Cinq menaces pour une organisation suisse et les mesures qui réduisent le risque

Publié le 7 août 2026 · mis à jour le 25 août 2026

En mars 2026, l’Office fédéral de la cybersécurité (OFCS) publiait son rapport sur le second semestre 2025 : 29 006 déclarations volontaires de cyberincidents, 145 déclarations obligatoires et 52 % d’annonces liées à une fraude. La fréquence ne dit toutefois rien de la durée d’un arrêt d’activité, du volume de données perdues ni du montant d’un paiement détourné. Une entreprise finance donc aussi les mesures qui limitent les incidents les plus coûteux, et pas seulement les plus nombreux.

Les cinq sections qui suivent décrivent la menace, ses conséquences pour l’organisation et les protections qui y répondent. Aucune mesure ne garantit un risque nul. Chacune retire une possibilité à l’attaquant, ou réduit les dégâts si l’attaque aboutit.

1. Un équipement de sécurité accessible depuis internet

Un rançongiciel est un programme malveillant qui bloque les fichiers ou les applications d’une organisation, en général après avoir volé des données, puis réclame une rançon. Le groupe criminel Akira a mené le plus grand nombre d’attaques par rançongiciel connues de l’OFCS en Suisse en 2025. Les autorités suisses ont recensé environ 200 entreprises victimes d’attaques attribuées à Akira entre mai 2023 et septembre 2025.

Le rapport de l’OFCS cite notamment des équipements SonicWall mal protégés. Ces appareils servent de pare-feu, donc de filtre entre le réseau de l’entreprise et internet, et souvent de passerelle VPN. Un VPN laisse une personne située à l’extérieur entrer dans le réseau interne. Un accès RDP permet de piloter un ordinateur Windows à distance. Une faille dans l’un de ces accès ouvre donc une porte directe sur les systèmes que l’équipement devait protéger.

Trois mesures réduisent ce risque :

Tenir la liste des accès ouverts depuis internet : la liste indique l’adresse, le service disponible, sa raison d’être et la personne qui en répond. Un accès oublié ne reçoit ni mise à jour ni surveillance. L’inventaire permet de fermer les services inutiles et d’attribuer clairement les autres.
Fixer un délai de mise à jour pour chaque équipement : les pare-feu et les passerelles VPN ne suivent pas toujours le même circuit de mise à jour que les ordinateurs. Quelqu’un doit donc lire les alertes du fabricant, appliquer le correctif dans le délai décidé et vérifier la version installée. Le correctif referme la faille connue avant son exploitation à grande échelle.
Appliquer toutes les consignes publiées avec le correctif : une mise à jour répare le logiciel, sans annuler pour autant un mot de passe déjà volé ni une connexion encore ouverte. Quand le fabricant demande aussi de changer les mots de passe et de fermer les sessions actives, ces étapes empêchent l’attaquant de réutiliser un accès obtenu avant la mise à jour.

2. Le vol d’un mot de passe ou d’une session

Un logiciel voleur d’informations, que le métier appelle souvent infostealer, récupère les mots de passe enregistrés dans le navigateur. Il copie aussi les cookies de session. Un cookie de session est la preuve que le navigateur garde après une connexion réussie, pour éviter de redemander le mot de passe à chaque page. L’attaquant qui copie cette preuve reprend la session ouverte et agit au nom de la victime.

L’authentification à deux facteurs ajoute une seconde preuve au mot de passe, un code à six chiffres par exemple. La protection reste utile, mais une fausse page de connexion transmet au vrai service, en temps réel, le mot de passe et le code. Le vrai service accepte alors les deux preuves et ouvre une session que l’attaquant récupère. La victime a bien fourni deux facteurs, au mauvais intermédiaire.

