En particulier, la clef est stocké sur le compte MS, MS propose aussi de l'enregistrer ou l'imprimer.

En entreprise, c'est un faux problème, la clef doit remonter sur le contrôleur de domaine, comme dit plus haut.
Le même contrôleur qui est hautement à risque, donc rarement seul doit surement très bien être backupé. Donc si le seul DC est touché, il faut taper dans les sauvegardes.
Mais vu la taille des groupes concernés, ce serait juste dément de n'avoir qu'un DC et d'y déployer des MAJ d'agent en auto dès leur mise à dispo. Surtout que dans le cas présent, je pense même que certains ont les clés dans Azure AD...

En tous cas ca pourrait bien finir en procès cette affaire.

de ce que je comprend c'est un peu comme une maj de définition d'antivirus, donc pas très étonnant que ça soit du déploiement, "global et sans test" (mais ça mériterai peut être une réflexion sur le sujet, trouver un compromis entre déployer une nouvelle définition rapidement pour qu'elle soit dispo le plus vite possible sans prendre ce risque de "bug")