Le constat le plus banal des données de Sophos est aussi le plus important
Chaque année, le débat sur les ransomwares fait plus de bruit autour de nouvelles techniques d'attaque. Le phishing généré par IA. L'ingénierie sociale par deepfake. L'apprentissage automatique adverse. Les binaires living-off-the-land. Les compromissions de la chaîne d'approvisionnement via des dépendances obscures. Le récit suggère invariablement que les défenseurs font face à une menace fondamentalement nouvelle, qui exige des outils fondamentalement nouveaux.
Trois enquêtes de suite, le rapport State of Ransomware de Sophos a apporté une réponse moins à la mode. L'édition 2025 la résume en une phrase :
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(Pour la troisième année consécutive, les victimes ont désigné les vulnérabilités exploitées comme la cause première technique la plus fréquente des attaques, en jeu dans 32 % des incidents.)
Pas une technique exotique. Une faille dans un logiciel que la victime utilisait déjà, exploitée comme porte d'entrée. Sophos ne divise pas cette catégorie entre zero-days et failles pour lesquelles un correctif existait déjà ; l'enquête ne peut donc pas dire combien de ces incidents étaient corrigeables le jour de l'attaque. Ce qu'elle dit, c'est que pendant trois ans, les victimes n'ont cité aucun autre point d'entrée plus souvent.
La série s'est depuis interrompue. Dans l'édition 2026, les vulnérabilités exploitées sont tombées à 18 %, derrière les e-mails malveillants (26 %), le phishing (24 %) et les identifiants compromis (23 %). Nous revenons plus bas sur ce basculement, car il affûte l'argument au lieu de l'affaiblir : le principal point d'entrée a changé en une seule année, et le problème de récupération du défenseur, lui, n'a pas changé.
Chez BackupSec, nous lisons cette série de trois ans comme un signal stratégique. L'écart entre les faiblesses de sécurité connues et celles qui sont corrigées ne se réduit pas au rythme de la prévention. Cet article examine pourquoi cet écart persiste, pourquoi la prévention seule ne peut pas le combler, et ce que cela signifie pour l'architecture de sauvegarde en 2026.
Ce que montrent réellement les données de Sophos
Le rapport 2025 de Sophos repose sur une enquête indépendante et neutre vis-à-vis des fournisseurs, commandée par Sophos et réalisée par un cabinet spécialisé tiers entre janvier et mars 2025. Elle porte sur 3 400 responsables IT et cybersécurité dans 17 pays, tous issus d'organisations de 100 à 5 000 salariés touchées par un ransomware au cours des douze mois précédents. Sophos nomme chaque rapport d'après l'année de réalisation de l'enquête et précise que "many of the attacks referenced occurred in 2024." (nombre des attaques mentionnées ont eu lieu en 2024). Les 3 400 répondants ont tous répondu à la question sur la cause première :
- Vulnérabilités exploitées : 32 % des attaques, première cause pour la troisième année consécutive (36 % dans le rapport 2023, 32 % en 2024).
- Identifiants compromis : 23 %, contre 29 % en 2024.
- E-mails malveillants : 19 %.
- Phishing : 18 %, contre 11 % l'année précédente.
Les rapports sectoriels fondés sur la même enquête 2025 suivent pour la plupart ce schéma. Dans l'industrie manufacturière, les vulnérabilités exploitées étaient la première cause, à 32 %. Dans la distribution, elles arrivaient en tête pour la troisième année consécutive, à 30 %. Tous les secteurs ne s'y conforment pas : dans la santé, les vulnérabilités exploitées arrivaient en tête à 33 % "for the first time in three years." (pour la première fois en trois ans). Le schéma était large, mais pas universel.