Trois protections répondent à des étapes différentes de l’attaque :

Utiliser une clé de sécurité ou une clé d’accès : une clé de sécurité est un petit appareil USB ou sans contact. Une clé d’accès remplit la même fonction depuis un téléphone, un ordinateur ou un gestionnaire compatible. Toutes deux vérifient l’adresse exacte du service avant d’autoriser la connexion. Une fausse page ne peut donc pas produire une preuve valable pour la vraie adresse, même quand son apparence est parfaite.
Protéger aussi l’ordinateur et limiter la durée des sessions : la clé protège le moment de la connexion, pas un ordinateur déjà infecté. Les mises à jour, la protection contre les logiciels malveillants et la fermeture à distance des sessions suspectes raccourcissent la fenêtre pendant laquelle le voleur d’informations exploite l’accès. Les applications sensibles peuvent en plus redemander une authentification avant une opération importante.
Sécuriser la récupération du compte : la fonction « mot de passe oublié » contourne parfois la méthode de connexion normale. Une vérification d’identité définie à l’avance, des codes de secours protégés, une alerte au titulaire et une validation supplémentaire pour les comptes importants empêchent l’attaquant de remplacer la clé par sa propre méthode de connexion.

Quand un service ne propose pas encore de clé d’accès, il vous reste un mot de passe unique gardé dans un gestionnaire et la meilleure authentification à deux facteurs disponible. Un code temporaire apporte une protection réelle, sans la même résistance à une fausse page utilisée en temps réel. Voir identité et accès.

3. Un faux ordre de paiement envoyé au nom d’un dirigeant

Un faux ordre de paiement est une demande fabriquée pour convaincre une personne de virer l’argent de l’organisation sur le compte d’un escroc. L’OFCS appelle « arnaque au président » la variante où l’escroc emprunte le nom d’un membre de la direction. L’expression ne désigne donc pas une fraude commise contre un président. Une autre variante imite un fournisseur et annonce de nouvelles coordonnées bancaires, pour détourner le règlement d’une vraie facture.

Les escrocs étudient le site de l’entreprise, les réseaux professionnels et le registre du commerce pour repérer la hiérarchie, les personnes chargées des paiements et les absences. Ils copient une signature de courriel, imitent une voix avec un logiciel d’intelligence artificielle, ou utilisent la boîte mail d’un fournisseur après l’avoir piratée. Dans ce dernier cas, le message arrive de l’adresse habituelle. Aucun filtre de messagerie ne peut décider si la demande correspond à une vraie décision de l’entreprise.

Trois règles de paiement protègent l’organisation même quand le message paraît authentique :

Vérifier la demande par un autre moyen de contact : la personne chargée du paiement appelle le dirigeant ou le fournisseur sur un numéro déjà enregistré, jamais sur celui que donne le message. Elle confirme de même toute nouvelle coordonnée bancaire avant le premier virement. L’escroc contrôle le courriel et les coordonnées qu’il y a mises, pas le carnet d’adresses que l’entreprise avait validé avant.
Exiger deux validations indépendantes au-dessus d’un montant défini : une première personne prépare le paiement, une seconde vérifie le bénéficiaire, le montant et le motif dans l’outil bancaire. Si un escroc trompe une personne ou pirate une boîte mail, la seconde validation lui manque encore. Un simple accord par courriel ne remplace pas cette séparation dans l’outil de paiement.
Tenir la procédure malgré l’urgence ou le secret invoqués : la procédure précise les justificatifs attendus, les personnes autorisées et les étapes de vérification. Une demande à la fois urgente et confidentielle est en soi un signal d’alerte : l’escroc cherche précisément à empêcher toute vérification. L’équipe financière et les nouvelles recrues doivent avoir exercé la procédure sur un cas concret pour l’appliquer sous pression.

4. Une attaque chez un prestataire qui détient vos données

Un prestataire est compromis lorsqu’un attaquant entre dans ses systèmes. Votre organisation perd alors des données, ou subit un accès frauduleux, sans que l’attaquant ait jamais touché votre propre réseau. Deux incidents ont frappé la Confédération : Xplain en 2023, puis Concevis quelques mois plus tard. Dans le second cas, le rançongiciel a touché le prestataire sans atteindre les systèmes fédéraux, et l’attaquant a publié des données que ce prestataire détenait pour ses clients.

