🔐 SwissForts
Ransomware : comment les attaquants choisissent leurs cibles, et comment sortir de leur liste
CT
Les ransomwares ne frappent pas au hasard. Ils ciblent un profil précis — et il y a de bonnes chances que votre organisation y corresponde sans le savoir.
07/07/2026
10:10
Le profil de la cible idéale
Les groupes de ransomware modernes fonctionnent comme des entreprises. Ils ont des processus, des outils automatisés, et des critères de sélection. Ils ne choisissent pas leurs victimes une par une — ils scannent Internet en permanence à la recherche de signaux qui indiquent une cible facile et rentable. Le profil recherché est précis : une organisation suffisamment grande pour avoir des données critiques et de quoi payer une rançon, mais suffisamment petite pour ne pas disposer d'une équipe de sécurité dédiée. Une PME de 20 à 100 collaborateurs, une commune, une institution — c'est exactement le cœur de cible. Les signaux qu'ils recherchent sont techniques : un port RDP exposé sur Internet, un VPN sans MFA, un logiciel non mis à jour avec une vulnérabilité connue, des identifiants présents dans une fuite de données antérieure. Chacun de ces signaux est détectable automatiquement, à grande échelle, sans aucune intervention humaine. Vous n'êtes pas visé personnellement — vous êtes détecté par un script.
Ce qu'on observe dans les PME et communes romandes
Lors d'un audit pour une PME industrielle vaudoise de 70 collaborateurs, nous avons constaté que l'organisation présentait simultanément trois des signaux les plus recherchés : un port RDP exposé, un serveur Windows non mis à jour depuis 14 mois avec une vulnérabilité critique connue, et des identifiants d'employés présents dans des fuites publiques. Du point de vue d'un attaquant automatisé, cette PME était une cible de premier choix. Dans une commune romande, le constat était similaire : un accès distant configuré en 2020 sans MFA, jamais audité depuis. La commune pensait être protégée parce qu'elle "n'avait rien d'intéressant à voler". Mais un ransomware ne vole pas — il chiffre. Et il rend l'administration communale incapable de fonctionner jusqu'au paiement. Un ransomware qui chiffre des données personnelles déclenche une obligation de notification au sens de la nLPD — même si les données ne sont pas exfiltrées. L'indisponibilité des données est une violation. Par ailleurs, la décision de payer ou non une rançon soulève des questions juridiques complexes en droit suisse. La meilleure stratégie reste de ne jamais se retrouver dans cette situation.
Les 3 façons de sortir de leur liste
1. Réduire votre surface d'exposition externe La première chose qu'un attaquant voit, c'est ce qui est exposé sur Internet. Fermer les ports inutiles, mettre le RDP derrière un VPN, activer le MFA partout, maintenir les systèmes à jour — chacune de ces mesures vous retire des résultats de leurs scans automatisés. Vous ne devenez pas invulnérable : vous devenez moins rentable à attaquer que la cible d'à côté. 2. Rendre une attaque non rentable Le modèle économique du ransomware repose sur votre incapacité à récupérer vos données sans payer. Une stratégie de sauvegarde testée, isolée et restaurable change radicalement le calcul : si vous pouvez restaurer en quelques heures, la rançon perd tout son pouvoir. La sauvegarde n'est pas qu'une protection — c'est votre meilleur levier de négociation, celui de ne pas avoir à négocier. 3. Détecter avant que ça ne se propage Un ransomware ne chiffre pas tout instantanément. Il y a souvent un délai entre l'intrusion initiale et le déclenchement du chiffrement — des heures, parfois des jours. Une détection précoce (activité réseau anormale, connexions inhabituelles, alertes sur les accès) permet d'intervenir avant que les dégâts ne soient irréversibles. C'est la différence entre un incident contenu et une catastrophe.
L'approche Computis : devenir moins rentable à attaquer
Sortir de la liste des cibles faciles n'est pas un projet de grande envergure. C'est une série de mesures ciblées qui, ensemble, vous rendent significativement moins rentable à attaquer que la moyenne — ce qui, face à des attaquants opportunistes, fait toute la différence. Chez Computis, notre approche fonctionne en trois temps. D'abord, un audit préliminaire : vue de l'extérieur (ce qu'un attaquant voit), test d'exposition, revue des accès et des mises à jour, vérification de votre capacité de restauration. Ensuite, la réduction de surface : fermeture des expositions, MFA, mises à jour, durcissement des accès. Enfin, la résilience : sauvegardes testées et isolées, détection des anomalies, plan de réponse en cas d'incident.
La majorité des victimes de ransomware sont des PME de moins de 100 personnes — pas par hasard. Comment sortir du profil de cible idéale.
FAQ
Nous sommes une petite structure — sommes-nous vraiment une cible pour les ransomwares ?
Oui, et c'est même l'inverse de ce qu'on croit. Les PME sont préférées par les attaquants : assez de valeur pour payer, pas assez de moyens pour se défendre. La majorité des victimes de ransomware en 2025 sont des structures de moins de 100 personnes.
Si nous sommes attaqués, payer la rançon ne règle-t-il pas le problème ?
Payer ne garantit rien : ni la récupération des données, ni l'absence de seconde attaque. Cela finance et encourage le modèle. Et en droit suisse, le paiement soulève des questions juridiques complexes. La seule stratégie fiable est de pouvoir restaurer sans payer — donc des sauvegardes testées et isolées.
Un ransomware déclenche-t-il une obligation nLPD même sans vol de données ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.
Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure le déploiement, la configuration, la formation et le suivi.
Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : vue externe de votre exposition, test des accès, état des mises à jour, vérification de votre capacité de restauration, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.
Sujets abordés
Ransomware
Cybersécurité
Surface d'attaque
SwissForts
nLPD
PME Suisse
Du point de vue d'un attaquant automatisé, à quoi ressemble votre organisation en ce moment ?
Chez Computis, nous réalisons un audit préliminaire qui regarde votre organisation comme un attaquant la verrait — pour les PME et communes romandes sans équipe IT dédiée. Surface d'exposition, accès, capacité de restauration — rapport documenté. Notre audit préliminaire est payant et sérieux. Son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous. Cybersécurité, cloud ou réseau — un seul interlocuteur chez Computis.