Une réserve sur l'enquête elle-même. Elle enregistre ce que les victimes pensent être la cause première, et les données d'incidents de Sophos elle-même donnent une lecture un peu différente. Sur l'ensemble des cas de réponse aux incidents et de MDR de 2024 analysés dans son 2025 Active Adversary Report, les identifiants compromis arrivaient en tête (41 %) et les vulnérabilités exploitées en deuxième position (22 %). Dans un cas comme dans l'autre, l'exploitation se situe au sommet ou tout près.
Ce qui rend le constat de l'enquête important, c'est sa persistance. La part a reculé de 36 % à 32 %, puis s'y est maintenue, et pendant trois ans rien ne l'a dépassée.
Cela devrait nous apprendre quelque chose sur la dimension architecturale du problème.
Pourquoi les correctifs échouent, même quand les organisations les appliquent
La réponse intuitive à « un tiers des attaques commencent par une vulnérabilité exploitée » est « alors corrigeons plus vite ». Cette réponse est juste, mais insuffisante sur le plan opérationnel, et les raisons de cette insuffisance méritent d'être examinées honnêtement.
Le problème du dénominateur. Une organisation de taille moyenne peut facilement exploiter des milliers de composants logiciels distincts, entre systèmes d'exploitation, applications, firmwares, images de conteneurs et configurations SaaS. Les avis de sécurité des éditeurs arrivent en continu. Même une équipe de sécurité au sommet de son art ne peut pas corriger chaque composant le jour où une CVE est publiée. Le dénominateur des « éléments exploitables » est structurellement plus grand que la capacité des « éléments corrigeables cette semaine ».
Le problème de la criticité. De nombreux correctifs exigent une interruption de service, des tests de non-régression ou une coordination avec des responsables métier qui protègent leur chiffre d'affaires. Les systèmes qui ont le plus besoin de correctifs (applications exposées sur l'extérieur, systèmes de production anciens, infrastructures OT et de contrôle industriel) sont souvent ceux où l'interruption coûte le plus cher. Les correctifs sont donc planifiés, reportés, regroupés, puis finalement oubliés. Cette dette de maintenance est exactement l'endroit où un attaquant en quête d'une porte d'entrée regardera en premier.
Le problème de la découverte. On ne peut pas corriger ce qu'on ne voit pas. Dans l'enquête 2025 de Sophos, des failles de sécurité dont l'organisation n'avait pas conscience ont été un facteur contributif dans 40,1 % des attaques, juste derrière le manque d'expertise (40,2 %). Les répondants ont cité en moyenne 2,7 facteurs contributifs : il s'agit donc de causes contributives, et non de causes uniques. Dans la distribution, les failles de sécurité inconnues étaient la cause opérationnelle la plus citée, par 46 % des victimes. Le shadow IT, les systèmes non documentés, les workloads cloud oubliés et les intégrations tierces avec leurs propres arbres de dépendances rendent la surface d'attaque moderne réellement difficile à recenser. C'est dans l'écart entre ce que montre votre inventaire d'actifs et ce qu'un attaquant peut réellement atteindre que se trouvent de nombreuses vulnérabilités exploitées.
Le problème de la fenêtre. Même lorsqu'une vulnérabilité est connue et qu'un correctif existe, le délai avant exploitation s'est effondré. L'analyse du délai d'exploitation de Mandiant a mesuré une moyenne de 63 jours en 2018–2019, de 32 jours sur 2021–2022 et de cinq jours en 2023. Parmi les failles suivies qui ont été exploitées après la disponibilité d'un correctif, 12 % l'ont été en moins d'un jour et 29 % en moins d'une semaine. Et 70 % des vulnérabilités exploitées suivies en 2023 ont été utilisées comme zero-days, avant même l'existence d'un correctif. La fenêtre de correction d'il y a quelques années a disparu.
Aucun de ces problèmes ne se résout en achetant un outil de gestion des vulnérabilités de plus. Ce sont des caractéristiques structurelles de la manière dont les organisations gèrent leur IT, et elles contribuent à expliquer pourquoi les vulnérabilités exploitées sont restées en tête de la liste de Sophos pendant trois ans.