Trois mesures limitent les conséquences d’une attaque chez un prestataire :

Inventorier les données confiées à chaque prestataire : l’inventaire précise les catégories de données, leur usage, leur lieu d’hébergement, leur durée de conservation et le responsable interne. Après une alerte, cette liste dit tout de suite quelles personnes et quelles activités sont touchées. Sans elle, l’entreprise doit d’abord découvrir ce que le prestataire détenait avant de pouvoir informer les personnes concernées ou reprendre son activité.
Attribuer des accès nominatifs, limités et temporaires : chaque technicien du prestataire utilise son propre compte, sur les seuls systèmes utiles à sa mission, et pour la seule durée nécessaire. Le journal des connexions dit ensuite quel compte a fait quoi. L’entreprise coupe alors un accès sans bloquer tous les autres, et examine les actes commis avant la suppression du compte.
Prévoir l’incident dans le contrat : le contrat fixe le délai d’alerte, le contact disponible, les informations à fournir, la coopération attendue et les conditions de restitution ou de suppression des données. Le prestataire tient les premiers éléments d’enquête. Une obligation précise évite d’attendre sa communication publique pour comprendre l’exposition de l’entreprise.

J’ai détaillé les clauses à exiger avant la signature dans les exigences qu’une commune pose à son prestataire informatique.

5. Un rançongiciel qui bloque l’activité

Le rançongiciel défini dans la première section arrive souvent après le vol d’un mot de passe, l’exploitation d’un accès distant ou l’attaque d’un prestataire. L’attaquant se sert de cet accès pour voler des données, neutraliser les sauvegardes qu’il atteint, puis chiffrer les systèmes dont l’activité dépend.

Le 12 avril 2026, Akira a chiffré les systèmes de la commune de Vétroz. La commune a travaillé près d’une semaine sans ses bases de données ni ses logiciels métier, et a perdu les courriels reçus depuis le 7 avril. La même attaque a privé une PME voisine de sa gestion des stocks et de sa facturation, donc de la possibilité d’encaisser normalement ses ventes.

Les protections qui suivent n’empêchent pas l’attaquant d’entrer. Elles réduisent la quantité de données perdues et la durée de l’arrêt :

Conserver une sauvegarde isolée ou non modifiable : cette copie utilise des comptes distincts de ceux du réseau courant et refuse toute modification pendant une durée définie. Même avec un compte d’administration volé, l’attaquant ne peut ni la chiffrer ni la supprimer. L’entreprise garde donc une base saine pour reconstruire ses systèmes, sans dépendre de la clé que promettent les criminels.
Réaliser et chronométrer une restauration complète : une restauration remet les données sauvegardées dans un système utilisable. Le test vérifie que les fichiers existent, que les applications redémarrent, que les accès fonctionnent et que les instructions sont à jour. Le temps mesuré donne à la direction la durée probable de l’arrêt, avant l’incident.
Décider l’ordre de reprise des activités : le plan indique les systèmes à rétablir en premier, les responsables à joindre et le travail que les équipes peuvent encore faire sans informatique. Cet ordre réserve les premières ressources à la facturation, aux soins, aux salaires ou à tout autre service prioritaire, au lieu de choisir les restaurations au hasard.

Voir sauvegardes et reprise et le test de restauration.

Par où commencer

Un produit ne remplace ni une responsabilité attribuée, ni une procédure écrite, ni un essai réussi. Pour une organisation qui n’a pas d’analyse récente, cet ordre donne un point de départ :

Recenser les services accessibles depuis internet : fermer les accès inutiles, installer les correctifs et exécuter toutes les consignes du fabricant.
Renforcer les comptes qui ouvrent les systèmes sensibles : commencer par la messagerie et l’administration, puis protéger aussi la procédure de récupération.
Écrire et tester les règles de paiement : imposer une vérification par un contact connu, et deux validations au-dessus du seuil décidé.
Isoler une sauvegarde et réussir une restauration : mesurer le temps nécessaire au redémarrage des applications prioritaires.
Inventorier les données et les accès des prestataires : compléter les contrats muets sur le délai d’alerte et sur l’aide attendue après un incident.

Une analyse des risques peut changer cet ordre. Une boutique en ligne traitera aussi en priorité le déni de service, cette attaque qui envoie assez de demandes à un site pour le rendre indisponible. Une clinique passera d’abord par les systèmes dont les soins dépendent. C’est l’effet concret d’un arrêt sur l’organisation qui commande le classement.

Le cas de Vétroz rappelle enfin qu’une sauvegarde ne protège l’activité que si elle contient des données assez récentes, résiste au compte volé et permet une restauration déjà vérifiée.

Sources et date de vérification

J’ai vérifié ces sources le 25 août 2026. Ces priorités répondent aux cinq scénarios présentés ici ; l’impact métier, les dépendances, les obligations et les protections déjà en place déterminent l’ordre propre à chaque organisation.