Holcim, le groupe de matériaux de construction basé à Zoug, a confirmé une cyberattaque et un vol de données, selon le magazine informatique ICTjournal du 4 novembre 2026. Le groupe de rançongiciel Emperador affirme avoir dérobé 360 gigaoctets (Go) de données et menace de les publier. Holcim assure que sa production et ses livraisons ne sont pas touchées. La nature des données volées reste inconnue.

Cyberattaque Holcim : ce qui est confirmé, ce qui est revendiqué

Deux voix s'expriment, et elles n'ont pas le même poids. ICTjournal reprend les informations d'Inside IT, un média spécialisé qui a interrogé Holcim. Le groupe y confirme avoir détecté un « accès non autorisé et limité » à ses données, ainsi qu'un vol d'informations. Il ne dit pas lesquelles.

Holcim affirme aussi que l'attaque n'a touché ni ses systèmes de contrôle industriel, ni ses sites de production, ni ses réseaux logistiques. Ses activités et les livraisons aux clients se poursuivent sans restriction, selon le groupe. Dès la découverte de l'incident, ses équipes de sécurité ont pris des mesures pour le contenir et ont lancé une enquête.

Le volume de 360 Go et la menace de publication viennent, eux, des pirates. Aucune des sources disponibles ne les a vérifiés.

ÉlémentStatutQui l'affirme
Accès non autorisé et limité aux donnéesConfirméHolcim, interrogé par Inside IT
Vol d'informationsConfirmé, sans détailHolcim, interrogé par Inside IT
Production, sites et logistique épargnésAffirméHolcim
Vol de 360 Go de donnéesRevendiquéEmperador
Menace de publicationRevendiquéeEmperador
Environ 80 attaques depuis aoûtRapporté, non vérifiéInside IT
Demande de rançonInconnueAucune information

L'activité que Holcim dit préservée pèse lourd. Le groupe dirigé par Miljan Gutovic a réalisé 4,66 milliards de francs de chiffre d'affaires au seul troisième trimestre 2026, selon ses résultats publiés le 23 octobre 2026 et relayés par l'agence AWP.

Comment fonctionne la double extorsion ?

Emperador appartient à la famille des groupes de rançongiciel. Selon Inside IT, cité par ICTjournal, ses opérateurs ne seraient actifs que depuis août, mais auraient déjà mené environ 80 attaques. Ces chiffres restent ceux du média, pas d'une autorité.

Ces groupes recourent souvent à la double extorsion, rappelle ICTjournal. Ils volent des données et chiffrent en même temps les systèmes de la victime. Ils exigent ensuite une rançon, à la fois pour déchiffrer les systèmes et pour ne pas divulguer les informations dérobées.

La menace de publication est le levier principal. Le Ministère public de la Confédération, l'Office fédéral de la police (fedpol) et l'Office fédéral de la cybersécurité (OFCS) l'ont décrit dans un communiqué du 16 octobre 2025, repris dans notre guide sur le rançongiciel en entreprise. Si la rançon n'est pas payée dans le délai fixé, les données sont publiées sur un site de fuite du darknet.

Holcim n'évoque pas de chiffrement de ses systèmes. Le groupe parle d'un accès à ses données et d'un vol, pas d'un blocage de ses activités. Selon ICTjournal, aucune information ne permet de dire si une rançon a été demandée.

Une revendication de pirates ne vaut pas preuve. Lors de la vague de fuites revendiquées en France le 17 octobre 2026, la plupart des chiffres annoncés restaient à confirmer. Notre analyse : un volume de 360 Go ne dit rien, à lui seul, du contenu des fichiers ni des personnes concernées.

Holcim doit-il signaler la cyberattaque à l'OFCS ?

Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent annoncer une cyberattaque à l'OFCS dans les 24 heures suivant sa détection. Le Conseil fédéral l'a décidé le 7 mars 2025, selon son communiqué. Ces annonces doivent permettre à l'OFCS d'aider la victime et d'alerter tôt les autres exploitants.

