L’Office fédéral de la cybersécurité a publié le 24 août 2026 son rapport semestriel couvrant les mois de janvier à juin. Le document a beau parler de la Suisse entière, plusieurs de ses constats concernent directement une entreprise de vingt personnes.

Moins de signalements, mais des attaques plus affûtées

L’OFCS a reçu 27’128 signalements volontaires au premier semestre 2026, contre 35’727 douze mois plus tôt. La baisse est nette, et l’office se garde bien d’y voir une accalmie : il décrit des attaques « toujours plus précises, plus raffinées sur le plan technique et à forte charge psychologique ».

Dans le détail, la fraude reste le phénomène le plus signalé avec 10’759 annonces, devant l’hameçonnage (8’877) et les pourriels (3’965). À elle seule, la fraude représente 39 % des signalements reçus. Nous avons rassemblé l’historique de ces chiffres dans notre page sur la cybercriminalité en Suisse.

Une mesure réglementaire qui a fonctionné

Les appels passés au nom de prétendues autorités, longtemps parmi les incidents les plus signalés, tombent à 3’817 cas, soit une baisse de 64 % sur un an.

L’explication tient au durcissement de l’ordonnance sur les services de télécommunication : depuis le 1er juillet 2026, l’obligation d’identification des appels entrants de l’étranger usurpant un numéro suisse s’étend aux numéros de téléphonie mobile. De plus de 400 signalements par mois entre janvier et juin, l’OFCS est passé à moins de 100 en juillet.

Microsoft 365 reste la porte d’entrée la plus convoitée

C’est le passage le plus utile pour une PME. L’office enregistre une hausse des signalements d’hameçonnage liés à Microsoft 365 : courriels contenant une pièce jointe malveillante ou un lien vers un prétendu document SharePoint, puis prise de contrôle de la boîte professionnelle.

Ce qui change, c’est la capacité des attaquants à contourner des protections que l’on croyait suffisantes. Le rapport cite l’interception des jetons de session, l’hameçonnage par code d’appareil et l’usage d’un proxy inverse, trois techniques qui permettent de franchir une authentification multifacteur. Une fois dans la place, les criminels se font passer pour le service informatique ou pour un cadre dirigeant afin de déclencher des virements, et utilisent régulièrement le prétexte d’une mise à jour de sécurité urgente pour propager un maliciel.

Une variante mérite d’être connue : saturer la boîte d’un collaborateur de messages, puis le contacter sur Microsoft Teams en se présentant comme l’assistance informatique venue régler le problème. Nos recommandations de sécurisation de Microsoft 365 couvrent la plupart de ces points.

Rançongiciels : autant de cas, davantage de groupes

Le nombre d’incidents liés aux rançongiciels reste stable, à 79 cas signalés ou observés, soit exactement le niveau du second semestre 2025. La composition du paysage, elle, se transforme : le groupe Akira, toujours le plus actif en Suisse, passe de 35 % à 19 % des attaques recensées, tandis que le nombre de familles de rançongiciels actives dans le pays bondit de 21 à 29.

Pour l’accès initial, les groupes exploitent surtout les failles des systèmes exposés sur Internet, à commencer par les VPN et les pare-feu. Les observations internationales citées par l’OFCS attribuent un tiers des incidents à ce seul vecteur. L’office relève aussi une bascule vers le principe « log in, not break in » : plutôt que de forcer une défense, les criminels achètent ou volent des identifiants légitimes.

Cent nonante et un sites suisses transformés en pièges

Durant le semestre, l’OFCS a identifié 191 sites web suisses sous WordPress compromis pour y héberger un code JavaScript malveillant, qui déclenche le téléchargement d’un maliciel chez le visiteur. Nous avions détaillé ce mode opératoire dans notre billet sur les faux CAPTCHA. Le rapport ajoute que la fausse facture reste le prétexte le plus courant pour diffuser un logiciel malveillant par courriel.

Ce que ces chiffres ne disent pas

Deux réserves s’imposent. D’abord, l’OFCS rappelle que le nombre réel d’incidents est vraisemblablement plus élevé, les victimes ne signalant pas toujours ce qui leur arrive. Ensuite, les 200 annonces obligatoires du semestre ne proviennent que des exploitants d’infrastructures critiques, soumis à cette obligation depuis le 1er avril 2025 : le secteur public (19,4 %) et l’informatique avec les télécommunications (18,6 %) y dominent. Une PME ordinaire n’apparaît dans aucune de ces deux colonnes tant qu’elle ne signale rien.

En conclusion

Ce rapport confirme une trajectoire : les attaques qui touchent les entreprises suisses passent de moins en moins par une prouesse technique et de plus en plus par un compte de messagerie, un accès distant mal protégé ou un collaborateur mis sous pression. Les trois se traitent, mais aucun ne se traite avec un antivirus. Reste à savoir lesquels de ces scénarios sont réellement plausibles chez vous, ce qui suppose de regarder votre propre configuration plutôt que la moyenne nationale.