Les incidents liés aux rançongiciels ont plus que doublé depuis le début de la pandémie, selon l'IEEE Computer Society, et leurs conséquences dépassent largement le cadre des services informatiques. Lorsque la Banque d'Angleterre a cité la cyberattaque contre Jaguar Land Rover (JLR) comme un facteur direct du ralentissement de la croissance du produit intérieur brut (PIB) au troisième trimestre 2025, c'était la première fois qu'un incident de ce type causait un préjudice important à l'économie britannique à l'échelle nationale. La même année, le détaillant britannique Marks & Spencer (M&S) estimait que le coût du nettoyage après une cyberattaque dépasserait 300 millions de livres sterling. Parallèlement, le Centre national britannique de cybersécurité (NCSC) a indiqué que le nombre de cyberattaques majeures avait augmenté de 130 %.
Le paysage des menaces évolue à une vitesse telle que les défenses traditionnelles deviennent de plus en plus inefficaces. Le projet Glasswing d'Anthropic a déjà identifié des milliers de vulnérabilités zero-day jusqu'alors inconnues sur tous les principaux systèmes d'exploitation et navigateurs, et l'IA a considérablement réduit le coût de la découverte et de l'exploitation de ces failles. Lorsque de nouvelles variantes de logiciels malveillants peuvent être générées plus rapidement que n'importe quelle base de données de signatures ne peut être mise à jour, l'économie des attaques bascule définitivement en faveur des attaquants.
Que font les entreprises de services financiers aujourd'hui ?
Les autorités réglementaires de toutes les grandes juridictions ne se contentent plus de demander si les organisations disposent de sauvegardes, mais cherchent désormais à savoir si elles peuvent prouver leur capacité à se remettre d'un incident cybernétique ciblé et malveillant.
L’article 12 de la loi européenne sur la résilience opérationnelle numérique (DORA) exige des entités financières qu’elles restaurent les données à l’aide de systèmes « physiquement et logiquement séparés de la source ». La Banque d’Angleterre, la Prudential Regulation Authority (PRA) et la Financial Conduct Authority (FCA) ont publié conjointement des lignes directrices exigeant des entreprises systémiques qu’elles démontrent des capacités renforcées de réponse et de reprise en cas de cyberattaques.
La Securities and Exchange Commission (SEC) exige désormais la divulgation des incidents cybernétiques importants dans un délai de quatre jours ouvrables.
D'autres cadres réglementaires et sectoriels, notamment l'Autorité monétaire de Hong Kong (HKMA), le Securities and Exchange Board of India (SEBI), la directive sur la sécurité des réseaux et de l'information 2 (NIS2) et le guide de bonnes pratiques sur l'hébergement de données dans le cloud du Cross Market Operational Resilience Group (CMORG) du Royaume-Uni, convergent vers les mêmes attentes :
environnements de rétablissement séparés
Intégrité des données vérifiable
Capacités de réponse documentées
Ensemble, ces exigences vont bien au-delà de ce que les solutions de sauvegarde opérationnelle traditionnelles étaient conçues pour offrir.
La plupart des entreprises réglementées ont réagi en renforçant leurs stratégies de sauvegarde et de reprise après sinistre. Elles ont investi dans davantage de copies de sauvegarde, une réplication plus fréquente, un basculement plus rapide et des budgets de reprise après sinistre plus importants. Cette approche est compréhensible, car ces outils ont fait leurs preuves dans le secteur depuis des décennies, face aux pannes matérielles, aux catastrophes naturelles et aux suppressions accidentelles.
Le problème, c'est que les rançongiciels ne sont rien de tout cela. Il s'agit d'une attaque ciblée et malveillante conçue pour faire échouer vos mécanismes de récupération.
Pourquoi la haute disponibilité, la continuité d'activité/reprise après sinistre et la sauvegarde n'ont jamais été conçues pour cela
Les systèmes de haute disponibilité et de continuité d'activité/reprise après sinistre (BC/DR) répliquent les données en temps réel. Si un ransomware chiffre les données dans l'environnement principal, ce chiffrement est souvent répliqué dans l'environnement secondaire avant même que l'attaque ne soit détectée. Par conséquent, les deux copies des données peuvent être compromises.
Les systèmes de sauvegarde traditionnels présentent un autre défi. Les attaquants restent souvent indétectés pendant des semaines avant de lancer une attaque. Si un attaquant est présent depuis 30 jours, de nombreuses sauvegardes créées durant cette période peuvent déjà contenir des logiciels malveillants ou d'autres modifications malveillantes. La restauration à partir de ces sauvegardes peut réintroduire la menace en même temps que les données.
