éléments qui pourraient être exploités » est structurellement plus grand que la capacité des « éléments qui peuvent être corrigés cette semaine ».
Le problème de la criticité. De nombreux correctifs nécessitent une interruption de service, des tests de non-régression ou une coordination avec les responsables métier qui protègent la continuité du chiffre d'affaires. Les systèmes qui ont le plus besoin de correctifs — les applications exposées à l'extérieur, les systèmes de production hérités, l'infrastructure OT et de contrôle industriel — sont souvent ceux pour lesquels le coût métier d'une interruption est le plus élevé. Les correctifs sont donc planifiés, reportés, regroupés, puis finalement oubliés. Les attaquants le savent ; ils ciblent spécifiquement les catégories de systèmes les plus susceptibles de porter une dette de maintenance.
Le problème de la découverte. On ne peut corriger ce que l'on ne voit pas. Les propres données de Sophos montrent que des failles de sécurité inconnues ont été citées par plus de 40 % des victimes comme facteurs contributifs. Dans le commerce de détail en particulier, 46 % des incidents remontaient à des failles inconnues. Il ne s'agit pas de vulnérabilités que les organisations ont choisi de ne pas corriger — ce sont des vulnérabilités dont les organisations ignoraient l'existence. Shadow IT, systèmes non documentés, charges de travail cloud oubliées, intégrations tierces avec leurs propres arborescences de dépendances : la surface d'attaque de l'entreprise moderne est véritablement difficile à recenser, et l'écart entre ce que montre votre inventaire d'actifs et ce qu'un attaquant peut réellement atteindre est l'endroit où vit la majorité des vulnérabilités exploitées.
Le problème de la fenêtre. Même lorsqu'une vulnérabilité est connue et qu'un correctif est disponible, le délai entre la divulgation et l'exploitation active s'est considérablement réduit. Les acteurs malveillants surveillent les avis d'éditeurs avec la même diligence que les équipes de sécurité, et des exploits armés visant des CVE à fort impact apparaissent désormais couramment en quelques jours — parfois quelques heures — après la divulgation. La fenêtre d'application des correctifs qui existait il y a cinq ans n'existe plus pour aucune vulnérabilité suffisamment grave pour attirer l'attention.
Aucun de ces problèmes ne se résout par l'achat d'un énième outil de gestion des vulnérabilités. Ce sont des caractéristiques structurelles du fonctionnement des environnements d'entreprise, et elles expliquent pourquoi le chiffre de 32 % n'a pas bougé en trois ans malgré d'énormes investissements défensifs.
La diversion de l'IA
Cela mérite d'être abordé directement : les données Sophos 2025 constituent aussi un correctif utile au récit dominant sur les attaques pilotées par l'IA.
Le débat du secteur en 2025 était fortement orienté autour des campagnes d'hameçonnage générées par IA, de l'ingénierie sociale propulsée par deepfake et de l'évasion rendue possible par l'apprentissage automatique. Ces menaces sont réelles et méritent l'attention — d'autant plus que des recherches montrent qu'une large majorité des courriels d'hameçonnage contiennent désormais du contenu généré par IA.
Mais les données Sophos offrent un utile retour à la réalité sur l'endroit où les budgets et l'attention devraient réellement être alloués. L'hameçonnage renforcé par l'IA contribue à la hausse des incidents liés à l'hameçonnage (de 11 % à 18 % d'une année sur l'autre). Il ne supplante toutefois pas l'exploitation de vulnérabilités comme vecteur d'entrée dominant. Le tiers de toutes les attaques qui commencent par des systèmes non corrigés ne diminue pas parce que les attaquants ont accès à de meilleurs modèles de langage. Si tant est qu'il y ait un effet, le débat sur l'IA a fait office de diversion par rapport au problème structurel et peu glorieux qui cause discrètement un tiers de tous les incidents de rançongiciel depuis trois années consécutives.
L'implication stratégique pour les responsables des risques en entreprise est de se méfier de tout récit d'éditeur suggérant que l'investissement défensif le plus important est le plus récent. Les données Sophos pointent dans une autre direction : l'investissement défensif le plus important pourrait bien être celui qui rend le problème ennuyeux et structurel de la gestion des vulnérabilités moins déterminant pour les résultats globaux.
Ce que « moins déterminant » signifie réellement
Voici l'éclairage architectural qui découle de l'acceptation que l'exploitation de vulnérabilités ne peut être totalement éliminée : si un tiers de toutes les attaques continueront de commencer par un correctif que vous n'avez pas appliqué à temps, alors la question stratégique passe de « comment appliquer les correctifs plus vite ? » à « que se passe-t-il quand nous ne le faisons pas ? ».
