L’entreprise d’armement suisse Ruag a reconnu avoir versé une rançon au groupe cybercriminel Akira à la suite d’une cyberattaque ciblant sa filiale américaine Ruag LLC à l’automne 2025. Cette révélation, rapportée par FrenchBreaches, intervient alors que les autorités fédérales suisses déconseillent officiellement le paiement des rançons, une pratique jugée contre-productive et risquée. Ruag a confirmé cette décision lors d’une communication à la presse suisse, sans pour autant divulguer le montant exact de la transaction.

Ce qu'il faut retenir

  • Ruag, groupe suisse spécialisé dans l’armement, a payé une rançon au groupe Akira après une cyberattaque en 2025.
  • L’attaque a visé Ruag LLC, sa filiale basée en Virginie (États-Unis), employant seulement 8 collaborateurs.
  • L’entreprise affirme avoir récupéré l’intégralité des données compromises grâce au paiement.
  • Ce choix va à l’encontre des recommandations de l’Office fédéral de la cybersécurité suisse.
  • Le Département fédéral de la défense (DDPS), actionnaire de Ruag, n’aurait pas été informé avant le versement.
  • Le groupe Akira, l’un des acteurs majeurs des ransomwares, cible principalement les entreprises disposant de capacités financières importantes.

L’incident survient dans un contexte où les cyberattaques par rançongiciels se multiplient en Suisse, touchant des milliers de PME ces dernières années. Selon les estimations disponibles, des dizaines de milliers d’entreprises helvétiques auraient été victimes de telles attaques, avec une prédilection pour les secteurs de l’industrie, de la santé et des services financiers. L’affaire Ruag illustre ainsi les dilemmes auxquels sont confrontées les organisations stratégiques lorsqu’elles sont confrontées à ce type de menace.

Une cyberattaque ciblant une filiale stratégique

L’attaque contre Ruag LLC remonte à l’automne 2025, lorsque des cybercriminels affiliés au groupe Akira ont compromis les systèmes informatiques de cette entité américaine. Selon les informations communiquées par Ruag, les attaquants sont parvenus à dérober des données avant de menacer leur publication sur le dark web. À l’époque, l’entreprise avait minimisé l’incident en le qualifiant de simple « incident de sécurité », précisant que les systèmes de la filiale étaient isolés du reste du groupe. Cette séparation aurait permis de limiter la propagation de l’attaque au sein des activités suisses de Ruag.

Cependant, les révélations ultérieures sur le paiement de la rançon soulèvent des questions sur la gestion des risques cyber au sein des entreprises détenues en partie par l’État. Ruag LLC, bien que de petite taille, joue un rôle clé dans les relations avec les partenaires américains de l’entreprise suisse. La filiale fournit notamment des pièces détachées pour l’aviation militaire, des services de maintenance et un soutien logistique à divers industriels. Cette dimension stratégique explique en partie l’intérêt des cybercriminels pour cette cible.

Un paiement controversé, contre les recommandations officielles

Interrogé par la presse suisse, le président du conseil d’administration de Ruag, Jürg Rötheli, a confirmé que l’entreprise avait accepté de verser une somme aux attaquants. Selon ses déclarations, le montant, non divulgué, aurait été « relativement limité ». L’entreprise affirme que ce paiement a permis de récupérer l’ensemble des données concernées par l’incident. Pourtant, cette décision s’inscrit en contradiction avec les directives de l’Office fédéral de la cybersécurité (OFCS), qui rappelle régulièrement les risques associés au versement de rançons :

« Le paiement d’une rançon finance des organisations criminelles, encourage la poursuite des attaques, ne garantit pas la restitution des données et n’empêche pas une future publication des informations volées. »

Les analyses internes ayant conduit à cette décision auraient été menées avec l’assistance de conseillers juridiques américains, mais sans consultation préalable du Département fédéral de la défense, de la protection de la population et des sports (DDPS). Ce dernier, en tant qu’actionnaire de Ruag, aurait refusé de commenter publiquement cette décision, laissant planer des interrogations sur la gouvernance des entreprises stratégiques en matière de cybersécurité.

