Ransomware ciblant les PME suisses : signes précurseurs à surveiller en 2026

Un trimestre suffit pour passer de l'intrusion au chiffrement

En 2024, le Centre national pour la cybersécurité (NCSC) a enregistré une hausse de 30 % des signalements d'incidents ransomware provenant de PME helvétiques. Le délai médian entre la compromission initiale et le déclenchement du chiffrement dépasse aujourd'hui 20 jours — une fenêtre d'opportunité que les équipes IT romandes n'exploitent que rarement, faute de savoir quoi chercher.

Anatomie d'une intrusion pré-ransomware en 2026

Phase 1 : accès initial (J-25 à J-20)

Les vecteurs d'entrée les plus fréquents contre les PME suisses restent le phishing ciblé (spearphishing avec usurpation d'un fournisseur connu), l'exploitation de VPN sans MFA sur des ports TCP 443 ou UDP 1194, et les accès RDP exposés sur TCP 3389. En 2025, des campagnes ont exploité des versions non corrigées de FortiGate (CVE-2024-21762) et de Cisco ASA encore présentes dans des parcs de 50 à 80 endpoints chez des fiduciaires et bureaux d'ingénieurs vaudois.

Signal à surveiller : authentifications réussies depuis des plages IP inhabituelles (hors Suisse, hors horaires métier) sur votre VPN ou votre gateway RDP, même avec des identifiants valides. Un compte de service qui se connecte à 03h17 depuis une IP roumaine est un indicateur de compromission (IoC) tangible, pas une anomalie à ignorer.

Phase 2 : persistance et reconnaissance interne (J-20 à J-10)

Une fois dans le périmètre, l'attaquant installe un implant (Cobalt Strike Beacon, Sliver, ou Brute Ratel C4 pour les groupes plus sophistiqués) et commence l'énumération : liste des partages réseau (SMB 445), inventaire Active Directory via LDAP 389/636, scan interne des ports TCP 22, 80, 443, 8080. Les outils légitimes du système sont massivement détournés — on parle de Living-off-the-Land (LotL) : net.exe, nltest.exe, wmic.exe, PowerShell avec -EncodedCommand.

Signaux à surveiller :

• Exécution de nltest /domain_trusts ou net group "Domain Admins" depuis une station de travail standard.
• Pics de trafic SMB latéral vers des serveurs de fichiers entre 23h00 et 05h00.
• Création de nouveaux comptes locaux ou ajout à des groupes privilégiés sans ticket de changement associé.
• Désactivation ou modification de la politique d'audit Windows (Event ID 4719).
• Apparition de tâches planifiées (schtasks) ou de clés Run/RunOnce dans la base de registre.

Phase 3 : exfiltration de données (J-10 à J-3)

Avant de chiffrer, les groupes ransomware modernes (modèle double extorsion) copient entre 10 Go et plusieurs téraoctets vers des serveurs C2 externes via HTTPS, SFTP ou des services cloud légitimes détournés (Mega.nz, rclone vers un bucket S3 attaquant). C'est ici que la conformité à la nLPD (nouvelle Loi fédérale sur la protection des données) entre directement en jeu : si des données personnelles sont exfiltrées, l'obligation de notification au Préposé fédéral à la protection des données (PFPDT) dans les meilleurs délais est activée — la loi ne fixe pas de délai chiffré comme le RGPD européen (72 h), mais la pratique attend une notification rapide dès que le risque est avéré.

Signaux à surveiller :

• Volume de données sortantes anormalement élevé sur le pare-feu (baseline à établir : votre PME exfiltre-t-elle normalement plus de 500 Mo/h vers Internet ?).
• Exécution de rclone.exe, WinSCP ou 7-Zip en mode silencieux depuis des serveurs de fichiers.
• Connexions DNS vers des domaines enregistrés depuis moins de 30 jours (DGA ou infrastructure fraîche).
• Accès massif à des partages contenant des libellés sensibles : Comptabilité, RH, Clients, Mandats.

Phase 4 : déclenchement du chiffrement (Jour J)

Le déclenchement est souvent planifié un vendredi soir ou un jour férié cantonal. L'attaquant désactive d'abord les solutions de sauvegarde (suppression des VSS via vssadmin delete shadows /all, arrêt des agents de backup), puis déploie le ransomware via GPO, PsExec ou WMI sur l'ensemble du parc. Sur un réseau plat sans segmentation, 250 endpoints peuvent être chiffrés en moins de 90 minutes.

