34 % des entreprises ANZ paient encore la rançon, selon une étude

Un tiers des organisations ANZ choisit encore de payer

Une nouvelle étude de Commvault confirme ce que de nombreux professionnels de la sécurité soupçonnaient depuis longtemps : payer une demande de rançon est loin d’être une solution fiable. Le rapport State of Data Resilience ANZ 2026 de l’entreprise a révélé que 34 % des organisations d’Australie et de Nouvelle-Zélande ayant subi une attaque par rançongiciel ont décidé de payer la rançon, sans avoir la moindre garantie réelle que leurs données seraient restituées ou que leurs systèmes seraient remis en état de fonctionnement.

Ce constat intervient à un moment où les rançongiciels sont devenus moins une crise rare qu’une réalité opérationnelle pour les entreprises de la région. Pourtant, la décision de payer est encore, dans bien des cas, prise sous une pression extrême, au cœur d’un incident actif, plutôt que dans le cadre d’une stratégie de réponse calme et planifiée à l’avance.

Pourquoi payer résout rarement le vrai problème

Le point le plus important dans les conclusions de Commvault n’est pas que les organisations paient, mais ce qui se passe après coup. Verser une rançon ne signifie pas automatiquement que les données volées ou chiffrées reviennent intactes, ni que l’attaquant supprime les copies qu’il a effectuées avant de verrouiller les systèmes. Cette distinction est capitale du point de vue de la confidentialité. De nombreux incidents de rançongiciel impliquent aujourd’hui à la fois un vol de données et un chiffrement, ce qui signifie que des dossiers clients, des informations sur les employés ou des données financières peuvent déjà avoir quitté le réseau de l’organisation avant même que la moindre discussion sur la rançon ne commence.

Une enquête connexe portant sur la même région illustre bien ce point. Cette recherche a révélé que 36 % des paiements de rançon ne parviennent pas à restaurer les données, ce qui signifie que plus d’un tiers des organisations ayant payé se sont tout de même retrouvées sans systèmes ni fichiers fonctionnels. Autrement dit, payer n’est pas une transaction à l’issue garantie. C’est un pari fait avec un adversaire qui n’a aucune obligation légale ou réputationnelle de tenir sa promesse.

Pour les organisations qui détiennent des données personnelles sensibles, qu’il s’agisse de dossiers médicaux, de données financières ou d’informations d’identité des clients, cela crée un risque de confidentialité qui s’aggrave. Même un paiement réussi n’annule pas l’exposition qui a déjà eu lieu. Les données copiées par les attaquants avant le chiffrement peuvent toujours être divulguées, vendues ou utilisées à des fins d’extorsion supplémentaire, que la rançon ait été payée ou non. Les travaux de Commvault suggèrent que trop d’organisations ANZ traitent le paiement de la rançon comme une stratégie de récupération, alors qu’il fonctionne davantage comme un pari placé après que les dégâts sont déjà faits.

La pression de devoir décider en pleine crise

Ce qui rend ce schéma persistant tient en partie à l’environnement dans lequel ces décisions sont prises. Les attaques par rançongiciel ont tendance à s’aggraver rapidement, bloquant souvent l’accès des équipes aux systèmes critiques en quelques heures. Sous une telle pression, avec des opérations paralysées et les clients ou partenaires qui posent des questions, payer peut sembler être le chemin le plus rapide vers un retour à la normale. Le rapport de Commvault décrit cela comme des organisations qui prennent des décisions à fort enjeu en matière de rançongiciel en pleine crise, plutôt que dans le cadre d’un plan éprouvé et préexistant.

Cette prise de décision dictée par la crise est précisément la raison pour laquelle la préparation compte bien davantage que la réaction. Les organisations dotées de systèmes de sauvegarde testés, de plans de réponse aux incidents clairs et de critères convenus à l’avance sur l’opportunité de traiter avec les attaquants sont dans une position bien plus solide que celles qui improvisent en temps réel. Les données suggèrent que de nombreuses entreprises ANZ n’ont pas encore atteint ce niveau de préparation et se rabattent plutôt sur le paiement parce qu’il semble être le seul levier disponible sur le moment.

Ce que cela signifie pour vous

Si vous êtes consommateur, employé ou client d’une organisation, cette étude rappelle que le paiement d’une rançon par une entreprise ne signifie pas que vos données sont en sécurité. Même si une entreprise annonce avoir résolu un incident, les informations exposées pendant l’attaque peuvent encore circuler. Il vaut la peine de prêter attention aux avis de violation émis par les services que vous utilisez et de les prendre au sérieux même si l’organisation indique qu’une rançon a été payée ou que les systèmes ont été restaurés.

Si vous travaillez dans une entreprise, notamment une entreprise qui traite des données clients ou employés, la leçon est plus directe : ne laissez pas une décision de paiement de rançon être prise pour la première fois pendant une véritable attaque. Les organisations qui planifient à l’avance, testent leurs sauvegardes et disposent d’un protocole de réponse clair sont beaucoup moins susceptibles de se retrouver dans le scénario perdant-perdant décrit par Commvault, dans lequel le paiement ne garantit pas le retour des données et où l’exposition de la confidentialité a souvent déjà eu lieu au moment où la demande de rançon arrive.

Points clés à retenir

• Payer une demande de rançon ne garantit pas la restauration de vos données ou de vos systèmes, et n’annule pas le vol de données déjà survenu.
• L’exposition des données et le risque de confidentialité peuvent exister indépendamment du paiement d’une rançon, car les attaquants volent souvent les informations avant de les chiffrer.
• Les organisations doivent élaborer des plans de réponse aux rançongiciels et tester les sauvegardes avant qu’un incident ne survienne, pas pendant.
• Les particuliers doivent rester attentifs aux avis de violation même lorsqu’une entreprise déclare qu’un incident est résolu.

Les rançongiciels ne vont pas disparaître, et l’étude de Commvault montre clairement que les organisations ANZ abordent encore ces décisions de manière réactive plutôt que stratégique. Renforcer la résilience avant qu’une attaque ne survienne reste le moyen le plus fiable de protéger à la fois les opérations commerciales et les données personnelles que les organisations sont chargées de préserver.