C'est la question que la plupart des architectures de sécurité d'entreprise continuent d'éviter.
Dans un modèle de défense où l'on suppose que la prévention fonctionne, l'exploitation de vulnérabilités est traitée comme une défaillance à éliminer. Dans un modèle de défense qui prend les données Sophos au sérieux, l'exploitation de vulnérabilités est traitée comme une condition récurrente que le reste de l'architecture doit absorber sans produire de résultats catastrophiques.
Le passage de l'élimination à l'absorption est le même virage architectural qu'a connu l'ingénierie de la fiabilité parvenue à maturité il y a une décennie. On n'élimine pas la défaillance dans les systèmes distribués. On conçoit des systèmes qui se dégradent de manière maîtrisée lorsque des défaillances surviennent. On mesure le temps moyen de restauration, et pas seulement le temps moyen entre les défaillances. On traite la résilience comme une propriété architecturale primaire, et non comme un nettoyage secondaire après l'échec de la prévention.
La sécurité en entreprise commence, très lentement, à appliquer la même logique. Les données Sophos 2025 constituent, selon notre lecture, la preuve empirique la plus solide à ce jour que cette transition se fait attendre.
Là où l'architecture de sauvegarde devient le point de bascule
Lorsqu'une vulnérabilité est exploitée et qu'un attaquant prend pied, la chaîne d'événements qui s'ensuit est bien documentée : déplacement latéral, élévation de privilèges, reconnaissance des données de valeur, exfiltration, puis enfin déploiement de la charge utile. Les acteurs malveillants modernes passent en moyenne 12 à 22 jours à l'intérieur des environnements compromis avant de déployer le rançongiciel — un temps qu'ils mettent à profit spécifiquement pour identifier et neutraliser les contrôles qui permettraient autrement la restauration.
Le plus important de ces contrôles, et de loin, est l'environnement de sauvegarde.
Si votre infrastructure de sauvegarde peut être atteinte depuis un système ayant débuté par une vulnérabilité exploitée, alors la vulnérabilité n'a pas seulement rendu une attaque possible — elle a permis à l'attaque de l'emporter. La CVE exploitée sur une application exposée à Internet devient architecturalement significative non pas en raison de ce qu'elle fait sur l'hôte où elle a été exploitée, mais en raison de ce qu'elle permet à un attaquant de faire à votre couche de restauration au cours des deux semaines suivantes.
C'est le point de bascule architectural qu'impliquent les données Sophos. L'exploitation de vulnérabilités continuera d'être la cause racine n° 1 dans un avenir prévisible. La variable qui détermine les résultats est de savoir si votre architecture de restauration est accessible depuis les systèmes où ces vulnérabilités seront inévitablement exploitées.
Concrètement, cela signifie :
Séparation des identités. Les identifiants qui protègent les systèmes de production ne doivent pas donner accès à l'infrastructure de sauvegarde. Si un compte d'administrateur de domaine compromis peut atteindre votre dépôt de sauvegarde, vos sauvegardes font partie de la surface d'attaque exposée par la vulnérabilité non corrigée.
Immuabilité validée. Les politiques de rétention logicielles peuvent être modifiées par quiconque dispose de privilèges suffisants. Les verrous de rétention imposés par le matériel ou par la plateforme sont conçus pour y résister — mais l'écart entre « configuré » et « fonctionnant réellement comme prévu » est l'endroit où de nombreux environnements de sauvegarde d'entreprise échouent lors d'incidents réels. Que votre immuabilité soit imposée par votre plateforme de sauvegarde, votre couche de stockage ou un dépôt durci, la propriété qui importe est de savoir si elle a été testée dans des conditions adverses, et pas seulement activée dans un panneau de paramètres.
Isolation réseau et de confiance. Un environnement de sauvegarde qui réside sur le même domaine réseau que les systèmes de production fait partie de la production du point de vue de la modélisation des menaces. L'isolation logique et physique est ce qui transforme l'infrastructure de sauvegarde de « une cible parmi d'autres » en « la couche qui survit quand les autres cibles ne survivent pas ».
Validation continue de la restauration. Une sauvegarde qui n'a pas été testée face aux conditions spécifiques d'une attaque réelle est une hypothèse, pas un contrôle. Les données de 2025 montrent que 53 % des entreprises n'ont pas utilisé leurs sauvegardes pour se rétablir d'incidents de rançongiciel réussis, alors même qu'elles disposaient de sauvegardes. L'explication la plus probable est que les sauvegardes dont elles disposaient n'avaient jamais été validées face aux scénarios qui se sont réellement déroulés. Concevoir une architecture résistante à ce mode de défaillance exige de tester, et pas seulement d'exécuter.
