Veille
6 minutesRansomware :quand la sauvegarde ne suffit plus
Les attaques récentes en Suisse ne cherchent plus seulement à bloquer vos fichiers. Elles les volent d'abord — et la restauration n'efface pas une fuite.
Au printemps 2026, le groupe technologique RUAG a confirmé avoir versé une rançon aux cybercriminels du groupe Akira, après le piratage de l’une de ses filiales. La même bande a frappé environ deux cents organisations en Suisse. Ces affaires ne sont pas des cas isolés : en 2025, près de 65 000 signalements de cyberattaques ont été enregistrés dans le pays, et les attaquants ont changé de méthode.
Pendant des années, le conseil tenait en une phrase : ayez de bonnes sauvegardes, et un rançongiciel ne pourra pas vous forcer à payer. Ce raisonnement reste juste, mais il ne couvre plus qu’une partie du problème. Les groupes les plus actifs aujourd’hui commencent par voler les données avant de les chiffrer — et une donnée volée, aucune sauvegarde ne peut la récupérer.
Ce qui a changé
D'un chiffrement qui bloque à une extorsion qui expose.
Le rançongiciel « classique » chiffrait vos fichiers, puis demandait une rançon pour la clé de déchiffrement. Face à ce scénario, une sauvegarde saine et restaurable suffisait souvent à reprendre l'activité sans payer.
La méthode dominante est désormais la double extorsion : les attaquants copient d'abord vos données, puis les chiffrent. Si vous refusez de payer, ils menacent de publier ou de revendre les informations dérobées — contrats, données clients, fiches du personnel, dossiers médicaux.
Certains groupes vont plus loin et abandonnent même le chiffrement. Ils se contentent de voler les données et d'exiger un paiement pour ne pas les divulguer. Plus rapide, plus discret, et insensible à la qualité de vos sauvegardes.
Le point aveugle
La sauvegarde répond à la disponibilité, pas à la confidentialité.
1
Restaurer ≠ reprendre le contrôle
Une bonne sauvegarde vous permet de remettre vos systèmes en route. Elle ne change rien au fait qu'une copie de vos données se trouve désormais entre les mains d'un tiers.
2
La pression vient de la fuite
Le levier de l'attaquant n'est plus « vous ne pouvez plus travailler », mais « nous allons rendre vos données publiques ». La menace persiste même après une restauration complète.
3
Les obligations restent
Une fuite de données personnelles peut entraîner une obligation d'annonce et d'information des personnes concernées. Restaurer un serveur ne fait pas disparaître cette responsabilité.
Ce qui protège réellement
Empêcher l'intrusion et la repérer, pas seulement réparer après coup.
Puisqu'on ne peut plus compter sur la seule restauration, l'effort se déplace vers l'amont : réduire les chances qu'un attaquant entre, et augmenter celles de le détecter avant qu'il n'exfiltre des données.
Détecter
Surveiller, pas seulement protéger
Un vol de données laisse des traces : connexions inhabituelles, transferts massifs, accès hors horaires. Une surveillance active des postes et du réseau permet de réagir pendant l'attaque, pas après.
Réduire
Limiter ce qui est accessible
Authentification à deux facteurs, droits d'accès au plus juste, segmentation du réseau : si un compte est compromis, l'attaquant ne doit pas pouvoir atteindre l'ensemble de vos données.
Préserver
Des sauvegardes hors d'atteinte
La sauvegarde reste indispensable — à condition qu'une copie soit immuable ou déconnectée. Les attaquants cherchent désormais à détruire les sauvegardes avant de chiffrer le reste.
À éviter
Les raisonnements qui rassurent à tort.
« Nous avons des sauvegardes, nous sommes couverts. » C'est vrai pour la disponibilité, faux pour la confidentialité. Le vol de données contourne entièrement cette protection.
« Nous sommes trop petits pour intéresser ces groupes. » Les attaques actuelles sont largement automatisées et opportunistes. Une PME disposant de données réelles et de défenses modestes est précisément une cible rentable.
« Notre antivirus s'en occupe. » Un antivirus bloque des fichiers connus. Il ne repère pas un attaquant qui utilise des identifiants volés et se déplace lentement, en se faisant passer pour un utilisateur légitime.
Le point de vue OCEA
La sauvegarde reste le socle. Elle n'est plus le toit.
La règle 3‑2‑1 garde toute sa valeur : sans sauvegarde fiable et testée, une PME reste vulnérable aux pannes, aux erreurs et au chiffrement. Si ce point n'est pas encore réglé, c'est par là qu'il faut commencer — nous l'expliquons dans notre article sur la règle 3‑2‑1.
Mais face aux attaques de 2026, la bonne question n'est plus seulement « pourrions-nous redémarrer ? ». Elle devient « saurions-nous repérer une exfiltration de données à temps, et limiter ce qu'un compte compromis peut atteindre ? ».
Pour un dirigeant, l'objectif n'est pas de maîtriser chaque outil, mais de savoir où en est l'entreprise sur trois axes : ce qui est surveillé, ce qui est cloisonné, et ce qui pourrait fuiter. C'est exactement le rôle d'un regard externe : transformer une impression de sécurité en constats vérifiables et en priorités concrètes.
Prochaine étape
Sauriez-vous détecter un vol de données avant qu'il ne soit publié ?
Un premier échange permet de faire le point sur ce qui est sauvegardé, ce qui est surveillé, et ce qu'il faudrait renforcer en priorité face aux attaques actuelles. Sans engagement.