La page « Qui doit signaler ? » de l'OFCS cite plusieurs catégories assujetties. Ce sont notamment les entreprises de l'approvisionnement en énergie et en eau potable, les entreprises de transport et les autorités cantonales ou communales. La liste complète figure à l'article 74b de la loi sur la sécurité de l'information (LSI). L'ordonnance sur la cybersécurité (OCyS) en règle les exceptions.

Les matériaux de construction ne figurent pas parmi les exemples cités par l'OFCS. Holcim n'a pas dit si l'une de ses sociétés est soumise à l'obligation, ni s'il a annoncé l'attaque à l'office. Notre analyse : sans ces précisions, on ne peut affirmer ni que le groupe était tenu de signaler, ni qu'il ne l'était pas.

D'autres annonces existent hors de cette obligation. Une entreprise qui n'exploite pas d'infrastructure critique peut signaler une attaque à l'OFCS de façon volontaire, sans délai imposé. Une violation de la sécurité des données qui présente un risque élevé pour les personnes concernées s'annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT), selon l'article 24 de la loi sur la protection des données. Notre guide pour bâtir un plan de réponse aux cyberattaques détaille ces démarches.

Rançongiciel en entreprise : la situation en Suisse en 2026

Le nombre d'attaques par rançongiciel reste stable en Suisse. Selon le communiqué de l'OFCS du 24 août 2026 sur son rapport semestriel, il a stagné à 79 au premier semestre 2026. L'office observe une nette diversification et une fragmentation des familles de rançongiciels.

L'obligation de signaler produit désormais des chiffres réguliers. Au premier semestre 2026, l'OFCS a reçu 200 annonces d'infrastructures critiques. Le secteur public (19,4 %) et celui de l'informatique et des télécommunications (18,6 %) en fournissent la plus grande part. Les fuites de données représentent 12,7 % des attaques annoncées, autant que les attaques contre la disponibilité des services (DDoS).

Le dispositif a pris de l'ampleur dès sa première année. Le communiqué de la Confédération du 30 mars 2026 comptait 325 annonces obligatoires depuis l'entrée en vigueur, dont 145 au second semestre 2025.

Holcim s'ajoute à une série de vols de données en Suisse cet automne. Fin septembre 2026, des données de la caisse de pension de la Ville de Zurich ont été volées chez un prestataire logiciel externe. Le 23 octobre 2026, le Préposé fédéral a ouvert une enquête contre PK Softech, fournisseur de logiciels de plusieurs caisses de pension. L'attaque contre son infrastructure a notamment entraîné une fuite de données chez Publica, la Caisse fédérale de pensions. Ces cas n'ont pas été attribués à un groupe de rançongiciel.

Le canton de Vaud a, lui, rendu ses annonces publiques. Après la cyberattaque du canton de Vaud, annoncée le 31 octobre 2026, il a signalé l'incident à l'OFCS et à son autorité de protection des données. D'autres cas suisses figurent dans notre rubrique menaces et attaques informatiques.

Que surveiller pour les clients et les fournisseurs de Holcim ?

Tant que Holcim ne précise pas la nature des données, personne ne sait qui est concerné. Les dossiers suisses récents montrent toutefois un risque récurrent. Après les vols de données des caisses de pension et du canton de Vaud, 2clics relevait déjà qu'une fuite peut rendre un message frauduleux plus crédible.

Notre analyse : un client ou un fournisseur de Holcim gagne à traiter avec prudence un message inhabituel qui se réclamerait du groupe. Le canton de Vaud donnait des consignes simples à ses utilisateurs : ne jamais communiquer son mot de passe, se méfier des messages urgents ou inhabituels, signaler tout message suspect.

Ce qu'on ne sait pas encore

  • La nature des données volées : Holcim ne l'a pas précisée, et le volume de 360 Go n'est confirmé par personne d'autre qu'Emperador.
  • Une éventuelle demande de rançon : aucune information ne permet de dire si elle a été formulée.
  • Les annonces aux autorités : Holcim n'a pas dit s'il a signalé l'attaque à l'OFCS ou au Préposé fédéral.

Sources