Le Groupe 3R, le Réseau radiologique romand, a annoncé début mai 2026 avoir été victime d’une nouvelle intrusion informatique survenue fin avril. Cette entreprise exploite une vingtaine de centres d’imagerie médicale répartis dans les cantons de Vaud, Genève, Valais, Fribourg, Neuchâtel, Berne et Zurich. C’est la deuxième fois en l’espace d’un an que ce réseau est touché, la première attaque remontant à avril 2025.

Cet incident n’est pas une curiosité technique réservée aux spécialistes. Il illustre des mécanismes qui concernent toutes les entreprises, y compris les plus petites, et mérite qu’on s’y arrête.

Ce qui s’est passé, en clair

Selon les informations communiquées, l’intrusion a provoqué une indisponibilité partielle des systèmes informatiques du groupe. Concrètement, les vingt centres sont restés ouverts, mais avec des capacités réduites : certains types d’examens ont dû être reportés. Une intrusion informatique désigne l’accès non autorisé d’un tiers aux systèmes d’une organisation, souvent dans le but de voler des données ou de bloquer leur fonctionnement.

L’entreprise a indiqué qu’il n’était pas possible, à ce stade, de dire avec certitude si des données avaient été volées. Elle a précisé qu’aucune rançon ne serait payée, conformément aux recommandations des autorités, a déposé une plainte pénale et a signalé l’incident à l’Office fédéral de la cybersécurité (OFCS, l’autorité fédérale qui centralise les annonces de cyberattaques en Suisse).

Pourquoi le secteur de la santé est visé

Les centres médicaux et les hôpitaux concentrent des données particulièrement sensibles : dossiers de patients, images médicales, informations administratives. Ces données ont une grande valeur pour les criminels, soit pour les revendre, soit pour faire pression sur l’établissement. À cela s’ajoute une contrainte propre au domaine médical : l’interruption des services a des conséquences directes sur la prise en charge des patients, ce qui augmente la pression pour rétablir l’activité au plus vite.

La prise de conscience est réelle dans le secteur. En septembre 2025 déjà, dix-huit hôpitaux universitaires et cantonaux de toute la Suisse avaient fondé une association, le Healthcare Cyber Security Center, destinée à mettre en place un système d’alerte précoce et une entraide en cas d’attaque. Le fait qu’un réseau soit touché deux fois en un an montre toutefois que la vigilance doit être permanente, et non ponctuelle.

Ce que cela dit à une PME qui n’est pas dans la santé

Vous dirigez peut-être une fiduciaire, un commerce ou un bureau technique, loin du monde hospitalier. L’histoire vous concerne pourtant à plusieurs titres.

D’abord, aucune organisation n’est trop petite ou trop discrète pour être visée. Les attaques les plus courantes ne sont pas ciblées : elles ratissent large et frappent qui laisse une porte ouverte. Ensuite, si vous êtes fournisseur ou prestataire d’une plus grande structure, vous faites partie de sa chaîne d’approvisionnement, et donc de sa surface d’exposition. Une faille chez vous peut devenir une porte d’entrée chez votre client.

Enfin, la position adoptée par le Groupe 3R (ne pas payer de rançon, déposer plainte, annoncer l’incident) est exactement celle que recommandent les autorités suisses. Payer ne garantit jamais la récupération des données et alimente le modèle économique des criminels.

Les gestes de base, utiles mais insuffisants

Il existe des mesures que vous pouvez mettre en place vous-même, sans grand budget, et qui limitent réellement les dégâts : des sauvegardes régulières et déconnectées du réseau (pour pouvoir redémarrer même si les systèmes sont bloqués), la double authentification sur les accès importants (un mot de passe complété par un code temporaire), la mise à jour systématique des logiciels et une sensibilisation régulière de vos collaborateurs aux courriels piégés.

Ces gestes sont indispensables. Mais il faut être honnête : ils ne suffisent pas à eux seuls à protéger une entreprise. Un réseau de centres médicaux dispose de ressources informatiques bien supérieures à celles d’une PME ordinaire, et il a tout de même été touché deux fois. La raison est simple : chaque entreprise a une architecture, des flux de données et des dépendances qui lui sont propres. Une liste de bonnes pratiques génériques ne remplace pas un regard qui examine précisément vos points faibles à vous.

En conclusion

L’attaque contre le Réseau radiologique romand rappelle une réalité inconfortable : la question n’est pas de savoir si une organisation sera visée, mais quand, et surtout dans quel état elle se trouvera ce jour-là. Faire beaucoup soi-même est la première étape, et elle est à votre portée. Mais mesurer votre exposition réelle, hiérarchiser les risques propres à votre activité et préparer une réaction en cas d’incident demande une analyse professionnelle, adaptée à votre situation. C’est précisément ce travail d’évaluation, entreprise par entreprise, qui transforme une bonne volonté en véritable résilience.