Une entreprise peut disposer de sauvegardes et rester incapable de remettre son système d’information en état après un ransomware. Dans son Ransomware Risk Report 2026, Semperis pointe les faiblesses persistantes de la restauration des infrastructures d’identité. En France, seules 31 % des organisations interrogées disposent de sauvegardes dédiées à ces systèmes. Plus inquiétant, parmi celles ayant payé une rançon, 60 % expliquent notamment leur décision par leur incapacité à expulser les attaquants.
Des infrastructures d’identité difficiles à restaurer
Les attaquants ne se contentent pas toujours de chiffrer les données. Ils peuvent également compromettre les infrastructures d’identité, détourner des comptes privilégiés et conserver des accès au système d’information, y compris après les premières opérations de restauration. Une entreprise peut ainsi récupérer ses fichiers sans être certaine de pouvoir rétablir les accès de ses collaborateurs dans un environnement redevenu fiable.
C’est l’une des faiblesses mises en avant dans le Ransomware Risk Report 2026 de Semperis, publié le 14 octobre. L’éditeur, spécialisé dans la sécurité et la restauration des infrastructures d’identité, s’appuie sur une enquête réalisée par Censuswide auprès d’organisations victimes de ransomware. À l’échelle mondiale, 87 % des répondants déclarent que leurs infrastructures d’identité ont été ciblées ou exploitées lors d’une attaque. Active Directory arrive en tête des systèmes concernés (51 %), suivi de Microsoft Entra ID (48 %) et d’Okta (27 %).
En France, 40 % des répondants font état d’attaques ayant ciblé leurs infrastructures d’identité, mais seules 31 % des organisations disposent de sauvegardes spécifiquement consacrées à ces systèmes et 30 % ont automatisé leur restauration. Les procédures documentées ne sont guère plus répandues : la restauration d’Active Directory figure dans les plans de gestion de crise de 23 % des répondants français, celle d’Entra ID dans 33 % des cas et celle d’Okta dans seulement 19 %.
Ces proportions témoignent d’une adoption encore limitée des dispositifs de restauration spécifiques aux identités, sans permettre de juger de l’efficacité réelle des procédures existantes. Une organisation peut notamment disposer de méthodes de restauration manuelles ou s’appuyer sur d’autres mécanismes de sauvegarde. L’enquête ne précise pas dans quelle mesure ces solutions alternatives ont été éprouvées, ni combien d’entreprises ont effectivement rencontré des difficultés pour restaurer leurs annuaires après une attaque.
Le risque technique n’en demeure pas moins documenté. Dans ses recommandations consacrées à l’administration sécurisée d’Active Directory, l’ANSSI rappelle qu’un attaquant ayant pris le contrôle de l’annuaire peut y installer des portes dérobées pour maintenir sa présence, compliquant la reconstruction d’un environnement de confiance.
Payer faute de pouvoir expulser les attaquants
Un autre résultat de l’étude éclaire les difficultés de reprise rencontrées par les organisations françaises. Parmi les répondants, 35 % déclarent avoir payé une rançon et, parmi ceux qui ont payé, 60 % invoquent notamment leur incapacité à expulser les attaquants de leur environnement informatique, contre 23 % à l’échelle mondiale.
Le paiement ne répond donc pas toujours à la seule nécessité de récupérer des fichiers chiffrés ou d’empêcher la divulgation de données. Il peut aussi intervenir lorsque l’entreprise ne parvient plus à maîtriser son propre système d’information. Le rapport précise d’ailleurs que 86 % des répondants français ayant payé ont effectué plusieurs versements, sans que l’on puisse déterminer si ceux-ci correspondent à une seule attaque ou à plusieurs compromissions distinctes.
Les conséquences opérationnelles sont importantes : 71 % des organisations françaises interrogées évoquent une interruption temporaire de leur activité ou une perte de revenus, et 65 % un vol ou une destruction de données. L’enquête ne permet toutefois pas d’attribuer directement ces dommages aux lacunes de restauration des identités, ni de déterminer si les difficultés à expulser les attaquants proviennent effectivement d’une compromission des annuaires.
L’ANSSI recommande notamment de rendre les infrastructures de sauvegarde indépendantes des annuaires de production et de tester régulièrement les restaurations, afin d’éviter de reconstruire un environnement à partir de sauvegardes susceptibles de contenir des configurations compromises ou des mécanismes de persistance laissés par les attaquants.
L’IA ajoute de nouveaux accès à surveiller
L’étude s’intéresse également à l’exploitation des outils d’intelligence artificielle déployés par les entreprises. À l’échelle mondiale, 44 % des répondants déclarent que leurs agents ou systèmes d’IA ont été exploités lors d’une attaque, contre 20 % en France. Dans l’échantillon français, 95 % indiquent par ailleurs avoir utilisé avec succès l’IA pour détecter une attaque ou y répondre.
Ces déclarations ne permettent pas de mesurer précisément la contribution de l’IA aux attaques, ni son efficacité réelle dans les dispositifs de défense. Elles attirent néanmoins l’attention sur les accès accordés aux agents capables d’interagir avec plusieurs applications et ressources de l’entreprise, parfois sans intervention humaine. Des permissions qui peuvent également être détournées par un attaquant et dont la supervision vient compliquer une gestion des identités et des privilèges déjà délicate.
Des menaces qui atteignent aussi les personnes
Le rapport décrit enfin des méthodes d’extorsion qui ne se limitent plus au chiffrement ou au vol de données. En France, 17 % des répondants signalent des menaces visant des proches de salariés et 6 % font état de menaces physiques. Plus troublant, 32 % rapportent des interventions policières provoquées par de fausses alertes, une pratique connue sous le nom de swatting, tandis que 27 % indiquent que des soins médicaux ou psychologiques ont été nécessaires à la suite des attaques.
Ces pressions peuvent compliquer la gestion de crise dans des organisations où les dispositifs de réponse présentent déjà des faiblesses. Les entreprises françaises interrogées désignent ainsi les plans de réponse obsolètes comme leur principal obstacle à une gestion efficace des incidents, tandis que le manque de personnel expérimenté et les lacunes de formation pèsent également sur leur résilience opérationnelle.
L’enquête a été réalisée auprès de 1 200 professionnels de l’informatique et de la cybersécurité dans neuf pays, dont 100 en France, un effectif confirmé à Solutions Numériques & Cybersécurité par Semperis. Elle porte exclusivement sur des organisations ayant subi au moins une attaque par ransomware réussie et une perturbation de leur activité.
