Quand une commune ou une PME romande est frappée.
Le plan de réaction.

L'année a été brutale et locale. La commune valaisanne de Vétroz a vu son administration entièrement paralysée — « l'administration ne tourne plus », a reconnu son président. Quelques mois plus tard, la messagerie du secrétariat communal de Martigny-Combe était compromise et servait à envoyer des messages frauduleux à ses contacts. Et le Réseau Radiologique Romand a été chiffré par rançongiciel pour la deuxième fois en douze mois, perturbant des examens de patients dans toute la Suisse romande.

Le point commun ? Aucune de ces organisations n'est un géant. Ce sont exactement le type de structures — communes, PME, cabinets, réseaux de santé — qui composent le tissu romand. Sur l'ensemble de 2025, l'OFCS a reçu près de 65 000 signalements de cyberattaques ; en 2026, les incidents signalés ont bondi d'environ un tiers, et les attaques par rançongiciel contre les PME ont augmenté de plus de moitié. La question n'est plus « est-ce que cela peut nous arriver », mais « serons-nous prêts quand cela arrivera ».

Avant l'attaque : les quatre fondations qui changent tout

La différence entre un incident maîtrisé et une paralysie de plusieurs semaines se joue presque entièrement avant l'attaque :

• Des sauvegardes hors-ligne et testées. Un rançongiciel cherche et chiffre aussi vos sauvegardes connectées. Une sauvegarde qui n'est pas isolée — et dont la restauration n'a jamais été testée — n'est pas une sauvegarde, c'est un espoir.
• Le MFA sur chaque compte, sans exception. La majorité des intrusions commencent par un identifiant volé ou réutilisé. Le MFA reste la mesure la plus rentable pour fermer cette porte.
• Une détection qui veille la nuit. Vétroz et les autres n'ont pas été attaquées à 10h un mardi. Un EDR sur chaque poste et une surveillance SOC réduisent le délai entre l'intrusion et sa découverte — souvent de plusieurs semaines à quelques minutes.
• Un plan de réaction écrit. Qui décide de déconnecter le réseau ? Qui prévient l'OFCS et le PFPDT, et dans quel délai ? Qui parle aux médias, aux administrés, aux patients ? Décidé à froid, ce plan tient en deux pages. Improvisé pendant la crise, il coûte des jours.

Pendant l'attaque : les premières heures

Si l'attaque a lieu, l'ordre des gestes compte. Isoler les systèmes touchés pour stopper la propagation, sans tout éteindre (des preuves forensiques vivent en mémoire). Ne pas payer précipitamment : la position de l'OFCS et des experts est claire — payer la rançon ne garantit rien et alimente le modèle criminel. Documenter l'incident dès la première heure. Et signaler : selon votre nature, l'obligation LSI de 24 heures et/ou la notification nLPD au PFPDT s'appliquent.

Ce que nous faisons pour les organisations romandes

InterHyve accompagne précisément ces structures depuis Genève : PME, communes, fondations et administrations de l'Arc lémanique. Concrètement, cela veut dire mettre en place les quatre fondations ci-dessus, surveiller votre environnement 24/7 depuis notre SOC genevois, et tenir avec vous le plan de réaction — pour que le jour où une attaque survient, vous sachiez exactement quoi faire, et que quelqu'un veille déjà à vos côtés.