Sauvegarde immuable et air gap : la vraie protection anti-ransomware — interview d'une experte cybersécurité

Dans cet entretien, Camille Norbert, journaliste spécialisée dans les questions de cybersécurité grand public, interroge Laura Chevassus sur l'évolution des ransomwares et sur les deux techniques qui, selon elle, font aujourd'hui la différence entre une simple frayeur et une perte de données définitive : la sauvegarde immuable et l'air gap.

Pourquoi les ransomwares ciblent désormais les sauvegardes elles-mêmes

Camille Norbert : Laura, pourquoi les ransomwares modernes ciblent-ils aussi les sauvegardes, comme les NAS ou les lecteurs synchronisés ?

Laura Chevassus :

Les ransomwares ont évolué de manière inquiétante ces dernières années. Traditionnellement, ils se contentaient de chiffrer les données sur les appareils, mais les cybercriminels ont rapidement compris que de nombreuses entreprises et particuliers avaient des copies de sauvegarde accessibles. Pour contourner cette protection, ils ont développé des techniques de double extorsion qui incluent la traque active des sauvegardes. En 2025, on estime que près de 60 % des attaques de ransomware en Europe visaient également les sauvegardes, pas uniquement les données de travail.

Les NAS et les solutions de sauvegarde connectées, comme les services cloud synchronisés en permanence, sont particulièrement vulnérables car ils restent toujours en ligne et accessibles via le réseau. Une fois que les cybercriminels ont accès aux identifiants administrateur, ils peuvent facilement chiffrer ou supprimer ces sauvegardes avant même de déclencher le chiffrement final des postes de travail. Cela laisse les victimes sans recours et augmente considérablement la pression pour payer la rançon. La clé de toute stratégie moderne est donc de rendre au moins une partie de vos sauvegardes inaccessible aux attaquants, même s'ils parviennent à s'introduire complètement dans votre système.

Sauvegarde immuable : la technologie WORM et l'Object Lock expliqués

Camille Norbert : Qu'est-ce qu'une sauvegarde immuable concrètement, et comment empêche-t-elle un ransomware de supprimer ou chiffrer les sauvegardes ?

Laura Chevassus :

Une sauvegarde immuable repose sur la technologie WORM, pour Write Once, Read Many : une fois que les données sont écrites, elles ne peuvent plus être modifiées ni supprimées pendant une durée définie à l'avance. Des solutions comme Object Lock, proposées par des services cloud tels que Backblaze ou Amazon S3, permettent de fixer une période pendant laquelle les données sont protégées contre toute modification, même par le compte administrateur du service.

Cette immuabilité est cruciale car même si un ransomware obtient vos identifiants administrateur complets, il ne pourra pas altérer ces sauvegardes verrouillées : le verrou est appliqué au niveau du stockage lui-même, pas au niveau des permissions applicatives que l'attaquant peut usurper. En 2026, une étude sectorielle a révélé que les entreprises utilisant des sauvegardes immuables avaient environ 90 % de chances en moins de subir une perte totale de données lors d'une attaque de ransomware. Cela offre une couche de sécurité déterminante : même dans le pire des scénarios, une copie intègre reste toujours disponible pour la restauration.

L'air gap : la déconnexion physique comme protection ultime

Camille Norbert : Qu'est-ce que l'air gap, et pourquoi le considérez-vous comme la protection ultime contre le ransomware ?

Laura Chevassus :

L'air gap est une approche qui déconnecte physiquement les sauvegardes critiques du réseau principal. Cela signifie que même si l'intégralité de votre réseau est compromise, ces sauvegardes restent intactes puisqu'elles ne sont tout simplement pas accessibles en ligne au moment de l'attaque. C'est ce qu'on appelle souvent la protection ultime, car elle empêche par construction tout accès à distance : un attaquant ne peut pas chiffrer ce qu'il ne peut pas atteindre.

