Que s'est-il passé ?
Le groupe d'armement suisse RUAG a apparemment versé une rançon au gang cybercriminel Akira à la suite d'une cyberattaque contre sa filiale américaine Mecanex USA. Le vol de données a eu lieu début novembre 2025, la radiodiffusion suisse SRF attribuant cette intrusion à la filiale américaine RUAG LLC. Les auteurs ont publié leur chantage sur leur site du darknet, affirmant avoir copié environ 24 Go de données.
Le président du conseil d'administration de RUAG, Jürg Rötheli, a admis le paiement lors de l'émission SRF Samstagsrundschau : « Nous avons payé, un petit montant heureusement, et nous avons récupéré toutes les données », a-t-il déclaré. Les demandes de rançon se seraient élevées à des montants situés dans la fourchette basse des six chiffres.
Les détails
Selon les attaquants, les données dérobées contenaient des numéros de sécurité sociale, des cartes d'identité, des permis de conduire, des numéros de téléphone, des adresses et d'autres informations personnelles concernant des employés. En outre, des informations militaires confidentielles ainsi que des contrats et des manuels sur la manipulation d'explosifs seraient également concernés.
Rötheli a expliqué que le paiement de la rançon avait fait l'objet d'une concertation interne avec les organes de l'entreprise. Une consultation auprès d'experts juridiques américains a également eu lieu. Le ministère suisse de la Défense, le DDPS (Département fédéral de la défense, de la protection de la population et des sports), n'a pas souhaité commenter le paiement, mais a indiqué ne pas en avoir été informé au préalable.
Le gang cybercriminel Akira utilise son propre ransomware et continue de chiffrer les données de ses victimes, au lieu de se limiter, comme de nombreux autres groupes, au seul vol de données et au chantage à la non-publication. Le groupe a récemment attiré l'attention fin 2025 en parvenant à déployer son ransomware sur des pare-feu SonicWall malgré l'activation de l'authentification à plusieurs facteurs. Depuis lors, Akira semble se concentrer davantage sur les petites entreprises et se fait moins remarquer.
Mise en perspective
Ce cas contredit la recommandation habituelle des experts en sécurité informatique ainsi que des autorités suisses en matière de cybersécurité, qui préconisent de ne pas payer de rançon dans de telles situations. En Allemagne également, les autorités compétentes déconseillent vivement cette pratique. Dès 2022, des experts en sécurité informatique issus du monde universitaire et économique avaient même réclamé, dans une lettre ouverte, des mesures concrètes contre le paiement de rançons par les victimes — un courrier qui avait alors reçu une large attention.
Mauro Tuena, conseiller national UDC et entrepreneur en informatique, a estimé auprès de la SRF que le groupe Akira sait désormais que la Confédération suisse est prête à payer des rançons — un signal désastreux selon lui. RUAG a rétorqué que la décision avait été la bonne, puisque toutes les données avaient pu être récupérées et les dommages minimisés.
Cette contradiction entre la recommandation officielle et le comportement effectif d'une entreprise fédérale illustre le dilemme dans lequel se trouvent les victimes de telles attaques : d'un côté, il ne faut pas renforcer le modèle économique des cybercriminels par des paiements ; de l'autre, les entreprises subissent une pression considérable pour éviter la divulgation publique de données sensibles, en particulier lorsqu'elles concernent des informations militaires.
Conseils pratiques
- Les entreprises devraient, indépendamment de la pression aiguë du moment, se pencher au préalable sur les recommandations officielles des autorités de cybersécurité et établir des processus décisionnels internes pour le cas d'urgence.
- Une implication précoce des organes de surveillance et, comme dans le cas de RUAG, un conseil juridique, peuvent aider à documenter de manière traçable les décisions prises en situation de crise.
- Les entreprises disposant de données sensibles ou liées à la sécurité devraient en particulier vérifier dans quelle mesure les mesures de sécurité en amont, telles que l'authentification à plusieurs facteurs, sont suffisamment renforcées — le cas des pare-feu SonicWall montre qu'Akira peut également contourner des mécanismes de protection établis.
- Une communication transparente avec les instances supérieures, telles que les ministères ou les autorités de surveillance, devrait également être garantie dans les circuits décisionnels internes, afin d'éviter des pertes de confiance comme dans le cas du DDPS non informé.
Perspectives
L'affaire RUAG devrait relancer le débat sur la gestion des demandes de rançon, d'autant plus qu'il s'agit d'une entreprise liée à la Confédération suisse. La déclaration du conseiller national Tuena, selon laquelle Akira sait désormais que la Confédération est disposée à payer, laisse penser que des attaques similaires contre des institutions proches de l'État ou liées à la sécurité pourraient devenir moins improbables à l'avenir.
Parallèlement, le comportement du groupe Akira, qui a récemment ciblé de plus en plus de petites entreprises, montre que la menace continue de s'intensifier pour des organisations de toutes tailles. Les détails concernant d'éventuelles conséquences supplémentaires pour RUAG ou d'éventuelles réactions des autorités ne sont pas encore connus à ce jour.
