Microsoft 365, Azure, sauvegardes cloud négligées, ce que Kaseya révèle sur les données sensibles européennes en 2026

Le spécialiste américain de la gestion informatique Kaseya alerte les entreprises européennes sur un angle souvent sous-estimé du cloud: la récupération des données. Dans une publication diffusée fin juillet 2026, l’éditeur vise les environnements Microsoft 365 et Azure, très présents dans les organisations, mais parfois utilisés sans stratégie de sauvegarde autonome ni scénario de reprise testé.

Kaseya cible Microsoft 365 et Azure en Europe

Le message de Kaseya s’adresse d’abord aux directions informatiques qui ont déplacé messageries, fichiers partagés, identités et applications métier vers le cloud. L’éditeur rappelle que les services hébergés sont souvent présentés comme une réponse simple à des problèmes techniques lourds, stockage, disponibilité, maintenance des serveurs ou mises à jour. Cette promesse de simplicité peut créer une confiance excessive dans le fournisseur.

Dans le cas de Microsoft 365, les données concernées dépassent largement les courriels. Elles couvrent les fichiers SharePoint, les conversations Teams, les calendriers, les contacts, les groupes, les archives et les comptes utilisateurs. Une suppression accidentelle, un compte compromis ou une attaque par rançongiciel peut donc toucher des informations opérationnelles dispersées dans plusieurs applications, parfois sans que l’entreprise dispose d’une copie exploitable hors de son environnement principal.

Pour Azure, le sujet prend une dimension plus technique. Les machines virtuelles, bases de données, conteneurs, volumes de stockage et configurations réseau peuvent constituer le cœur de la production numérique. Si une erreur d’administration se propage ou si un compte à privilèges est utilisé de manière frauduleuse, la restauration ne dépend pas seulement de la présence d’une sauvegarde. Elle dépend aussi de son isolement, de sa fraîcheur et de la capacité à la remettre en service dans des délais compatibles avec l’activité.

L’alerte doit aussi être lue avec prudence, car Kaseya vend des solutions de sauvegarde et de cybersécurité. Son intérêt commercial est clair. Mais le diagnostic rejoint une préoccupation partagée par de nombreux responsables sécurité: le cloud ne supprime pas le besoin de sauvegarde indépendante. Il déplace la responsabilité, modifie les outils et impose une discipline plus stricte dans la conservation, la supervision et le contrôle des accès.

NIS2 renforce l’obligation de continuité des entreprises européennes

La directive NIS2 renforce la pression réglementaire sur de nombreuses organisations européennes. Elle ne traite pas la sauvegarde comme un simple choix technique, mais comme un élément de gestion des risques. Les entreprises concernées doivent pouvoir démontrer qu’elles ont identifié leurs actifs critiques, évalué les menaces et prévu des mesures adaptées pour limiter l’impact d’un incident numérique.

La continuité d’activité devient un point central. Une entreprise qui dépend de Microsoft 365 pour ses échanges internes, de Teams pour ses réunions, d’Azure pour ses applications ou de SharePoint pour ses documents contractuels ne peut plus se contenter d’un engagement général de disponibilité du fournisseur. Elle doit connaître ses propres délais de reprise, ses pertes de données acceptables et les responsabilités exactes de chaque prestataire dans le processus de restauration.

Dans l’Union européenne, ce changement touche aussi les comités de direction. La cybersécurité n’est plus seulement gérée dans un service technique isolé. Elle engage la gouvernance, les budgets, la documentation et les preuves conservées en cas de contrôle. Les responsables doivent pouvoir répondre à des questions concrètes: qui restaure les données, depuis quel emplacement, avec quelles autorisations et après combien de temps d’interruption.

Les prestataires numériques, dont les fournisseurs de services managés et les intégrateurs cloud, sont placés dans une position sensible. Beaucoup accompagnent des PME qui n’ont pas d’équipe sécurité complète. Leur rôle consiste à transformer une obligation abstraite en procédures vérifiables: sauvegardes planifiées, alertes en cas d’échec, comptes séparés pour l’administration, registre des tests et plan de communication en cas d’incident. Sans ce travail, la conformité reste théorique et la reprise dépend de décisions improvisées au plus mauvais moment.

