Rançongiciel : que faire quand les fichiers d'une entreprise sont chiffrés et qu'une rançon s'affiche ? Selon l'Office fédéral de la cybersécurité (OFCS), il faut d'abord couper les machines touchées du réseau, puis mettre les sauvegardes à l'abri, garder les traces de l'attaque, porter plainte et faire les annonces prévues par la loi.
Ce guide suit la réponse étape par étape. Le fonctionnement de l'attaque, ses portes d'entrée et les chiffres suisses sont traités dans notre dossier sur le rançongiciel en entreprise.
Le principe posé par l'OFCS sur sa page « Rançongiciels – que faire ? » tient en une phrase : rester calme et agir de façon réfléchie. Le but premier n'est pas de redémarrer au plus vite, mais de découvrir la voie d'infection et d'empêcher une nouvelle infection.
Quel est le premier geste face à une demande de rançon ?
Isoler. L'OFCS demande de déconnecter immédiatement les systèmes infectés : retirer le câble réseau de l'ordinateur et désactiver les éventuels adaptateurs sans fil.
Le communiqué commun du Ministère public de la Confédération (MPC), de l'Office fédéral de la police (fedpol) et de l'OFCS du 16 octobre 2025 va plus loin. En cas d'incident, il recommande de bloquer d'abord toutes les connexions Internet : web, courriel, accès à distance et réseaux privés virtuels (VPN) entre sites.
Deuxième urgence, les sauvegardes. Le même communiqué demande de les vérifier et de les sécuriser immédiatement.
Troisième geste, mobiliser les bonnes personnes. Le guide « Gestion des urgences informatiques » de l'assureur Helvetia conseille de contacter tous les interlocuteurs internes requis et d'interroger les utilisateurs sur ce qu'ils ont fait et observé. Il recommande aussi de garder un plan d'urgence imprimé : pendant une attaque, le système informatique peut être inaccessible, et la liste des contacts avec lui.
Pourquoi ne faut-il ni effacer ni redémarrer les machines ?
Parce que les traces de l'attaque sont aussi des preuves. L'OFCS recommande de faire sauvegarder les mémoires et les disques durs par un spécialiste avant toute tentative de réparation ou tout redémarrage. Selon l'office, ces gestes rendent ensuite presque impossible l'analyse forensique, c'est-à-dire l'enquête technique sur l'intrusion.
Les fichiers journaux (logs) sont la matière première de cette enquête. Ils permettent de repérer les systèmes touchés, par exemple les accès aux lecteurs réseau. Ceux des serveurs de messagerie, des serveurs proxy et des pare-feux révèlent les adresses URL et IP des assaillants. L'OFCS conseille de bloquer ces adresses sur le pare-feu ou le proxy, et de conserver les journaux.
La décision de mener une analyse forensique se prend tôt. Elle compte surtout si l'entreprise veut déposer plainte : l'OFCS recommande alors d'informer dès le début les autorités de poursuite pénale et de discuter avec elles des étapes suivantes. Sans compétences internes, il conseille de faire appel à une entreprise spécialisée.
Dernier réflexe : ne pas jeter les données chiffrées. Les autorités ont parfois obtenu des clés au cours de leurs enquêtes, rappelle l'OFCS ; des fichiers chiffrés conservés pourront peut-être être déchiffrés plus tard. Helvetia ajoute de documenter les faits liés à l'incident au fur et à mesure.
Qui prévenir, et dans quel délai ?
Plusieurs annonces se mènent en parallèle, chacune avec sa logique. Le tableau reprend celles que citent l'OFCS, le Préposé fédéral à la protection des données et à la transparence (PFPDT) et le guide d'Helvetia.
| Destinataire | Pourquoi | Quand |
|---|---|---|
| Police cantonale du siège | Dénonciation pénale ; recommandée dans tous les cas par le MPC, fedpol et l'OFCS | Tôt, avant toute mesure sur la rançon |
| OFCS, exploitants d'infrastructures critiques | Obligation de signaler en vigueur depuis le 1er avril 2025 | 24 heures après la détection, 14 jours pour compléter |
| OFCS, autres entreprises | Signalement volontaire | Pas de délai imposé |
| PFPDT | Violation de la sécurité des données à risque élevé pour les personnes (art. 24 de la loi sur la protection des données) | Dans les meilleurs délais |
| Assureur cyber | Information recommandée par Helvetia ; l'assureur peut fournir un réseau d'experts | Dès l'incident, si un contrat existe |
Pour une infrastructure critique, la question du signalement est vite tranchée. Selon l'OFCS, une cyberattaque doit être annoncée notamment lorsqu'elle s'accompagne de chantage, de menaces ou de contrainte. Notre analyse : un rançongiciel, par nature, remplit ce critère. Sont assujetties notamment les entreprises de l'énergie, de l'eau potable et des transports, ainsi que les autorités cantonales et communales ; la loi prévoit des amendes en cas d'omission.
Côté protection des données, le critère est différent. La loi parle de violation de la sécurité quand des données personnelles sont perdues, effacées, détruites, modifiées ou rendues accessibles à des personnes non autorisées, rappelle le guide du PFPDT mis à jour le 23 avril 2025. L'annonce passe par son formulaire en ligne DataBreach, qui délivre une confirmation. Le même article 24 règle l'information des personnes concernées.