Les auteurs de ransomwares modernes maîtrisent parfaitement cette architecture. Ils ciblent spécifiquement les infrastructures de sauvegarde, supprimant les clichés instantanés, chiffrant les catalogues de sauvegarde et compromettant les identifiants d'administrateur, car ils savent que s'ils vous empêchent de récupérer vos données, vous paierez. Leur modèle économique repose entièrement sur l'absence d'alternative viable pour les entreprises.
Il existe une lacune structurelle dans l'architecture de sécurité des entreprises qu'aucun de ces outils ne comble. Les pare-feu inspectent le trafic au niveau du périmètre. La solution EDR (Endpoint Detection and Response) examine les processus en cours d'exécution sur les terminaux. La solution SIEM (Security Information and Event Management) analyse les journaux et les modèles de trafic. Mais aucun d'eux ne regarde à l'intérieur des fichiers stockés sur votre appareil, et c'est précisément là que le travail de l'attaquant aboutit. Chaque action menée après l'exploitation, du déploiement du ransomware au stockage des données en passant par le chiffrement des fichiers, laisse des traces dans la couche de données. Si aucune surveillance n'est effectuée sur cette couche, la compromission persiste sans être détectée, malgré tous vos mécanismes de protection.
Comment Qumulo résout le problème
Qumulo introduit une architecture de cyber-résilience moderne qui relève les deux défis posés par les ransomwares : prévenir la corruption des données avant leur propagation et préserver un environnement de récupération sécurisé et isolé, à l’abri des déplacements latéraux des attaquants. En combinant une protection active à un environnement de récupération architecturalement isolé, Qumulo établit une nouvelle norme de résilience face aux ransomwares, une norme qui part du principe que la compromission est avérée et garantit la récupération des données.
NeuralProtect : Détection au niveau de la couche de stockage
Qumulo NeuralProtect est une solution de détection de ransomwares et de malwares en temps réel, intégrée directement à la plateforme de stockage Qumulo. Contrairement aux approches s'appuyant sur des signatures connues ou l'analyse comportementale du trafic réseau, NeuralProtect utilise une inspection approfondie des fichiers pour ouvrir et analyser chaque fichier dès son écriture sur le stockage. Son moteur de détection multimodal identifie les familles de malwares connues ainsi que les ransomwares zero-day jamais répertoriés. En cas de menace détectée, il agit immédiatement en interrompant la session malveillante pour stopper le chiffrement latéral des fichiers, tout en créant des instantanés de protection pour préserver un état sain et en permettant une restauration rapide à partir de données saines vérifiées. Il ne s'agit pas d'un module complémentaire ni d'une intégration tierce nécessitant une infrastructure supplémentaire. C'est une protection intégrée au niveau même du stockage, là où l'attaquant agit.
Qumulo Cloud Data Vault : Rupture des mouvements latéraux
Qumulo Cloud Data Vault est un modèle architectural validé, basé sur les déploiements Qumulo Cloud Native, conçu pour créer un environnement de récupération isolé et immuable pour les données critiques de l'entreprise. Il ne s'agit pas d'un produit distinct, mais d'une architecture qui tire parti des fonctionnalités existantes de Qumulo pour garantir la cyber-résilience.
Le coffre-fort est hébergé sur un compte cloud distinct, sans connexion permanente avec l'environnement de production. Ainsi, aucun chemin latéral ne permet son accès au coffre-fort depuis un système compromis. Les instantanés du coffre-fort sont verrouillés par des clés cryptographiques, ce qui empêche leur suppression ou la réduction de leur durée de validité, même par un administrateur compromis ne possédant pas la clé privée. La connectivité au coffre-fort est assurée uniquement lors des fenêtres de réplication planifiées, simulant l'isolement physique d'une bande magnétique retirée d'une bibliothèque, mais via une architecture cloud native conforme aux exigences réglementaires de DORA, CMORG et aux recommandations de bonnes pratiques de la Banque d'Angleterre.
L'effet composé
Ces deux fonctionnalités s'associent pour résoudre un problème fondamental que la sauvegarde seule ne peut régler, et répondent directement aux exigences réglementaires qui pèsent désormais sur les services financiers. NeuralProtect inspecte les données au moment de leur écriture, ce qui garantit que les données alimentant vos couches de sauvegarde, de réplication et de coffre-fort sont vérifiées intègres dès leur origine. Sans cette inspection, chaque couche de protection en aval risque de préserver des données compromises et de prétendre assurer la résilience.