La panne Microsoft du 23 juillet illustre le risque opérationnel

Un incident survenu le 23 juillet a donné un exemple concret de dépendance cloud. Selon une note publiée par Kaseya dans son suivi hebdomadaire des incidents, une panne Microsoft a perturbé l’accès à des services Azure et Microsoft 365. L’événement a été attribué à une erreur de maintenance, non à une cyberattaque, mais son effet a rappelé une réalité simple: même une cause interne peut rendre des outils essentiels indisponibles.

Pour les entreprises, la différence entre panne technique et attaque malveillante compte pour l’enquête, mais beaucoup moins pour les utilisateurs bloqués. Si les équipes ne peuvent plus consulter une boîte partagée, ouvrir une application hébergée ou accéder à un dépôt documentaire, la production ralentit. Les métiers les plus dépendants du numérique, support client, comptabilité, logistique ou commerce en ligne, ressentent rapidement les conséquences d’une interruption.

La dépendance à Azure pose une question particulière: où sont stockées les copies de secours et quels comptes permettent d’y accéder. Une sauvegarde conservée dans le même tenant, protégée par les mêmes identifiants et exposée aux mêmes erreurs de configuration réduit fortement sa valeur en situation de crise. Kaseya recommande de placer les données de récupération en dehors du périmètre principal, afin d’éviter qu’un incident unique bloque à la fois la production et le secours.

Avec Microsoft 365, le problème est souvent moins visible. Les utilisateurs assimilent la corbeille, les versions de documents ou les fonctions de rétention à une véritable sauvegarde. Ces mécanismes sont utiles, mais ils ne couvrent pas tous les cas, notamment lorsqu’un attaquant possède des droits élevés, modifie des règles de conservation ou supprime des comptes. La récupération devient alors un sujet de preuve, de granularité et de délai, pas seulement une opération de clic dans une interface d’administration.

Sauvegardes hors tenant et tests réguliers deviennent prioritaires

La première mesure attendue consiste à isoler les copies critiques. Une sauvegarde hors tenant permet de conserver un point de restauration en dehors de l’environnement Microsoft utilisé au quotidien. Cette séparation limite les dégâts possibles lorsqu’un compte administrateur est compromis, lorsqu’une configuration est supprimée par erreur ou lorsqu’un incident de service empêche d’accéder aux ressources habituelles.

Les tests de restauration sont tout aussi déterminants. Une sauvegarde non testée rassure sur le papier, mais ne garantit pas la reprise. Les directions informatiques doivent vérifier la restauration d’une boîte aux lettres, d’un site SharePoint, d’une machine virtuelle Azure ou d’une base de données applicative. Ces exercices permettent de mesurer les durées réelles, d’identifier les dépendances oubliées et de corriger les droits d’accès avant une crise.

La menace des ransomwares renforce cette exigence. Les attaquants ne cherchent plus seulement à chiffrer les serveurs. Ils ciblent aussi les consoles d’administration, les sauvegardes connectées, les comptes de service et les solutions de synchronisation. Une stratégie robuste suppose donc des copies immuables, des accès limités, une authentification renforcée et une surveillance des opérations sensibles, notamment les suppressions massives ou les changements de politique de rétention.

Pour les administrateurs IT, le chantier reste concret et progressif. Il commence par l’inventaire des données Microsoft 365 et Azure critiques, puis par la définition de délais de reprise par métier. Viennent ensuite le choix d’un outil tiers, la documentation des procédures et la formation des équipes support. Les PME, souvent moins équipées que les grands groupes, peuvent avancer par priorités: messagerie, fichiers partagés, identités, puis charges applicatives. Le coût d’une sauvegarde structurée se compare alors au prix d’une journée d’arrêt, d’une perte contractuelle ou d’une enquête réglementaire menée dans l’urgence.