Paysage des cybermenaces en Suisse : l'écart entre la fréquence des attaques et la connaissance du conseil d'administration se creuse
Check Point a enregistré en août 2026 une moyenne de 1 515 cyberattaques hebdomadaires par organisation en Suisse, soit une hausse de 36 % sur un an. La Suisse s’en sort néanmoins mieux que ses voisins germanophones : l’Allemagne a enregistré 1 834 attaques (+53 %) et l’Autriche 2 468 (+41 %). L’administration publique reste le secteur le plus touché, suivi des biens et services de consommation, puis de la santé. (Check Point)
Publiée le même jour, une enquête distincte a révélé que les conseils d’administration suisses manquent d’expertise cyber. Lus ensemble, ces deux rapports décrivent un écart qui se creuse entre la fréquence à laquelle les organisations sont attaquées et le niveau de compréhension de ce risque par les responsables qui en répondent.
Deux évolutions méritent plus d’attention que le chiffre principal. D’abord, un changement dans la logique de ciblage : les attaquants choisissent de plus en plus leurs cibles selon la facilité d’accès plutôt que la valeur du contenu. Cela démantèle l’idée persistante, chez les PME suisses, que la petite taille garantirait un manque d’intérêt pour les attaquants. Ensuite, l’émergence d’Orova, un groupe de ransomware apparu pour la première fois en mai 2026, qui cible spécifiquement les PME de certains secteurs et avait déjà grimpé à la troisième place des groupes les plus actifs dès août. Le phishing reste la voie d’entrée principale, avec environ un e-mail sur 112 classé comme phishing, s’appuyant de plus en plus sur la pression temporelle et les déclencheurs émotionnels plutôt que sur de simples liens.
Une organisation peut absorber un déficit de connaissances au niveau du conseil tant que les incidents restent rares. À 1 515 attaques hebdomadaires, avec des groupes ciblant délibérément des entreprises de cette taille, cette tolérance disparaît. La conséquence pratique n’est pas que les administrateurs aient besoin d’une formation technique. C’est qu’ils doivent être en mesure de poser les bonnes questions : l’organisation peut-elle continuer à fonctionner pendant un incident, qui décide face à une demande d’extorsion, et quelles sont les obligations de reporting. Sous NIS2 et DORA — qui touchent toutes deux les entreprises suisses via leurs activités et chaînes d’approvisionnement tournées vers l’UE — la responsabilité de la direction en matière de risque cyber est explicite, non implicite. Un conseil incapable de décrire sa propre exposition a un problème de gouvernance, pas un problème IT.
Une démarche de préparation concrète commence par l’examen de la surface d’attaque : ce qui est joignable depuis Internet avec des identifiants valides et sans exploit — portails d’accès à distance, points d’accès VPN, webmail, interfaces d’administration. L’authentification multifacteur sur chacun d’eux est le contrôle isolé à plus forte valeur dont dispose une organisation de taille plus modeste. Le phishing reposant de plus en plus sur l’urgence plutôt que sur des signaux techniques évidents, une discipline de vérification via un canal séparé, convenu à l’avance, compte pour les instructions de paiement, les changements de coordonnées bancaires et les demandes d’identifiants.
Sur le plan de la gouvernance, trois questions devraient figurer au prochain ordre du jour du conseil, avec des réponses consignées : combien de temps pourrions-nous fonctionner sans nos systèmes principaux, qui décide de payer ou non, et que devons-nous signaler, et à qui. Si ces questions ne trouvent pas de réponse en séance, c’est cela, le constat. Si l’IT est externalisée, demandez au prestataire lesquels de ces contrôles sont réellement en place plutôt que simplement disponibles, et à quand remonte le dernier test complet de restauration des sauvegardes.
Message clé : Les attaques contre les organisations suisses ont augmenté de 36 % sur un an, les ransomwares ont à peu près doublé à l’échelle mondiale, et un nouveau groupe cible spécifiquement les PME par secteur. Les attaquants choisissent leurs cibles selon la facilité d’accès plutôt que la valeur, retirant aux petites entreprises la protection que leur taille était censée leur offrir. Fermez d’abord les points d’entrée faciles, imposez une vérification par canal séparé pour tout ce qui touche à l’argent ou aux identifiants, et assurez-vous que le conseil puisse répondre à trois questions de base avant qu’un incident ne l’y contraigne.