La diversion de l'IA
Les données 2025 de Sophos ont aussi apporté un correctif utile au récit dominant sur les attaques pilotées par l'IA.
En 2025, le débat du secteur était largement tourné vers les campagnes de phishing générées par IA, l'ingénierie sociale par deepfake et l'évasion rendue possible par l'apprentissage automatique. Ces menaces sont réelles et méritent l'attention. Le phishing a bien progressé dans l'enquête 2025, passant de 11 % à 18 % des attaques. Sophos ne dit pas quelle part de cette hausse est due à des leurres rédigés par IA, et nous ne le pouvons pas davantage. Ce que les données 2025 montrent, c'est que le phishing n'a pas détrôné les vulnérabilités exploitées comme principal point d'entrée.
L'édition 2026 fait évoluer le tableau. Les attaques par e-mail ont pris la tête : les e-mails malveillants (26 %) et le phishing (24 %) représentaient ensemble la moitié de tous les incidents, tandis que les vulnérabilités exploitées reculaient de 14 points, à 18 %. Sophos n'attribue pas non plus ce basculement à l'IA.
La leçon pratique pour les responsables des risques est de se méfier de tout récit, le nôtre compris, qui affirme que l'investissement défensif le plus important est celui qui porte sur le vecteur en tête cette année. Le vecteur en tête a changé en moins de douze mois. Une défense qui repose sur la fermeture d'une porte particulière parie sur une cible mouvante. L'investissement le plus durable est celui qui rend chaque vecteur d'entrée, pris isolément, moins déterminant pour l'issue.
Ce que signifie concrètement « moins déterminant »
Voici l'enseignement d'architecture qui découle de l'acceptation que l'exploitation ne peut pas être entièrement éliminée. Si une part significative des attaques continue de commencer par une faille que vous n'avez pas corrigée à temps (environ un tiers d'entre elles dans trois enquêtes Sophos consécutives, et encore près d'une sur cinq dans la quatrième), la question stratégique passe de « comment corriger plus vite ? » à « que se passe-t-il quand nous n'y parvenons pas ? »
C'est la question que la plupart des architectures de sécurité continuent d'éviter.
Dans un modèle de défense où l'on suppose que la prévention fonctionne, l'exploitation de vulnérabilités est traitée comme une défaillance à éliminer. Dans un modèle de défense qui prend au sérieux les données de Sophos, elle est traitée comme une condition récurrente que le reste de l'architecture doit absorber sans issue catastrophique.
Le passage de l'élimination à l'absorption est le même que celui qu'a opéré l'ingénierie de la fiabilité mature il y a des années. On n'élimine pas les défaillances dans les systèmes distribués. On conçoit des systèmes qui se dégradent de manière maîtrisée lorsque des défaillances surviennent. On mesure le temps moyen de rétablissement, et pas seulement le temps moyen entre défaillances. On traite la résilience comme une propriété d'architecture de premier ordre, et non comme un travail de nettoyage une fois que la prévention a échoué.
La sécurité commence lentement à appliquer la même logique. Les données de Sophos sont, selon notre lecture, un indice solide que cette transition n'a que trop tardé.
Là où l'architecture de sauvegarde devient le point de bascule
Lorsqu'une vulnérabilité est exploitée et qu'un attaquant prend pied, la chaîne qui suit est bien documentée : mouvement latéral, élévation de privilèges, reconnaissance, exfiltration et, pour finir, déploiement de la charge. Elle est aussi rapide. Dans les cas de 2024 sur lesquels repose le 2025 Active Adversary Report de Sophos, le temps de présence médian (dwell time) était de 4 jours dans les cas de réponse aux incidents liés à un ransomware, et de 3 jours dans les cas MDR. C'est le temps dont dispose un attaquant pour trouver et neutraliser les contrôles qui permettraient sinon la récupération, et il est plus court que la plupart des cycles de revue.
