Contexte de l’incident
En avril 2024, des frappes aériennes menées depuis l’Iran ont touché un centre de données exploité par Amazon Web Services (AWS). Selon les rapports, l’infrastructure physique a été détruite, entraînant la perte irréversible de données appartenant à plusieurs clients hébergés sur les serveurs affectés. Aucun plan de récupération n’a pu être déclenché, ce qui a conduit à une suppression définitive des informations stockées.
Architecture de résilience d’AWS
AWS conçoit ses services autour de la notion d’Availability Zones (AZ) : chaque région regroupe plusieurs AZ isolées les unes des autres afin de limiter l’impact d’une défaillance physique. Les services de stockage, comme S3 ou EBS, répliquent les blocs de données sur plusieurs serveurs au sein d’une même AZ et, lorsqu’une réplication inter‑AZ est activée, sur des sites géographiquement distincts. Cette architecture repose sur la redondance matérielle, la distribution du trafic réseau et la synchronisation continue des métadonnées.
Mécanismes de sauvegarde et limites observées
Dans le cas présent, les clients concernés n’avaient pas configuré de réplication inter‑régionale ou de sauvegarde hors‑site. La perte s’explique donc par l’absence de copie indépendante des volumes affectés. Même si les services AWS offrent des options de sauvegarde automatisée, leur activation reste une décision client. Sans ces options, la destruction physique d’un nœud entraîne la perte du seul exemplaire disponible. De plus, les procédures de récupération d’urgence d’AWS supposent que les données restent accessibles au moins dans une AZ de la même région ; la destruction totale du centre de données viole cette hypothèse.
Conséquences et enseignements
L’incident met en évidence la dépendance des utilisateurs à la configuration de leurs stratégies de continuité d’activité. Il rappelle que la redondance logique ne suffit pas lorsqu’une attaque cible l’infrastructure physique. Les organisations doivent évaluer le risque géopolitique de leurs emplacements de données et envisager des sauvegardes multi‑régionales, même si cela implique des coûts supplémentaires. Enfin, le fait que la perte soit qualifiée de « permanente » souligne que les mécanismes de récupération d’AWS ne peuvent pas restaurer des données qui n’ont jamais été répliquées en dehors du site détruit.