Concrètement, cette méthode peut être aussi simple qu'utiliser un disque dur externe branché uniquement le temps de la sauvegarde, puis débranché et rangé dans un tiroir. Aucun logiciel spécifique n'est nécessaire, c'est la déconnexion physique elle-même qui fait toute la protection. Pour les structures qui veulent automatiser sans intervention manuelle quotidienne, certains NAS proposent un mode de rotation de disques ou de désactivation programmée des interfaces réseau. J'estime qu'environ 70 % des incidents de ransomware que j'ai audités auraient pu être neutralisés sans perte de données si une copie air gap avait existé au moment de l'attaque.

Les erreurs les plus fréquentes des particuliers et des TPE

Camille Norbert : Quelles sont les erreurs les plus fréquentes que vous observez chez les particuliers et les TPE dans leur stratégie de sauvegarde face au risque ransomware ?

Laura Chevassus :

L'une des erreurs les plus communes est de se fier à une seule méthode de sauvegarde, souvent connectée en permanence au réseau. Par ailleurs, beaucoup de petites entreprises ne testent jamais réellement leurs restaurations, ce qui peut réserver des surprises désagréables au pire moment. En 2025, une enquête que j'ai suivie de près montrait que près de 40 % des TPE françaises n'avaient jamais effectué de test de restauration complet de leurs sauvegardes.

De nombreux utilisateurs ne mettent pas non plus à jour leurs systèmes de sauvegarde ou ne renouvellent jamais leurs mots de passe d'administration, ce qui les rend vulnérables aux attaques ciblées et aux compromissions d'identifiants. Enfin, certains sous-estiment complètement l'importance de l'air gap et ne prennent aucune mesure pour déconnecter physiquement au moins une de leurs copies. J'ajouterais une erreur plus subtile : négliger de confondre RAID et sauvegarde, ce qui laisse penser à tort que les données sont protégées alors qu'un même incident peut détruire toutes les copies RAID simultanément.

Combiner règle 3-2-1, immuabilité et air gap : une architecture concrète

Camille Norbert : Comment combiner concrètement la règle 3-2-1, l'immuabilité et l'air gap ? Pouvez-vous donner un exemple pour un particulier, puis pour une TPE ?

Laura Chevassus :

La règle 3-2-1 reste le point de départ incontournable : trois copies des données, sur deux types de supports différents, avec une copie hors site. Pour un particulier, cela peut signifier conserver une copie de travail sur l'ordinateur, une deuxième copie sur un service cloud avec Object Lock activé, et une troisième copie sur un disque dur externe débranché, stocké chez un proche ou dans un coffre.

Pour une TPE, l'architecture recommandée inclut généralement un NAS local avec snapshots immuables pour la copie de travail rapprochée, des sauvegardes régulières automatisées vers un service cloud avec Object Lock pour la copie hors site immuable, et un disque dur externe pour une sauvegarde mensuelle ou trimestrielle, déconnecté et stocké physiquement en dehors des locaux. En combinant immuabilité et air gap sur des copies distinctes, vous vous assurez que même si une couche de sécurité échoue ou est contournée, une autre reste intacte pour la restauration.

Coût réel et faisabilité pour un particulier ou une petite structure

Camille Norbert : Quel est le coût réel et la faisabilité de ces solutions pour un particulier ou une petite structure qui n'a pas de budget informatique dédié ?

Laura Chevassus :

Les solutions de sauvegarde immuable et d'air gap sont devenues de plus en plus accessibles ces dernières années. Pour un particulier, un disque dur externe de qualité correcte coûte environ 100 à 150 euros, et de nombreux services cloud proposent des options d'Object Lock à partir de quelques euros par mois pour quelques centaines de gigaoctets. Pour une TPE, investir dans un NAS compatible snapshots immuables représente un coût initial d'environ 500 à 1 000 euros, auquel s'ajoutent des frais mensuels modérés pour le stockage cloud hors site.

En 2025, une étude que je cite souvent à mes clients montrait que 75 % des TPE ayant investi dans ces solutions constataient un retour sur investissement rapide en termes de protection des données, dès le premier incident évité. La clé est de considérer ces dépenses comme une prime d'assurance contre des pertes potentielles bien plus coûteuses : arrêt d'activité, rançon, perte de clients, voire sanctions liées au RGPD en cas de fuite de données personnelles.