Si NeuralProtect détecte une attaque à temps, vos sauvegardes et copies de reprise après sinistre existantes restent intactes et utilisables. Si une attaque sophistiquée échappe à la détection initiale et est découverte ultérieurement, Qumulo Cloud Data Vault fournit un point de restauration fiable, antérieur à la compromission, stocké dans un environnement auquel l'attaquant n'a jamais eu accès.
L'article 12 de la loi DORA exige que les données restaurées subissent de « multiples contrôles et rapprochements » afin de garantir « le plus haut niveau d'intégrité des données ». L'inspection approfondie des fichiers de NeuralProtect assure précisément cette vérification, appliquée en continu et non seulement au moment de la restauration.
Le guide de bonnes pratiques CMORG pour le stockage de données dans le cloud stipule que les données stockées doivent résider dans un environnement sans connexion permanente à la production, avec une immuabilité cryptographique et des fenêtres de réplication définies. Le coffre-fort de données cloud Qumulo est conforme à cette spécification.
Le délai de quatre jours imposé par la SEC pour la divulgation d'informations ne court pas au moment de l'attaque, mais lorsque l'entreprise détermine que l'incident est significatif. Cette détermination doit être faite sans délai injustifié. La matérialité est évaluée en fonction de l'importance qu'un investisseur raisonnable pourrait accorder à l'incident pour sa prise de décision. Les organisations ne peuvent se permettre aucune ambiguïté. La détection en temps réel de NeuralProtect offre aux équipes de sécurité une visibilité immédiate sur la présence d'une attaque au niveau des données et sur la viabilité des points de restauration, réduisant ainsi le délai d'évaluation de plusieurs semaines à quelques minutes.
Ensemble, ils offrent ce que les organismes de réglementation de toutes les juridictions exigent désormais et ce que la sauvegarde seule ne peut fournir : la capacité de détecter les menaces avant la fin du chiffrement, d’isoler les sessions compromises en temps réel, de protéger les données critiques dans un environnement séparé et immuable, et de récupérer proprement sans payer de rançon.
Conclusion
Les rançongiciels constituent un enjeu de survie pour les entreprises, et celles qui parviendront à le surmonter seront celles qui auront compris que leurs outils de résilience opérationnelle existants étaient conçus pour une autre ère de menaces. La Banque d'Angleterre intègre les cyberattaques dans ses prévisions de PIB. La loi DORA est applicable dans toute l'UE. La PRA et la FCA publient des recommandations conjointes sur ce que signifie une reprise après incident cyber « efficace » pour les entreprises systémiques. La SEC responsabilise personnellement les conseils d'administration en matière de gouvernance de la cybersécurité. Les assureurs se retirent du marché de la cybersécurité, car les sinistres augmentent plus vite que les primes, et ceux qui restent exigent la preuve d'architectures de reprise après incident distinctes avant de souscrire des polices.
La sauvegarde ne constitue pas une protection contre les ransomwares.
La reprise après sinistre n'est pas une protection contre les ransomwares.
La continuité des activités n'est pas une protection contre les ransomwares.
Ces éléments sont tous essentiels à la résilience opérationnelle, mais ils n'ont jamais été conçus pour résister à un adversaire ciblé dont la stratégie repose entièrement sur leur défaillance. Plus important encore, ils ne répondent plus aux exigences réglementaires. Les autorités de réglementation ne se contentent plus de vérifier la possibilité de restauration à partir d'une sauvegarde. Elles vérifient également la segmentation de votre environnement de reprise d'activité, la vérifiabilité de l'intégrité de vos données et votre capacité à démontrer que votre dernière copie de sauvegarde valide est véritablement saine.
Qumulo NeuralProtect et Qumulo Cloud Data Vault aident les organisations à se doter des capacités de plus en plus exigées par les autorités de réglementation. La détection des menaces dès l'écriture des données, la préservation des données critiques dans un environnement de récupération isolé et la restauration à partir de copies saines vérifiées renforcent la cyber-résilience et permettent de mettre en œuvre une stratégie de récupération efficace face aux ransomwares.
Prêt à découvrir comment Qumulo NeuralProtect et Cloud Data Vault fonctionnent ensemble ? Demandez une démonstration sur qumulo.com/product/neural-protect ou lire le Présentation de la solution NeuralProtect pour en savoir plus.
A propos de l'auteur
Tom Tasker est architecte principal de solutions cloud chez Qumulo, spécialisé dans la protection des données cloud et la résilience aux ransomwares pour les services financiers et les secteurs réglementés en Europe, au Moyen-Orient, en Afrique et en Asie-Pacifique. Il est co-auteur de l'article de blog sur le stockage AWS. Résilience par la conception : Élaborer une stratégie de récupération efficace après une attaque de ransomware, et des cours à l'université de Loughborough sur l'architecture moderne des données.