Le groupe Akira, un acteur majeur des ransomwares

Le groupe Akira figure parmi les cybercriminels les plus actifs dans l’écosystème des ransomwares. Depuis son apparition, il a revendiqué des centaines d’attaques à travers le monde, ciblant aussi bien des entreprises que des administrations. Les études spécialisées publiées en 2025 estiment que la demande moyenne d’Akira s’élève à environ 390 000 dollars, avec des cas dépassant largement le million de dollars. Les chercheurs soulignent que les montants parfois modérés exigés par le groupe participent à une stratégie visant à maximiser le taux de paiement des victimes.

Contrairement à d’autres groupes de ransomware, Akira se distingue par sa capacité à adapter ses demandes en fonction des cibles. Les entreprises disposant de ressources financières importantes sont particulièrement exposées, ce qui a été le cas pour Ruag. Cette approche opportuniste explique en partie le succès opérationnel du groupe, malgré une taille réduite par rapport à d’autres acteurs du secteur.

Un débat relancé sur l’efficacité du paiement des rançons

L’affaire Ruag intervient dans un contexte où le paiement des rançons reste un sujet de débat intense dans le domaine de la cybersécurité. Les autorités, les forces de police et la majorité des experts s’accordent à déconseiller cette pratique, mettant en avant son inefficacité et ses conséquences néfastes. Pourtant, certaines organisations continuent de céder aux exigences des cybercriminels, notamment lorsque la continuité de leurs activités ou la récupération de données critiques est en jeu.

Le cas de Ruag illustre parfaitement ces dilemmes. Si l’entreprise affirme avoir récupéré ses données grâce au paiement, elle a également contribué à financer une organisation criminelle et encouragé indirectement de futures attaques. Cette situation pose un défi majeur pour les entreprises stratégiques, qui doivent concilier impératifs opérationnels et respect des bonnes pratiques en matière de cybersécurité.

Et maintenant ?

La révélation de ce paiement pourrait entraîner une réévaluation des protocoles de cybersécurité au sein de Ruag et des autres entreprises détenues partiellement par l’État suisse. Une enquête interne ou une intervention des autorités pourrait être envisagée pour clarifier les conditions ayant conduit à cette décision. Par ailleurs, cette affaire pourrait relancer les discussions au niveau fédéral sur la mise en place de mesures incitatives ou coercitives pour dissuader le paiement des rançons. Enfin, les prochaines publications de données par le groupe Akira, si elles devaient survenir, seront à surveiller de près pour évaluer l’impact réel de cette cyberattaque.

Cette cyberattaque et ses conséquences soulèvent une question centrale : faut-il payer lorsqu’une organisation est victime d’un ransomware ? Les autorités maintiennent leur position ferme contre le versement des rançons, mais la pratique persiste, alimentant un cycle de violence numérique difficile à briser. Les prochains mois pourraient révéler si cette affaire incitera davantage d’entreprises à adopter des stratégies de résistance plutôt qu’à céder aux pressions des cybercriminels.

Selon les déclarations de Jürg Rötheli, président du conseil d’administration de Ruag, le paiement a été décidé à l’issue d’analyses internes réalisées avec des conseillers juridiques américains. L’entreprise a estimé que le montant, qualifié de « relativement limité », était justifié par la nécessité de récupérer l’intégralité des données compromises et d’éviter une interruption de ses activités stratégiques.

Si Akira décide de publier les données volées malgré le paiement de la rançon, Ruag pourrait faire face à des risques juridiques, commerciaux et réputationnels majeurs. La fuite de données sensibles pourrait compromettre des partenariats stratégiques, notamment dans le domaine de l’armement, et entraîner des sanctions réglementaires ou des poursuites de la part de ses clients ou partenaires.