Pourquoi les sauvegardes classiques échouent ici
Un rançongiciel ne se contente pas de chiffrer les postes. Il cherche les sauvegardes, et il les trouve, parce qu'elles sont souvent accessibles depuis le réseau avec les mêmes identifiants que le reste.
Un partage réseau monté en permanence, un disque branché en continu, un compte de sauvegarde membre des administrateurs du domaine : ces trois configurations, très répandues, transforment la sauvegarde en première victime.
C'est la différence entre une panne, où la sauvegarde suffit, et une attaque, où elle est visée.
Les trois propriétés qui résistent
Hors ligne. Un support débranché ne peut pas être chiffré. C'est primitif et c'est imbattable.
Non modifiable. Un stockage en écriture unique, où un fichier écrit ne peut plus être altéré ni supprimé avant une échéance, résiste même à un compte compromis.
Séparée en identités. Le compte qui accède aux sauvegardes n'est pas un compte du domaine, et son mot de passe n'est utilisé nulle part ailleurs. Un attaquant qui prend le domaine n'obtient pas les sauvegardes.
Une seule de ces trois propriétés suffit souvent. Aucune, et la sauvegarde ne protège que des pannes.
Le délai de détection change la rétention nécessaire
Une intrusion reste fréquemment invisible plusieurs semaines avant le chiffrement. Pendant ce temps, les sauvegardes tournent et capturent un système déjà compromis.
Conséquence directe et souvent ignorée : une rétention de sept jours peut ne contenir que des versions infectées. La rétention doit couvrir le délai de détection plausible, ce qui pousse à conserver des points mensuels sur plusieurs mois.
L'ordre des gestes pendant l'incident
Isoler avant d'éteindre. Débrancher le réseau et les supports arrête la propagation ; éteindre brutalement peut faire perdre des éléments utiles à l'analyse.
Ne pas restaurer tout de suite. Restaurer sur un système encore compromis fait rechiffrer les données restaurées. Il faut d'abord comprendre par où l'attaquant est entré.
Ne pas payer. La clé fournie ne restaure pas tout dans une part importante des cas, quand elle est fournie, et le paiement désigne l'entreprise comme cible qui paie.
Prévenir. Selon les données concernées, la notification à l'autorité de protection des données peut être obligatoire sous 72 heures.
Ce qui se prépare aujourd'hui
Trois gestes, aucun coûteux :
- débrancher le disque de sauvegarde entre deux sauvegardes, ou activer l'immuabilité si le stockage le propose
- créer un compte de sauvegarde distinct, hors du domaine, avec un mot de passe unique
- allonger la rétention pour conserver des points mensuels
À retenir
Une sauvegarde atteignable depuis le réseau avec les identifiants du domaine sera chiffrée avec le reste. Hors ligne, non modifiable ou séparée en identités : il en faut au moins une. Et gardez des points anciens, parce que l'attaque précède la découverte de plusieurs semaines.