«Une société met 200 jours pour comprendre qu'elle a été piratée»
Mercredi, Stadler Rail a connu une bien mauvaise surprise, victime d'un rançongiciel réclamant 10 millions de francs. Jeudi, Le Temps révélait qu'une fiduciaire d'Yverdon-les-Bains avait elle aussi été touchée par une cyberattaque visant à lui extorquer de l'argent.
Des expériences que les sociétés suisses traversent avec une récurrence inquiétante alors même que plusieurs acteurs de la branche nous confient que les entreprises ont investi des sommes colossales ces dernières années pour se prémunir. Un directeur IT nous expliquait par exemple que les investissements en cybersécurité avaient été multipliés par dix en dix ans.
Pour mieux cerner la problématique, nous avons contacté Paul Such, directeur de Swiss Post Cybersecurity, qui nous livre son regard sur les menaces auxquelles font face les entreprises helvétiques et sur les moyens de s'en prémunir.
Comment une entreprise de la taille de Stadler Rail a pu se faire pirater?
Je ne connais pas le périmètre, ce qu'il s'est passé réellement. On sait simplement qu'il y a une rançon. Ce qui est à peu près certain, c'est qu'une ou plusieurs machines, voire toutes leurs machines, ont été chiffrées.
Et s'il est question uniquement d'une seule machine?
Si c’est une machine, c’est très simple: ils ne vont pas payer la rançon et restaurer les backup (réd: sauvegardes).
Pour une société de la taille de Stadler, statistiquement, un problème finit toujours par arriver. Si elle s'en rend compte rapidement et qu'elle a les moyens de réagir, en sachant dans quel ordre agir, les conséquences seront quasi nulles.
Comment se munir d'une cyberdéfense efficace, alors?
C'est souvent une question d'utilisateur. C'est pour ça que je parlais de périmètre, de la manière dont l'attaque va être contenue. Statistiquement, si vous appelez dix personnes dans une société avec une attaque dite d'ingénierie sociale, au moins une sur dix tombera dans le piège. Cette personne se fera pirater et son poste sera chiffré. Si cela reste à l'échelle d'un seul poste, c'est bénin: la société s'en rend compte rapidement, isole le poste, règle le problème, forme l'utilisateur, et ça s'arrête là.
Et dans le cas le plus grave?
Dès que le pirate a accès à une machine, il a potentiellement accès à beaucoup de choses. S'il parvient à exploiter une vulnérabilité sur l'ensemble des machines de la société, il peut potentiellement tout chiffrer. Les conséquences ne sont plus les mêmes, même si le point de départ reste identique: un utilisateur qui ne réagit pas correctement, combiné à des mesures techniques manquantes du côté de l'entreprise.
Une cyberdéfense de pointe peut donc être fragilisée par une seule erreur humaine?
Oui, on peut le résumer ainsi. Des mesures techniques permettent de détecter les comportements anormaux et de limiter la faute, mais ça ne supprime pas le risque. L'important, c'est de former l'utilisateur et surtout d'être capable de réagir vite pour contenir l'attaque.
Cela veut dire que peut-être Stadler Rail s’est fait pirater au début de l’année?
Peut-être, mais je ne crois pas. Il y a manifestement peu de conséquences visibles. A ce stade, on ne peut que supposer.
Il y a aussi un détail qui interpelle, c'est la somme demandée (réd: 10 millions). Plus elle est élevée, plus le piratage est important?
Généralement oui. Mais on n'est jamais à l'abri d'un effet d'annonce. Il y a une part de communication du côté des pirates. Mais quand on demande une rançon de plusieurs millions, c'est qu'on a généralement de quoi la justifier.
On dit souvent que les sites des communes sont particulièrement fragiles face à la cybermenace.
C'est un peu facile de pointer du doigt les communes. Plusieurs cas ont été médiatisés, comme celui de Rolle (VD). Mais c'est vrai plus largement pour les petites et moyennes structures. Les grandes entreprises restent des cibles privilégiées, simplement parce qu'elles disposent de plus d'argent. Mais elles ont aussi un niveau de maturité généralement meilleur, avec des responsables de sécurité, des prestataires dédiés et un vrai budget IT.
Les sociétés suisses avec un gros chiffre d'affaires sont-elles bien armées aujourd'hui?
La majorité de celles qui emploient plusieurs centaines de personnes ont des responsables sécurité ou externalisent leur IT. En Suisse, les dépenses en sécurité représentent généralement une dizaine de pour-cent du budget IT.
Mais il existe encore des sociétés sans aucune structure de cybersécurité.
Malheureusement oui, régulièrement. C'est notre quotidien. C'est parfois parfois très faible. La sécurité n'est pas un investissement ponctuel, c'est un travail permanent. La cybersécurité évolue avec le temps, il faut former les équipes en continu et maintenir les systèmes à jour.
En 2024, 92 sociétés ont été victimes de ransomware. En 2025, ce chiffre augmente, et ça n'augure rien de bon.
Il faut prendre ces chiffres avec précaution. Les sociétés sont obligées de déclarer ce type de cas, mais beaucoup ne le font pas, par peur d'un dommage d'image. Il y a encore des sociétés qui choisissent de ne rien dire, ni à leur fournisseur ni à leur client. Ce qui est idiot.
Selon une étude de la Haute école de Lucerne (HSLU), plus de huit sociétés sur dix (81,6%) prévoient une augmentation significative des cyberattaques pour 2026. En 25 ans de métier, avez-vous vu les attaques évoluer?
Ça n'a plus rien à voir, ni le profil des attaquants, ni celui des victimes. Il y a 25 ans, la majorité des attaques visaient un but idéologique. Depuis une dizaine d'années, c'est devenu une source de revenus pour des organisations criminelles: n'importe quelle société, quel que soit son secteur, est une cible intéressante, parce qu'elle peut potentiellement payer une rançon. Les techniques évoluent aussi des deux côtés.
Ce qui reste impossible, c'est de garantir une sécurité à 100% dans la durée.
Les entreprises piratées ont-elles tendance à payer?
Si une entreprise a des sauvegardes, elle n'a généralement pas besoin de payer. Mais il reste des cas où les sociétés n'ont pas le choix: soit elles paient, soit elles ferment. Certains experts disent qu'il ne faut jamais payer, car cela enrichit les organisations criminelles sans aucune garantie, c’est effectivement le cas. On a d'ailleurs vu des sociétés se faire attaquer une seconde fois après avoir payé une première rançon. Dans ces cas-là, elles se retrouvent complètement démunies. Nous sommes malheureusement régulièrement appelés une fois que la compromission ou que l’attaque a eu lieu, quand il est déjà trop tard. C'est pour ça que tout se joue dans la préparation en amont.
Quelles sont les motivations des pirates?
Les deux cas les plus courants: une logique financière, ou une logique d'espionnage. Quand c'est de l'espionnage, ce sont souvent des acteurs étatiques. Et il y en a de plus en plus. On peut penser au cas de Ruag: là, aucune logique financière, mais sûrement des acteurs étatiques.
Avez-vous déjà vu un client payer une rançon et se faire attaquer une deuxième fois?
On a vu des sociétés dans ce cas-là, mais ce n’était pas des clients. On a été appelé après le premier paiement. Ils étaient démunis, parce qu'au moment de la deuxième étape, comme je vous l’ai décrit, ils se sont fait chiffrer à nouveau. Le paradigme de 2026, c'est l'«assume breach». On part du principe qu'on va être piraté, et le travail consiste à être prêt à ce que cela arrive (backups, procédures,etc..) et détecter l'attaque le plus vite possible pour en limiter les conséquences.