Le recadrage stratégique
Pour les responsables des risques en entreprise, la persistance de l'exploitation de vulnérabilités comme cause racine n° 1 n'est pas une mise en accusation des programmes de gestion des vulnérabilités. C'est la preuve que la gestion des vulnérabilités — aussi bien exécutée soit-elle — est structurellement incapable de porter à elle seule tout le poids de la défense contre les rançongiciels.
Le constat de Sophos selon lequel 32 % des attaques commencent par des vulnérabilités connues doit être lu en parallèle du constat selon lequel 48 % des entreprises victimes ont payé la rançon. Ces chiffres sont liés. Ils décrivent une posture défensive dans laquelle on demande à la prévention d'être infaillible parce que l'on ne peut compter sur la couche de restauration. La correction stratégique n'est pas de rendre la prévention plus infaillible — c'est de rendre la restauration suffisamment fiable pour que les défaillances de la prévention ne déterminent pas les résultats de l'entreprise.
Cette correction est architecturale. Elle se fait aussi attendre. Les organisations qui combleront l'écart au cours des douze prochains mois seront celles dont la couche de restauration peut absorber l'inévitable tiers d'incidents qui continueront de commencer par un système non corrigé. Celles qui ne le feront pas continueront d'apparaître, année après année, à la même ligne du rapport Sophos.
Là où BackupSec intervient
Chez BackupSec, notre service repose sur le postulat que la prévention échouera à peu près dans la proportion que décrivent les données Sophos — et que la couche qui détermine les résultats lorsque cela se produit est l'infrastructure de restauration qui conserve des copies propres et isolées des données critiques pour l'entreprise, ainsi que la discipline opérationnelle qui prouve qu'elles peuvent être restaurées.
Chacun de nos trois services comble une lacune spécifique que met en évidence la persistance de l'exploitation de vulnérabilités comme cause racine n° 1 :
- ZeroMON assure une observabilité continue des opérations de sauvegarde, des dérives de configuration et des signaux de sécurité — de sorte que lorsqu'une vulnérabilité est exploitée et qu'un attaquant passe deux semaines à l'intérieur du réseau, l'activité de reconnaissance visant votre environnement de sauvegarde soit visible, et non silencieuse.
- ZeroTAM met à la disposition de votre équipe un conseiller dédié en sécurité des sauvegardes pour les décisions d'architecture, la planification de capacité et la stratégie de restauration — comblant la lacune structurelle d'expertise qui détermine si votre couche de sauvegarde est accessible depuis les systèmes les plus susceptibles d'être compromis via des vulnérabilités non corrigées.
- ZeroPEN est, selon nous, la réponse la plus directement pertinente au constat des 32 %. Nous menons des tests d'intrusion sur vos plans de gestion des sauvegardes, vos contrôles d'accès, vos paramètres d'immuabilité et votre posture d'isolation de la même manière que le ferait un attaquant ayant débuté par une vulnérabilité exploitée — puis nous exécutons de véritables scénarios de restauration pour valider que la restauration fonctionne proprement, intégralement et dans les délais. Le résultat n'est pas une liste de constats à corriger. C'est une preuve documentée que votre couche de sauvegarde survit aux conditions spécifiques que décrivent les données Sophos.
BackupSec est déployé sur site. Nous nous connectons à vos applications de sauvegarde via un accès API en lecture seule. Vos données de sauvegarde, votre télémétrie et les détails de votre configuration restent à l'intérieur de votre environnement.
Le chiffre de 32 % n'est pas une fatalité. C'est la description d'une condition structurelle qui ne détermine les résultats que lorsque la couche de restauration est structurée pour échouer en même temps que la couche de prévention. Les organisations qui découplent les deux cessent d'être vulnérables à la cause racine dominante des rançongiciels en 2026 — non pas parce qu'elles ont appliqué les correctifs plus vite, mais parce qu'elles ont validé que l'application des correctifs n'est pas déterminante pour leurs résultats de restauration.
Parlez à BackupSec des tests d'intrusion des sauvegardes et de la validation de restauration →
Cette analyse s'appuie sur le rapport Sophos State of Ransomware 2025 et sur l'ensemble des recherches consacrées aux rançongiciels en 2025. L'interprétation et le cadre présentés ici sont propres à BackupSec. Pour discuter de la façon dont cette analyse s'applique à votre environnement spécifique, contactez notre équipe →