La cybercriminalité en Suisse en chiffres

Chaque semaine, un article annonce que les cyberattaques explosent en Suisse. Les chiffres circulent, souvent sans source, parfois sans date. Un dirigeant de PME qui cherche à savoir où il se situe se retrouve devant un mélange de statistiques officielles, d’estimations commerciales et d’affirmations invérifiables.

Cet article ne cite que des chiffres publiés par des sources officielles ou par des études dont la méthodologie est connue. Il indique pour chacun ce qu’il mesure réellement, et surtout ce qu’il ne mesure pas. C’est cette seconde partie qui manque presque toujours, et c’est pourtant elle qui détermine ce que vous pouvez en conclure.

Les chiffres de référence

Le premier chiffre est celui que reprennent la plupart des médias. Il vient de l’Office fédéral de la cybersécurité, l’OFCS, qui centralise les signalements de la population et des entreprises. En 2025, il en a reçu 64 733, contre 62 954 l’année précédente. La hausse existe, mais elle est modeste : environ 3 %.

Le deuxième semestre 2025 se décompose en 29 006 déclarations volontaires et 145 déclarations obligatoires. Cette distinction entre volontaire et obligatoire est essentielle, et nous y revenons plus loin.

Que signalent réellement les entreprises suisses ?

La répartition des annonces est plus instructive que leur total. Elle indique quels phénomènes touchent effectivement les gens et les entreprises au quotidien.

Source : OFCS, rapport semestriel 2025/II, portant sur juillet à décembre 2025. Les parts sont calculées sur les 29 006 déclarations volontaires de la période.

Trois enseignements en découlent.

La cybercriminalité de masse est d’abord de la fraude. Plus d’une annonce sur deux concerne une tentative d’escroquerie : fausse facture, faux support technique, fausse boutique en ligne, faux investissement. Ce sont des attaques qui visent la crédulité, pas les failles techniques. Aucun pare-feu ne les arrête.

L’hameçonnage reste le point d’entrée numéro un. Avec 6 299 annonces, il constitue la deuxième catégorie. C’est aussi celle qui précède souvent le reste : un mot de passe volé par courriel ouvre la porte à une fraude ou à un rançongiciel. Notre article sur l’hameçonnage détaille les formes que prennent ces messages.

Les rançongiciels sont rares en nombre, décisifs en conséquences. Seulement 57 incidents ont été annoncés directement à l’OFCS au deuxième semestre 2025. La variante Akira, déjà en tête au premier semestre, a consolidé sa position. Ce faible volume ne doit pas rassurer : une PME touchée par un rançongiciel peut se retrouver à l’arrêt complet pendant des jours.

Le cas particulier de l’arnaque au président

Une menace mérite d’être isolée, parce qu’elle vise spécifiquement les entreprises et non le grand public. L’arnaque au président consiste à se faire passer pour un dirigeant afin d’obtenir un virement urgent d’un collaborateur du service financier.

Les entreprises suisses ont déposé 605 annonces de ce type au premier semestre 2025, un nombre record, puis 366 au deuxième semestre. La baisse de la seconde période ne signifie pas que le phénomène recule durablement : ces variations semestrielles suivent souvent les campagnes des groupes criminels.

Ce chiffre est celui qui devrait retenir l’attention d’un dirigeant de PME, car il correspond exactement au profil de risque d’une petite structure : peu de niveaux hiérarchiques, un comptable qui connaît personnellement le patron, et une culture où l’on ne remet pas en question une demande de la direction. Le mécanisme est décrit en détail dans notre article sur l’arnaque au président.

Quelles sont les limites de ces chiffres ?

C’est la section la plus importante de cet article. Ces statistiques sont les meilleures dont dispose la Suisse, mais elles ne mesurent pas ce que beaucoup croient qu’elles mesurent.

Quatre biais se cumulent, et il faut les avoir en tête avant de citer ces statistiques.

Le caractère volontaire de la déclaration. Une entreprise qui subit une attaque n’a aucune obligation générale de le dire. Beaucoup ne le font pas, par crainte pour leur réputation, par peur de perdre des clients ou des partenaires, parce qu’elles ignorent qu’un canal d’annonce existe, ou parce qu’elles préfèrent régler le problème discrètement avec leur informaticien.

Les incidents jamais détectés. On ne peut annoncer que ce que l’on a vu. Un accès frauduleux à une boîte de courriel peut durer des mois sans que personne s’en aperçoive. Les statistiques ne captent que la partie visible.

L’effet de la sensibilisation. Une hausse des annonces peut refléter une hausse des attaques, mais aussi une meilleure connaissance du dispositif de signalement. Les campagnes de prévention augmentent mécaniquement le nombre de déclarations. Impossible de démêler les deux effets avec certitude.