Le plus important de ces contrôles est l'environnement de sauvegarde.
Si votre infrastructure de sauvegarde est accessible depuis un système compromis par une vulnérabilité exploitée, la vulnérabilité n'a pas seulement permis une attaque. Elle a permis à l'attaque de l'emporter. Une CVE exploitée sur une application exposée sur Internet compte moins, sur le plan de l'architecture, pour ce qu'elle fait sur cet hôte que pour ce qu'elle permet à un attaquant de faire à votre couche de récupération dans les jours qui suivent.
C'est le point de bascule qu'impliquent les données de Sophos. Les vulnérabilités exploitées resteront l'une des principales portes d'entrée, quel que soit leur rang une année donnée. La variable qui détermine l'issue est de savoir si votre architecture de récupération est accessible depuis les systèmes où ces points d'appui sont établis.
Concrètement, cela signifie :
Séparation des identités. Les identifiants qui protègent les systèmes de production ne doivent pas donner accès à l'infrastructure de sauvegarde. Si un compte d'administrateur de domaine compromis peut atteindre votre référentiel de sauvegarde, vos sauvegardes font partie de la surface d'attaque que la vulnérabilité non corrigée a exposée.
Immuabilité validée. Les politiques de rétention logicielles peuvent être modifiées par quiconque dispose de privilèges suffisants. Les verrous de rétention appliqués par le matériel ou par la plateforme sont conçus pour y résister, mais « configuré » et « fonctionnant réellement comme prévu » sont deux affirmations différentes, et seul un test permet de les départager. Que votre immuabilité soit appliquée par votre plateforme de sauvegarde, par votre couche de stockage ou par un référentiel renforcé (hardened repository), la propriété qui compte est de savoir si elle a été testée en conditions adverses, et pas simplement activée dans un panneau de configuration.
Isolation du réseau et de la confiance. Un environnement de sauvegarde situé sur le même domaine réseau que les systèmes de production fait partie de la production du point de vue de la modélisation des menaces. L'isolation logique et physique est ce qui transforme l'infrastructure de sauvegarde d'« une cible de plus » en « la couche qui survit quand les autres cibles tombent ».
Validation régulière des restaurations. Dans l'enquête 2025 de Sophos, seules 54 % des organisations dont les données avaient été chiffrées les ont restaurées à partir de sauvegardes, le taux le plus bas en six ans et le troisième recul consécutif. Sophos ne demande pas aux autres pourquoi. L'éditeur indique en revanche que 29 % ont utilisé des "other means" (autres moyens), ce qui inclut probablement, selon lui, des clés de déchiffrement rendues publiques (plusieurs réponses étaient possibles). Sa seule donnée directe sur les sauvegardes défaillantes est étroite : sur 151 organisations qui ont payé davantage que la demande initiale, 38 % ont déclaré que leurs sauvegardes avaient échoué ou présentaient des dysfonctionnements. L'édition 2026 montre un rebond, avec 66 % des victimes de chiffrement qui se sont rétablies à partir de sauvegardes. Dans tous les cas, une sauvegarde qui n'a jamais été restaurée en conditions réalistes est une hypothèse, pas un contrôle.
Le recadrage stratégique
Pour les responsables des risques, les trois années passées par l'exploitation de vulnérabilités en tête de liste ne sont pas un réquisitoire contre les programmes de gestion des vulnérabilités. Elles prouvent que la gestion des vulnérabilités, aussi bien menée soit-elle, ne peut pas porter à elle seule tout le poids de la défense contre les ransomwares.
Le constat de 2025 selon lequel 32 % des attaques ont commencé par une vulnérabilité exploitée doit être lu à la lumière d'un autre chiffre de la même enquête : 49 % des organisations dont les données avaient été chiffrées ont payé la rançon, contre 56 % l'année précédente. Dans l'édition 2026, ce taux était de 48 %, et Sophos situe la moyenne sur quatre ans à environ 50 %. Selon notre lecture, ces chiffres sont liés. Ils décrivent une posture dans laquelle on demande à la prévention d'être infaillible parce qu'on ne peut pas compter sur la couche de récupération. La correction ne consiste pas à rendre la prévention encore plus infaillible. Elle consiste à rendre la récupération suffisamment fiable pour que les défaillances de la prévention ne décident pas de l'issue pour l'activité.