Les premières minutes d'une attaque de ransomware en cours

Camille Norbert : Que faut-il faire dans les toutes premières minutes si l'on découvre une attaque de ransomware en cours ?

Laura Chevassus :

La première étape est de déconnecter immédiatement le ou les appareils infectés du réseau, en débranchant le câble Ethernet et en coupant le Wi-Fi, pour empêcher la propagation vers d'autres machines ou vers les NAS et sauvegardes encore connectées. Il ne faut surtout pas redémarrer précipitamment l'appareil : certaines souches déclenchent une seconde phase de chiffrement au démarrage, et un redémarrage peut aussi effacer des traces utiles à l'identification de la souche.

Si possible, photographiez la note de rançon avant toute autre manipulation : elle contient des informations utiles pour identifier la souche via des outils comme les outils gratuits de récupération contre les ransomwares. Contactez ensuite rapidement un expert en cybersécurité pour évaluer la situation. Si vous disposez déjà d'une sauvegarde immuable et d'une copie air gap, c'est le moment de les mobiliser pour restaurer un système propre plutôt que de négocier avec les attaquants. Selon les retours d'expérience que je collecte, une réponse organisée dans les premières minutes permet de réduire d'environ 50 % l'impact global d'une attaque de ransomware. Signalez enfin l'incident aux autorités compétentes, notamment via cybermalveillance.gouv.fr, ce qui contribue à la lutte collective contre ces réseaux criminels.

Conseils pratiques et checklist de mise en œuvre

Camille Norbert : Pour conclure, quels sont vos conseils pratiques finaux, avec une checklist de mise en œuvre ?

Laura Chevassus :

Mes conseils sont simples mais réellement efficaces lorsqu'ils sont appliqués avec discipline. Voici la checklist en cinq étapes que je recommande systématiquement à mes clients particuliers et TPE :

1. Mettre en place la règle 3-2-1 : trois copies de vos données, sur deux types de supports différents, avec au moins une copie hors site.
2. Adopter la sauvegarde immuable : utiliser une solution avec Object Lock (Backblaze, S3, Wasabi) pour rendre au moins une copie inviolable pendant une période définie.
3. Mettre en œuvre l'air gap : déconnecter physiquement au moins une copie de sauvegarde critique, manuellement ou via une rotation automatisée.
4. Tester régulièrement les restaurations : simuler au moins une fois par trimestre une restauration réelle depuis chacune de vos copies.
5. Former et sensibiliser : vous-même, votre famille ou vos employés, aux menaces de ransomware et aux bons réflexes des premières minutes.

En suivant ces cinq étapes avec rigueur, vous serez très largement mieux préparé face aux menaces de ransomware actuelles, qui ne cessent de se sophistiquer. Pour approfondir la dimension technique de la sécurisation des accès, je recommande aussi de consulter les ressources spécialisées de JTH Informatique sur les bonnes pratiques de cybersécurité pour les particuliers et les petites structures.

Tableau comparatif des méthodes de protection

Pour synthétiser les différentes couches de protection évoquées dans cet entretien, voici un tableau comparatif des méthodes selon leur niveau de résistance au ransomware.

Tableau des coûts indicatifs sur 3 ans

Le tableau suivant donne un ordre de grandeur du coût total sur trois ans, selon le profil d'utilisateur, pour une architecture combinant immuabilité et air gap.

À titre de comparaison, le coût moyen d'une rançon pour une TPE se situe généralement entre plusieurs milliers et plusieurs dizaines de milliers d'euros, sans compter l'arrêt d'activité et l'atteinte à la réputation. L'investissement dans une architecture immuable et air gap reste, dans l'immense majorité des cas documentés par Laura Chevassus, très largement inférieur au coût d'une seule attaque réussie.

En résumé, la protection anti-ransomware la plus fiable en 2026 ne repose plus sur un seul outil, mais sur la combinaison disciplinée de la règle 3-2-1, de la sauvegarde immuable et de l'air gap. Pour aller plus loin sur la récupération après incident, consultez également notre interview sur la récupération de données après une panne ou un ransomware.