Ransomware sur l'infra : la sauvegarde qui sauve, la clause qui condamne

La spécificité du ransomware pour un hébergeur d'application web tient à un mot : la mutualisation. Quand un attaquant parvient à chiffrer vos systèmes, il ne neutralise pas un site isolé — il prend en otage l'intégralité des données et des applications de tous vos clients hébergés sur l'infrastructure compromise. Un seul incident, des dizaines, voire des centaines de victimes en cascade.

Cette concentration du risque change radicalement la nature du sinistre. Là où un développeur indépendant gère un bug pour un client, l'hébergeur fait face à une crise systémique : chaque client veut savoir si ses données sont récupérables, dans quel délai, et qui paie le préjudice. Votre survie ne dépendra pas de votre habileté à négocier avec les attaquants — payer une rançon ne garantit rien et alimente le marché criminel — mais de deux dispositifs préparés bien en amont : l'intégrité de vos sauvegardes et la solidité de votre clause de réversibilité.

Tous les hébergeurs affirment « avoir des sauvegardes ». Très peu en ont qui résistent réellement à un ransomware. La différence se joue sur quatre points que les attaquants connaissent mieux que beaucoup de prestataires :

• L'isolation : une sauvegarde accessible depuis le même réseau et avec les mêmes droits que la production sera chiffrée en même temps que la production. La règle dite du « 3-2-1 » (trois copies, deux supports, une hors site et déconnectée) n'est pas un luxe, c'est une condition de survie.
• L'immuabilité : des sauvegardes en écriture seule (immuables) ne peuvent pas être altérées par l'attaquant, même s'il a obtenu les droits d'administration.
• Le test de restauration : une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Le jour J, on découvre les fichiers corrompus, les jeux incomplets ou les délais de restauration de plusieurs jours.
• La fréquence : la perte tolérable de données (RPO) doit correspondre aux engagements pris envers les clients. Une sauvegarde quotidienne signifie potentiellement 24 heures de données perdues — à assumer contractuellement.

Une sauvegarde non testée, non isolée ou elle-même chiffrée par l'attaque a exactement la même valeur juridique et opérationnelle qu'une absence totale de sauvegarde : aucune.

Du point de vue de la responsabilité, l'absence de sauvegarde fiable est presque toujours qualifiée de faute caractérisée, ce qui fragilise vos clauses de limitation et peut faire basculer le sinistre dans le périmètre de votre responsabilité personnelle.

La réversibilité désigne votre obligation de restituer au client ses données et son environnement, dans un format exploitable, en fin de contrat ou en cas de migration. C'est une clause souvent recopiée mécaniquement dans les contrats d'hébergement, sans mesurer qu'elle devient déterminante en situation de crise.

Mal rédigée, elle se retourne contre vous de deux manières :

1. Des engagements de format et de délai intenables : si vous promettez une restitution complète sous 48 heures dans un format standardisé, et qu'un ransomware vous prive de l'accès à ces données, vous êtes en défaut contractuel direct, indépendamment de la cause de l'incident.
2. Une obligation de résultat implicite : une clause qui garantit la restitution « en toutes circonstances » transforme une obligation de moyens en obligation de résultat, beaucoup plus lourde à assumer en sinistre.

Bien rédigée, à l'inverse, la clause de réversibilité protège : elle précise le format, le délai, les conditions de coopération du client, et surtout elle s'articule avec votre politique de sauvegarde pour rester réaliste. Elle devient alors la preuve que vous avez organisé la continuité, ce qui pèse favorablement dans l'appréciation de votre responsabilité.

Face à un chiffrement généralisé, l'improvisation coûte cher. Un plan de réponse à incident, même léger, structure les heures décisives :

1. Heure 0 à 4 — Isoler et qualifier : déconnecter les systèmes touchés, préserver les preuves, identifier le périmètre exact des données et clients impactés.
2. Heure 4 à 24 — Notifier : en tant que sous-traitant RGPD, vous devez informer sans délai les responsables de traitement (vos clients) de la violation. Déclarer le sinistre à votre assureur cyber active l'accompagnement d'experts.
3. Heure 24 à 72 — Restaurer : reconstruire depuis les sauvegardes immuables et testées, vérifier l'intégrité, remettre en service par lots prioritaires.

La garantie Cyber intervient sur l'ensemble de cette chaîne : prise en charge des experts en gestion de crise, des forensics, des frais de notification RGPD, de la reconstruction des systèmes, et de l'indemnisation des dommages immatériels subis par vos clients. Elle transforme une crise existentielle en sinistre encadré.

Un ransomware qui chiffre — et souvent exfiltre — des données personnelles constitue une violation de données au sens du RGPD. Cela déclenche un compte à rebours réglementaire que l'urgence opérationnelle fait trop souvent oublier, avec des conséquences propres.

Deux obligations distinctes coexistent :

• Votre obligation en tant que sous-traitant : vous devez informer sans délai chaque client concerné (responsable de traitement) dès que vous avez connaissance de la violation. C'est à eux qu'il revient ensuite de notifier la CNIL.
• L'obligation du responsable de traitement : votre client dispose en principe de 72 heures pour notifier la CNIL après avoir pris connaissance de la violation, et doit informer les personnes concernées si le risque est élevé.

Plus vous tardez à informer vos clients, plus vous les mettez en défaut vis-à-vis de leur propre délai de 72 heures. Votre retard devient alors une faute supplémentaire, distincte du ransomware lui-même.

C'est l'un des intérêts concrets de la garantie cyber : l'assureur déclenche immédiatement un accompagnement juridique et technique qui structure cette chaîne de notification, rédige les communications et limite le risque de manquement formel. Gérer seul une crise ransomware et le formalisme RGPD en parallèle, sous le feu des demandes de dizaines de clients, est une équation que peu de structures encaissent sans appui.

Aucun de ces dispositifs ne suffit seul. La sauvegarde immuable protège vos données ; la clause de réversibilité bien rédigée encadre vos obligations ; le plan de réponse organise la crise ; et l'assurance absorbe le coût financier. C'est l'empilement cohérent de ces couches qui assure la survie d'un hébergeur après un ransomware.

Sur le plan assurantiel, le couple gagnant est clair :

• La garantie Cyber prend en charge la remédiation, la reconstruction, les frais de notification et les dommages immatériels causés aux clients.
• La RC Pro couvre votre responsabilité contractuelle et les fautes professionnelles dans l'exploitation, en complément.

Payer la rançon, à l'inverse, n'est ni une garantie de récupération, ni une stratégie défendable : les attaquants ne tiennent pas toujours parole, et le paiement vous expose à de nouvelles sollicitations. La vraie réponse se construit avant l'attaque. Pour calibrer votre couverture selon votre volume de clients et la sensibilité des données hébergées, consultez l'assurance dédiée à l'hébergement d'application web.