Obligations légales post-incident : nLPD et NCSC

Notification au PFPDT

Dès qu'une violation de données personnelles est confirmée ou hautement probable, l'article 24 de la nLPD impose une notification au PFPDT si la violation est susceptible d'entraîner un risque élevé pour les personnes concernées. La procédure de signalement est disponible sur le site du PFPDT. Les étapes clés :

1. RSSI / DSI (H+0 à H+2) : confirmer la nature de l'incident, isoler les systèmes compromis, préserver les logs (Event Logs Windows, syslogs firewall, EDR telemetry).
2. Juriste (H+2 à H+6) : qualifier les données exposées (données personnelles sensibles au sens de l'art. 5 nLPD ? données de santé, opinions politiques, données financières ?).
3. Direction (H+6 à H+24) : décision de notification au PFPDT et, si applicable, communication aux personnes concernées.
4. RSSI (H+24 à H+72) : soumettre le formulaire de notification avec description de l'incident, catégories de données, nombre approximatif de personnes, mesures prises.

Signalement au NCSC

Le signalement au NCSC n'est pas une obligation légale générale pour les PME non-critiques, mais il est fortement recommandé : il permet au NCSC d'émettre des alertes pour protéger d'autres organisations suisses et d'obtenir un soutien technique gratuit. Le formulaire de signalement pour entreprises est accessible directement sur le site du NCSC.

Pour les établissements régulés (banques, assurances, gérants de fortune), la FINMA impose une notification immédiate selon la circulaire 2023/1 sur les risques opérationnels — délai indicatif de 24 heures pour les incidents majeurs.

Sanctions et responsabilités

La nLPD prévoit des amendes jusqu'à CHF 250 000 pour les personnes physiques responsables (art. 60 à 66 nLPD) — notamment en cas de violation d'obligations d'information ou de sécurité. La responsabilité civile complémentaire (art. 28ss CO) peut s'ajouter si des tiers subissent un préjudice du fait de la fuite. Un ransomware qui expose les données fiscales de 800 clients d'une fiduciaire genevoise place le responsable du traitement dans une position de risque juridique significatif.

Architectures de détection adaptées aux parcs de 20 à 150 endpoints

Journalisation centralisée minimale

Sans SIEM dédié, une PME peut déjà couvrir l'essentiel avec une stack ouverte (Graylog ou Wazuh) collectant :

• Windows Security Event Log : IDs 4624, 4625, 4648, 4719, 4720, 4732, 4768, 4769, 4776.
• Sysmon (schéma v15+) : création de processus (Event ID 1), connexions réseau (ID 3), modification de registre (ID 13), création de tâches planifiées (ID 12).
• Logs pare-feu : flux sortants vers des pays hors périmètre habituel, DNS vers domaines <30 jours.
• Logs VPN : authentifications par compte, par heure, par géolocalisation.

Rétention minimale recommandée : 90 jours, en ligne. Les CIS Benchmarks (niveaux 1 et 2) pour Windows Server 2022 et Windows 11 fournissent les valeurs de configuration d'audit précises à appliquer via GPO.

Segmentation réseau

Un réseau plat est la principale cause d'amplification d'un ransomware. Même sans budget infrastructure élevé, une PME de 50 postes peut implémenter des VLANs fonctionnels (VLAN 10 postes utilisateurs, VLAN 20 serveurs, VLAN 30 invités/IoT, VLAN 40 administration) avec des ACL inter-VLAN restrictives sur un switch manageable à CHF 400-800. Les serveurs de fichiers ne doivent pas être accessibles directement depuis les VLAN utilisateurs — accès via un jump host ou un proxy de fichiers.

Sauvegarde immuable hors bande

La règle 3-2-1-1 (3 copies, 2 médias différents, 1 hors site, 1 immuable) est le plancher pour résister à un ransomware. Une PME de 80 endpoints générant 2 To de données métier peut implémenter une sauvegarde immuable sur bande LTO ou sur objet S3 avec WORM (Object Lock) pour CHF 3 000 à 8 000/an selon le volume et le fournisseur. Tester la restauration au moins une fois par trimestre — pas le backup, la restauration.

Cas pratique : fiduciaire vaudoise de 35 postes

Contexte : Fiduciaire installée à Lausanne, 35 postes Windows 11 22H2 (non à jour vers 23H2), 1 serveur de fichiers Windows Server 2019, accès comptable via RDP exposé sur Internet (TCP 3389, sans NLA, sans MFA). Active Directory local. Pas de SIEM, pas d'EDR. Sauvegardes quotidiennes sur NAS local — même segment réseau que les postes.

Chronologie de l'incident reconstitué :

1. J-22 (lundi 03h41) : Connexion RDP réussie avec les identifiants d'un comptable (credential stuffing depuis une base leaked). Aucune alerte — pas de log centralisé.
2. J-21 à J-12 : Reconnaissance AD, exfiltration de 87 Go vers un serveur C2 via HTTPS sur TCP 443 (rclone déguisé en mise à jour). Données concernées : dossiers fiscaux de ~1 200 clients personnes physiques et morales.
3. J-5 : Désactivation du service Windows Backup et suppression des shadow copies VSS sur le serveur de fichiers.
4. Vendredi J (22h15) : Déploiement du chiffrement via PsExec sur 33 postes. Découverte le lundi matin à 07h30.