Cette correction est architecturale, et elle n'a que trop tardé. Les organisations qui combleront cet écart seront celles dont la couche de récupération peut absorber un incident, quelle que soit la porte par laquelle il est entré. Les données 2026 montrent à quelle vitesse la porte la plus fréquentée peut changer.
Où intervient BackupSec
Chez BackupSec, nous partons du principe que la prévention échouera parfois, et que lorsque cela arrivera, l'issue dépendra de deux choses : l'existence de copies saines et isolées de vos données, et le fait que quelqu'un ait vérifié que la couche de sauvegarde résiste à l'attaque qui se prépare.
Trois de nos services répondent aux lacunes décrites ci-dessus :
- ZeroMON surveille Veeam Backup & Replication. Il fonctionne sur site sous forme d'OVA, se connecte avec un compte en lecture seule et n'envoie rien à BackupSec ni à aucun tiers. Il suit l'état des tâches et les modifications de configuration dans Veeam (qui a changé quoi, et quand), affiche l'état d'immuabilité tel que le rapportent les paramètres des référentiels de Veeam lui-même, présente les résultats du Security & Compliance Analyzer de Veeam, et inclut un honeypot qui enregistre les analyses et tentatives de connexion visant l'appliance ZeroMON, comme signal précoce de reconnaissance. Les alertes sont envoyées par e-mail et par notification dans l'application. Comme il lit la configuration de Veeam, il ne vérifie pas les verrous au niveau des objets sur le stockage lui-même.
- ZeroTAM met à la disposition de votre équipe un conseiller dédié à la sécurité des sauvegardes pour l'architecture, la planification de la récupération après ransomware et la capacité, avec un support prioritaire en cas de crise. C'est une mission de conseil, et non un logiciel.
- ZeroPEN est un test d'intrusion guidé par la menace, portant sur Veeam Backup & Replication, ainsi que sur Veeam ONE et Enterprise Manager. Il simule une kill chain de ransomware en huit étapes alignées sur MITRE ATT&CK, de l'accès initial jusqu'à la compromission du serveur Veeam, à l'accès aux référentiels et à la neutralisation des sauvegardes, puis à la preuve de capacité de chiffrement. Il est non destructif : "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services." (ZeroPEN ne supprime jamais de vraies sauvegardes, n'effectue aucun chiffrement réel et n'arrête ni les services de production ni les services de sauvegarde). Vous obtenez des preuves prêtes pour l'audit de ce qu'un attaquant ayant pris pied pourrait atteindre, ainsi qu'un nouveau test pour les constats critiques.
Le chiffre de 32 % n'a jamais été une fatalité, et celui de 18 % en 2026 n'est pas un répit. Tous deux décrivent la porte d'entrée. Ce qui décide de l'issue, c'est de savoir si la couche de récupération tombe en même temps que la couche de prévention. Découpler les deux ne vous immunise pas contre les vulnérabilités exploitées. Cela rend beaucoup moins probable qu'un correctif manqué décide si vous payez.
Parlez à BackupSec des tests d'intrusion de sauvegarde →
Cette analyse s'appuie sur les rapports State of Ransomware 2025 et 2026 de Sophos, sur les rapports sectoriels 2025 de Sophos pour l'industrie manufacturière, la distribution et la santé, sur le 2025 Active Adversary Report de Sophos et sur l'analyse de Mandiant de 2023 sur le délai d'exploitation. L'interprétation et le cadre sont ceux de BackupSec. Pour voir comment elle s'applique à votre environnement, contactez notre équipe →