La Suisse a découvert que ses serveurs gouvernementaux avaient été victimes d' une attaque informatique ayant exploité des failles de sécurité dans Microsoft SharePoint. Si vous gérez des réseaux internes ou une infrastructure cloud, cet incident illustre parfaitement les conséquences d'un retard de quelques jours seulement dans l'application des correctifs.
- L’Office fédéral suisse des technologies de l’information et des télécommunications (OIT) a perdu le contrôle de 200 comptes SharePoint suite à un piratage.
- Ces attaques sont attribuées à des vulnérabilités zero-day ou non corrigées, qui ont été corrigées par Microsoft en juillet.
- Le service a bloqué l'accès externe et procède à une réinstallation complète des serveurs concernés pour des raisons de sécurité.
Anatomie de l'attaque contre l'État suisse
D'après le communiqué officiel de l' Office fédéral suisse des technologies de l'information et des télécommunications (OIT) , des experts en sécurité ont détecté une activité suspecte sur des systèmes SharePoint le 28 juillet. Les attaquants ont exploité des vulnérabilités connues que Microsoft a progressivement corrigées, bien que le code CVE exact fasse toujours l'objet d'une enquête. Les vulnérabilités examinées sont CVE-2026-56164 (privilèges d'administrateur) et CVE-2026-50522 (exécution de code à distance).
L'équipe d'intervention en cas d'incident de BIT a dû couper tout accès externe à SharePoint pour empêcher les attaquants de se propager latéralement. Malgré la réinitialisation massive des mots de passe effectuée immédiatement par les administrateurs, 200 comptes étaient déjà compromis. Pour en savoir plus sur la protection de votre infrastructure, consultez notre article récemment publié sur la sécurité des réseaux cloud .
SharePoint et risques d'entreprise
La plus grande erreur que commettent les organisations est de considérer SharePoint comme un simple outil de stockage de documents interne. Lorsque les serveurs sont directement connectés à Internet sans segmentation stricte, ils deviennent automatiquement des cibles pour les robots qui parcourent le web à la recherche d'installations non mises à jour. En Suisse, la seule protection a été la politique de l'organisation interdisant le stockage de données personnelles hautement sensibles sur la plateforme.
Si votre entreprise repose sur des infrastructures SharePoint sur site ou hybrides, la rapidité de déploiement des correctifs est déterminante pour votre vulnérabilité aux attaques. Les attaquants n'attendent pas une semaine ; ils exploitent des scripts automatisés quelques heures seulement après la publication des avis de sécurité par Microsoft.
Que faire maintenant sur vos réseaux
Si vous gérez de tels services, il ne suffit pas d'appliquer le dernier correctif et de se reposer sur ses lauriers. Vous devez prendre des mesures spécifiques pour vous protéger immédiatement avant que des pirates informatiques ne découvrent une faille de sécurité dans vos systèmes.
Premièrement, vérifiez les journaux SharePoint afin de détecter toute requête HTTP inhabituelle adressée aux dossiers de service et aux points de terminaison d'API. Deuxièmement, isolez temporairement l'accès externe si vous constatez le moindre signe d'activité anormale lors des connexions utilisateur. Troisièmement, effectuez une vérification directe des clés et certificats des serveurs pour exclure toute possibilité de persistance, comme cela s'est produit lors d'attaques similaires précédentes.
Notre avis chez TechNoid
Chez TechNoid, nous estimons que la réaction du gouvernement suisse a été extrêmement lente, malgré sa réactivité le jour de l'incident. Le fait que les serveurs aient été affectés par des vulnérabilités annoncées depuis juillet révèle un manque d'automatisation dans la gestion des correctifs. La fuite des codes n'est pas uniquement imputable à Microsoft ; c'est cette culture du « on s'en occupera le week-end » qui coûte cher aux gouvernements et aux multinationales. À la place de BIT, les serveurs auraient été automatiquement mis en quarantaine dans les 48 heures suivant le Patch Tuesday, sans hésitation.
Questions fréquentes concernant la cyberattaque contre les serveurs SharePoint en Suisse
Quelle organisation en Suisse a été victime de la cyberattaque ?
L’Office fédéral des technologies de l’information et des télécommunications (BIT) était l’organisme concerné.
Combien de comptes utilisateurs ont été affectés par la violation de données ?
Environ 200 comptes d'utilisateurs ont été compromis par les attaquants.
Quelle plateforme logicielle a été ciblée par les pirates informatiques ?
Les attaquants ont exploité des failles de sécurité dans les serveurs Microsoft SharePoint.
Y a-t-il eu une fuite de données confidentielles ou sensibles ?
D'après les investigations menées jusqu'à présent, aucune donnée sensible n'a fuité, car son stockage sur la plateforme en question est interdit.
Quelles mesures le gouvernement suisse a-t-il prises immédiatement après avoir détecté l'attaque ?
BIT a bloqué l'accès externe, réinitialisé les mots de passe et entamé une réinstallation complète des serveurs.
Quelles sont les vulnérabilités considérées comme des causes possibles de l'attaque ?
Les chercheurs étudient les vulnérabilités de sécurité CVE-2026-56164 et CVE-2026-50522 qui ont été corrigées en juillet.
Quel organisme collabore à l'enquête sur cet incident ?
Le BIT enquête sur l'incident en collaboration avec l'Agence fédérale suisse de la cybersécurité et Microsoft.