Impact chiffré :

• Paralysie opérationnelle : 9 jours ouvrés (restauration depuis bande LTO externalisée chez le prestataire IT, heureusement existante).
• Coût de réponse à incident (forensique externe, heures IT, communication) : CHF 38 000.
• Perte de facturation estimée sur 9 jours : CHF 22 000.
• Notification PFPDT obligatoire (données fiscales de personnes physiques = données sensibles) : soumise avec 6 jours de délai, avec avis d'avocat spécialisé (CHF 4 500).
• Total direct estimé : CHF 64 500, hors atteinte à la réputation et risque de résiliation de mandats.

Mesures correctives déployées post-incident (priorité 1, budget CHF 18 000) :

1. Activation MFA sur tous les accès distants (TOTP via Aegis/Authy + Conditional Access).
2. Fermeture du port TCP 3389 public — remplacement par VPN avec split-tunneling et MFA FIDO2.
3. Déploiement Sysmon + collecte Wazuh sur serveur dédié (CHF 2 200 matériel + 3 jours intégration).
4. Sauvegarde immuable externalisée avec Object Lock S3 (CHF 180/mois pour 3 To).
5. Segmentation réseau VLAN serveurs / postes (CHF 1 800 en switches Aruba CX manageable).
6. Formation phishing simulé trimestrielle pour les 35 collaborateurs.

Si un EDR et une journalisation centralisée avaient été en place, le signal de J-22 (connexion RDP à 03h41 depuis une IP moldave) aurait probablement déclenché une alerte dans l'heure. Coût d'une telle stack pour 35 endpoints : CHF 4 200 à 7 000/an selon la solution retenue. Le ROI est immédiat dès le premier incident évité.

Des solutions de MDM et de gestion centralisée des endpoints — comme celles proposées par SynGuard — permettent également de maintenir la conformité des configurations (CIS L1 automatisé, patches OS, inventaire en temps réel) sans nécessiter une équipe IT dédiée à plein temps.

Récapitulatif opérationnel

1. Fermer les expositions directes : auditer dans les 48h tous les ports TCP 3389, 22, 445, 5985 exposés sur Internet. Aucun accès RDP direct sans MFA et sans VPN.
2. Activer la journalisation Windows de niveau CIS Benchmark L1 : Event IDs critiques (4624, 4625, 4719, 4720, 4732), rétention 90 jours minimum.
3. Déployer Sysmon v15+ : configuration SwiftOnSecurity ou Olaf Hartong comme point de départ, adaptée à votre environnement.
4. Segmenter le réseau : VLAN serveurs isolé des postes utilisateurs, ACL entrantes restrictives. Les NAS et serveurs de backup doivent être injoignables depuis les VLAN utilisateurs.
5. Tester la restauration backup : une fois par trimestre, restaurer un serveur complet dans un environnement isolé. Documenter le RTO mesuré (objectif : <4h pour un serveur critique).
6. Établir un inventaire des données personnelles : savoir en moins de 2 heures quelles données sont sur quel serveur — indispensable pour qualifier une notification nLPD sous pression.
7. Préparer un plan de réponse à incident documenté : liste de contacts (NCSC, juriste nLPD, prestataire forensique), procédure d'isolation réseau par segment, procédure de notification PFPDT.
8. Signaler tout incident au NCSC : même sans obligation légale, le signalement est gratuit, confidentiel et utile à l'écosystème suisse.
9. Patcher sans délai les CVE critiques sur les équipements périmètre : VPN, firewall, RDP gateway — délai maximal acceptable : 72h après publication du patch pour les CVSS ≥9.0.
10. Former les collaborateurs trimestriellement : simulations de phishing ciblé, procédure de signalement interne en cas de message suspect — le vecteur humain reste l'entrée principale.

Sources

• Centre national pour la cybersécurité (NCSC) — Statistiques annuelles des incidents, conseils aux PME et formulaire de signalement.
• Nouvelle loi fédérale sur la protection des données (nLPD) — Fedlex — Texte consolidé de la nLPD, notamment articles 24 (violation de données) et 60-66 (sanctions).
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Procédure de notification en cas de violation de données personnelles.
• CIS Benchmarks — Center for Internet Security — Configurations de référence pour Windows 11, Windows Server 2022 et autres systèmes.
• NCSC — Que faire en cas d'incident ? (entreprises) — Procédure officielle de réponse à incident et contacts d'urgence pour les organisations suisses.