La plainte, enfin, n'est pas une formalité. Les victimes qui y renoncent par crainte pour leur réputation privent l'enquête de pistes, soulignent le MPC, fedpol et l'OFCS. Exemple daté : en novembre 2026, le centre médical Gleis D, à Coire, a porté plainte et annoncé l'incident à l'OFCS et au PFPDT, comme l'a relevé notre article sur la cyberattaque à Coire chez Gleis D.
Que dire aux employés, aux clients et aux médias ?
Peu, mais vite et juste. Sur sa page « Cyberattaque – comment communiquer ? », l'OFCS pose deux règles d'ordre : l'interne avant l'externe, et les canaux de l'entreprise avant les médias. Avant toute annonce publique, toutes les personnes concernées doivent connaître les faits et une version officielle commune.
Le moment de la divulgation se pèse. L'OFCS invite à vérifier deux points : la publication gêne-t-elle l'enquête policière et l'analyse forensique ? Les informations sont-elles vérifiées ? En principe, l'office préfère une communication rapide, proactive et transparente à une crise tenue secrète.
L'office découpe la communication en trois phases : l'annonce de l'attaque, sa gestion, puis sa fin. Avec les cantons de Zurich et de Vaud, il a publié le 8 mars 2024 des modèles Word pour chaque phase d'une attaque par rançongiciel, en version entreprise, ainsi qu'un modèle de questions-réponses pour les médias. L'État de Vaud publie en plus des fiches réflexes pour le rançongiciel, l'une pour les utilisateurs, l'autre pour les techniciens.
Distinguer le confirmé du revendiqué évite de se laisser dicter le récit. Lors de la cyberattaque contre Holcim, en novembre 2026, le groupe zougois a confirmé un accès limité et un vol de données ; le volume de 360 Go venait, lui, des pirates. Les clients méritent aussi une mise en garde : Gleis D a averti ses patients de possibles tentatives de fraude. Helvetia propose un modèle de courrier aux clients après une cyberattaque avérée.
Comment préparer la décision sur la rançon ?
En vérifiant d'abord toutes les autres voies. Ce guide ne détaille pas le débat sur le paiement ; il s'en tient à la position officielle. L'OFCS déconseille de payer : rien ne garantit que les criminels ne publieront pas les données, et chaque chantage réussi finance de nouvelles attaques. L'office recommande instamment de discuter avec la police cantonale avant tout paiement envisagé.
Plusieurs pistes de récupération existent même sans sauvegarde, selon l'OFCS. Un déchiffrement est parfois possible si :
- le rançongiciel n'a pas chiffré ou effacé les clichés instantanés (shadow copies) de Windows ;
- il existe des instantanés de machines virtuelles ou des versions antérieures des fichiers dans un service en nuage ;
- les fichiers effacés peuvent être restaurés par une analyse forensique ;
- le chiffrement présente des erreurs, ou la clé est déjà connue.
Pour ce dernier cas, l'OFCS renvoie au site No More Ransom, projet de la police néerlandaise et d'Europol auquel la Confédération participe. Il aide à identifier le maliciel et propose des clés déjà connues.
Quand l'activité peut-elle reprendre ?
Après la réinstallation, pas avant. L'OFCS juge nécessaire de réinstaller les systèmes infectés avant de restaurer les données, avec un système d'exploitation tiré d'un support fiable.
La reprise ne clôt pas l'incident. Helvetia conseille de combler les failles révélées par l'attaque, de surveiller de près réseau et systèmes pour déceler une nouvelle tentative, puis de revoir règles et processus. Notre analyse : ce retour d'expérience est aussi le moment d'écrire le plan d'urgence qui manquait.
Chiffres clés
- 24 heures : délai d'annonce à l'OFCS pour un exploitant d'infrastructure critique, puis 14 jours pour compléter.
- 1er avril 2025 : entrée en vigueur de l'obligation de signaler, décidée par le Conseil fédéral le 7 mars 2025.
- Environ 200 entreprises suisses victimes du seul groupe Akira, selon le communiqué du 16 octobre 2025.
- 4 à 5 cas liés à Akira par semaine, un record en Suisse selon les autorités.
- 3 phases de communication de crise, avec des modèles publiés par l'OFCS le 8 mars 2024.
D'autres cas suisses figurent dans notre rubrique menaces et attaques informatiques.
Sources
- Office fédéral de la cybersécurité : « Rançongiciels – que faire ? »
- Office fédéral de la cybersécurité : « Cyberattaque – comment communiquer ? »
- Office fédéral de la cybersécurité : « Information sur l'obligation de signaler »
- MPC, fedpol et OFCS : « Cybercriminalité : Le groupe AKIRA intensifie ses activités », communiqué du 16 octobre 2025
- Préposé fédéral à la protection des données et à la transparence : « Guide sur la notification des violations de la sécurité des données »
- Helvetia : « Gestion des urgences informatiques »
- État de Vaud : « Réagir à une cyberattaque »