L’absence de gradation. Une annonce pour un courriel d’hameçonnage supprimé en trois secondes pèse autant, dans le total, qu’une annonce pour un rançongiciel qui a paralysé une entreprise. Le total ne dit rien de la gravité.

Ces limites ne rendent pas les chiffres inutiles. Elles imposent simplement de les lire comme un indicateur de tendance et de structure des menaces, pas comme un décompte exhaustif.

L’obligation d’annonce ne concerne pas votre PME

Depuis le 1er avril 2025, les exploitants d’infrastructures critiques sont tenus d’annoncer les cyberattaques à l’OFCS. La base légale est la loi sur la sécurité de l’information, la LSI. Les sanctions en cas de manquement sont applicables depuis le 1er octobre 2025.

Ce point est régulièrement mal compris, y compris dans la presse.

La répartition des 145 déclarations obligatoires du deuxième semestre 2025 confirme ce périmètre : 25 % venaient du secteur public, 18 % de l’informatique et des télécommunications, 15,7 % de la finance et des assurances.

Une nuance importante subsiste. Ne pas être soumis à la LSI ne veut pas dire n’avoir aucune obligation. La loi sur la protection des données impose d’annoncer au préposé fédéral les violations de la sécurité des données personnelles qui entraînent un risque élevé pour les personnes concernées. Ce régime est indépendant de la LSI et s’applique, lui, à toutes les entreprises. Nous le détaillons dans vos obligations nLPD.

Que pensent les PME suisses de leur propre protection ?

Les annonces à l’OFCS décrivent les menaces. Elles ne disent rien de la préparation des entreprises. Pour cela, il faut se tourner vers l’Étude PME Cybersécurité 2025.

Sa méthodologie est publique, ce qui est rare et mérite d’être souligné : enquête menée du 25 juin au 5 août 2025 auprès de 515 PME de 1 à 49 collaborateurs et de 336 prestataires informatiques, à l’initiative de l’Alliance Sécurité Digitale Suisse avec la Mobilière, digitalswitzerland, la FHNW, la HES-SO Valais-Wallis, l’ISSS, la SATW, la SISA et YouGov Suisse.

Quatre résultats en ressortent.

4 % des PME interrogées déclarent avoir subi une cyberattaque grave sur les trois dernières années. Le chiffre paraît faible. Il porte cependant sur les attaques graves et déclarées, dans des entreprises de très petite taille dont beaucoup n’ont pas les moyens de détecter un incident discret.

42 % s’estiment suffisamment protégées, contre 55 % l’année précédente. Cette chute de la confiance peut se lire de deux façons : soit les PME sont objectivement moins bien protégées, soit elles prennent mieux la mesure de ce qu’elles ignorent. La seconde lecture serait plutôt une bonne nouvelle.

28 % ne considèrent plus le sujet comme prioritaire, contre 18 %. Cette progression est le signal le plus préoccupant de l’étude. L’attention retombe.

88 % jugent la cybercriminalité comme un problème sérieux. L’écart avec le chiffre précédent résume la situation de nombreuses PME romandes : le risque est reconnu en principe, mais il ne se traduit pas en actions concrètes.

Que doit en retenir un dirigeant ?

Trois conclusions se dégagent de l’ensemble de ces données, et aucune ne dépend d’une estimation contestable.

Votre risque principal n’est pas technique, il est humain. Fraude et hameçonnage représentent ensemble près des trois quarts des annonces. Ces attaques passent par vos collaborateurs, pas par une faille de votre serveur. La sensibilisation de votre équipe a donc un rendement supérieur à n’importe quel achat de matériel.

La statistique qui vous concerne le plus est celle que personne ne publie. Ce n’est pas le nombre national d’attaques, c’est votre capacité à redémarrer. Combien de temps votre entreprise resterait-elle à l’arrêt si vos données étaient chiffrées demain matin ? La réponse dépend de vos sauvegardes, et de la dernière fois où vous les avez testées. Voir la règle 3-2-1 des sauvegardes.

L’absence d’obligation légale n’est pas une raison de ne rien annoncer. Un signalement à l’OFCS ne coûte rien, contribue à la connaissance nationale des menaces et vous donne accès à des recommandations. Il fait aussi partie des réflexes à avoir dans les premières heures d’un incident.

Pour situer concrètement votre entreprise par rapport à ces constats, le check-up cyber évalue en quelques minutes vos points faibles principaux. L’ensemble des menaces décrites ici est traité en détail dans le pilier Menaces.