Cyberattaques: comment les entreprises se protègent efficacement

L’attaque par ransomware contre la société informatique bernoise Xplain en mai 2023 est considérée comme l’une des cyberattaques les plus lourdes de conséquences. Environ 1,3 million d’objets de données ont été volés, dont plus de 9000 objets de l’Administration fédérale. Plus de la moitié d’entre eux contenaient des informations sensibles. L’Office fédéral de la police (Fedpol), l’Office fédéral des douanes et de la sécurité des frontières (OFDT), diverses polices cantonales, les CFF et le canton d’Argovie ont notamment été touchés.

Même les grandes entreprises suisses et les services fédéraux ne sont pas à l’abri de cyberattaques professionnelles.

Une cyberattaque peut se dérouler de différentes manières, en fonction de l’objectif des criminels. Lors d’attaques par rançongiciel, les pirates cryptent d’abord les données et les systèmes importants de l’entreprise, puis demandent une rançon pour le décryptage. Souvent, les données sont également volées et les criminels menacent de les publier.

Lors d’attaques par hameçonnage, les escrocs obtiennent des données d’accès via des e-mails ou des sites Internet falsifiés et peuvent ensuite se propager dans le réseau de l’entreprise. La fraude au président et la fraude à la facturation visent directement les paiements, en incitant les collaborateurs à effectuer des virements sur de faux comptes. Les attaques de vishing utilisent des appels téléphoniques afin d’inciter les victimes à installer des logiciels à distance, ce qui donne aux criminels un accès complet au système.

Les conséquences vont de la perte de données aux interruptions d’exploitation, en passant par des dommages financiers considérables et une atteinte à la réputation. Point particulièrement critique: de nombreuses attaques passent tout d’abord inaperçues et pendant ce temps, les auteurs fouillent systématiquement le réseau.

La durée d’une cyberattaque peut considérablement varier. La compromission proprement dite d’un système peut se produire en quelques minutes ou en quelques heures, par exemple lorsqu’un collaborateur ou une collaboratrice clique sur un lien d’hameçonnage ou révèle des données d’accès. Les pirates professionnels restent toutefois souvent plusieurs semaines dans le réseau sans être détectés avant de frapper. Ils utilisent cette phase pour obtenir des droits d’administrateur, infiltrer d’autres systèmes et identifier des données précieuses. Dans le cas d’attaques au rançongiciel, le cryptage se fait alors brusquement, souvent la nuit ou le week-end, lorsque personne ne peut réagir.

La récupération après une attaque nécessite généralement plusieurs jours à plusieurs semaines. Le moment de la détection est ici critique: plus une attaque est détectée rapidement, moins les dégâts sont importants. L’OFCS recommande donc une surveillance continue et des mécanismes de réaction rapide.

En Suisse, ce n’est pas l’entreprise qui est responsable en cas de violation de la protection des données, mais la personne physique responsable. Cela constitue une différence importante par rapport au RGPD de l’UE. La loi révisée sur la protection des données (LPD) prévoit des amendes pouvant aller jusqu’à 250 000 francs, qui sont dirigées contre le responsable de l’organisation, typiquement la direction ou le conseil d’administration. La condition est d’agir intentionnellement, le dol éventuel (l’acceptation d’une infraction) étant déjà suffisant.

Une erreur fréquente: les cyberattaques ne sont pas automatiquement considérées comme un «cas de force majeure». En l’absence de mesures de protection de base telles que l’authentification à deux facteurs ou les pare-feu, l’attaque est souvent considérée comme évitable. Depuis avril 2025, les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’OFCS dans les 24 heures. En cas d’infraction, les amendes peuvent atteindre 100 000 francs. Outre la responsabilité pénale, des demandes de dommages et intérêts au civil peuvent être formulées par les clients ou les partenaires commerciaux touchés. Les entreprises devraient donc mettre en œuvre et documenter des mesures techniques et organisationnelles appropriées.

Les cyberattaques ont principalement deux objectifs: tout d’abord, le gain financier par l’extorsion (rançongiciel), la fraude (fraude au président, fraude à la facturation) ou le vol d’informations de paiement. Deuxièmement, le vol de données et l’espionnage, par exemple de secrets commerciaux, de données clientèle ou d’informations stratégiques. Parfois, ces deux objectifs sont combinés: des données sont volées et l’entreprise est en outre soumise à un chantage.

La responsabilité de la cybersécurité est partagée: la direction assume la responsabilité stratégique et doit mettre à disposition des mesures et des budgets appropriés. Le service informatique met en œuvre des mesures de sécurité techniques telles que des pare-feu, des logiciels antivirus et des contrôles d’accès. Mais les collaborateurs eux-mêmes restent la principale ligne de défense: plus de 90% des attaques réussies étant dues à une erreur humaine (clic sur un lien de phishing, divulgation de mots de passe), une sensibilisation et une formation continues sont indispensables. La cybersécurité n’est donc pas une tâche purement informatique, mais une responsabilité d’entreprise globale qui ne peut fonctionner que grâce à la coopération de l’ensemble des parties prenantes.