Cybersécurité suisse et l'illusion d'une nouvelle épidémie numérique

Lorsque la nouvelle est tombée que le logiciel servant les caisses de pension de Migros, La Poste Suisse, la Confédération et la Ville de Zurich avait été compromis, il semblait que les institutions suisses faisaient face à un siège numérique sans précédent. Ajoutez les récents incidents de sécurité chez le groupe de médias SRG et la place de marché en ligne Ricardo, et le scénario s'écrit de lui-même : une nation prospère ciblée par des cybercriminels sophistiqués. Pourtant, cette soudaine flambée de gros titres en révèle beaucoup moins sur un monde de hackers nouvellement agressif et beaucoup plus sur la confortable naïveté qui permettait auparavant aux entreprises nationales de taire leurs échecs opérationnels.

La visibilité de ces brèches découle directement de la pression réglementaire. Depuis le 1er avril 2025, les opérateurs d'infrastructures critiques en Suisse sont légalement tenus de signaler les cyberincidents spécifiques, en particulier ceux impliquant des données volées, à l'Office fédéral de la cybersécurité (OFCS). Les chiffres démontrent l'impact immédiat de ce mandat. Le mois précédant la nouvelle règle, seulement sept entreprises avaient signalé un incident. En septembre, ce total mensuel est passé à 63. Entre avril et fin septembre, l'OFCS a enregistré 164 notifications, le secteur financier étant en tête des statistiques de déclaration.

La menace de sanctions financières a sensiblement aiguisé la diligence des entreprises. Les opérateurs d'infrastructures qui ne respectent pas l'obligation de notification encourent des amendes allant jusqu'à 100 000 francs suisses. Au-delà de la contrainte légale, un changement de stratégie d'entreprise est en jeu. Là où la direction préférait autrefois le silence par profonde gêne face aux lacunes de sécurité, la communication proactive est devenue la nouvelle norme. Apparaître aux côtés de pairs respectables sur la liste des victimes est apparemment bien moins préjudiciable au prestige de l'entreprise que d'être pris à dissimuler une brèche après coup.

Les dirigeants d'entreprise invoquent fréquemment l'intelligence artificielle avancée pour expliquer leurs malheurs, projetant l'image de cibles impuissantes face à des outils futuristes. Bien que l'IA puisse analyser le code logiciel pour identifier les vulnérabilités plus rapidement que les programmeurs humains, le déploiement de modèles d'IA malveillants spécialisés exige un temps considérable, des compétences techniques et une puissance de calcul coûteuse. La réalité à laquelle sont confrontés les conseils d'administration suisses est bien plus terre à terre. La plupart des intrusions réussies ne reposent pas sur des agents logiciels de pointe. Au lieu de cela, les attaquants réussissent régulièrement en exploitant des lacunes de base en matière de cyberhygiène, utilisant des kits de phishing prêts à l'emploi loués pour quelques centaines de dollars par mois pour pénétrer des systèmes qui ont laissé des vulnérabilités connues non corrigées pendant des années.

Écrit par Martina Kirchner martina.kirchner@alpineweekly.com