Le 1er octobre 2025 marquait une étape réglementaire significative pour la Confédération : à partir de cette date, toute cyberattaque visant des infrastructures critiques doit faire l’objet d’une déclaration obligatoire auprès des autorités compétentes. Cette obligation de signalement, fruit d’une évolution législative progressive, visait précisément à mieux cartographier l’exposition numérique du pays. C’est sur la base de ces données que la société autrichienne Risikomonitor a conduit une analyse comparative entre la Suisse et l’Autriche, deux économies de taille démographique comparable, dont les résultats, publiés ce lundi, dressent un tableau préoccupant.
L’étude identifie au total 6 431 accès à distance Windows directement exposés sur Internet sans protection adéquate sur le territoire helvétique. Parmi ces connexions, 1 458 présentaient une configuration particulièrement critique : le système établissait automatiquement une session utilisateur sans exiger aucune authentification préalable. Concrètement, cela signifie qu’un attaquant parvient à l’écran de connexion dans un cas sur quatre, soit un taux de 27,1 %, avant même d’avoir fourni le moindre identifiant.
Cette configuration n’est pas anodine sur le plan technique. Elle expose aux attaquants des métadonnées sensibles — nom de la machine, nom du domaine — et ouvre la voie à des attaques automatisées ciblant des vulnérabilités exploitables en amont de la phase d’authentification. Ces services restent détectables précisément parce qu’ils ne sont protégés ni par un pare-feu configuré avec une liste d’autorisations stricte, ni par un tunnel VPN, deux mesures pourtant considérées comme des standards minimaux dans tout environnement professionnel exposé à Internet.
La comparaison avec l’Autriche s’avère défavorable à la Suisse sur l’ensemble des indicateurs mesurés. Malgré une population similaire, la Confédération exploite plus du double d’accès à distance par rapport à son voisin, et son taux d’exposition non sécurisée dépasse de près de sept points de pourcentage celui de l’Autriche, fixé à 20,5 %. Risikomonitor attribue cet écart aux paramètres par défaut des fournisseurs d’accès à Internet ainsi qu’à la persistance de systèmes informatiques obsolètes dans des environnements professionnels qui n’ont pas suivi le rythme des mises à jour de sécurité.
Les recommandations formulées par la société sont précises et directement opérationnelles : systématiser la protection des accès à distance derrière un VPN et déployer une authentification multifactorielle sur l’ensemble des points d’entrée exposés. Ces mesures ne relèvent pas de l’innovation technologique, mais d’une discipline de configuration que les organisations concernées n’ont manifestement pas encore intégrée à grande échelle.
Ce même lundi, une seconde publication venait renforcer le diagnostic. Le VZ VermögensZentrum, en collaboration avec la Haute école de Lucerne, a publié une étude ciblant spécifiquement les petites et moyennes entreprises helvétiques. Ses conclusions convergent avec celles de Risikomonitor : une majorité de PME sous-estiment leur exposition aux cyberrisques, alors même que les dommages financiers susceptibles de résulter d’une attaque réussie peuvent s’avérer considérables, voire menacer la continuité d’exploitation. Dans un pays où le tissu économique repose en grande partie sur des structures de taille intermédiaire, cette lacune collective de perception du risque constitue une vulnérabilité systémique que les données désormais collectées dans le cadre de l’obligation de signalement devraient contribuer à mieux documenter.