Le fait que Ruag, l'entreprise d'armement appartenant à la Confédération, ait payé une rançon à des cyberpirates en automne 2025 entrait dans la sphère de ses responsabilités entrepreneuriales. Aucun élément ne permet de conclure à une violation du droit, annonce mardi le Département de la défense, qui recommande toutefois de ne pas céder au chantage.
Le groupe de hackers Akira avait attaqué les systèmes informatiques de la filiale Ruag LLC en Virginie (USA) en automne 2025. Des données y avaient été dérobées, puis les pirates informatiques avaient menacé de les publier sur le dark web, en exigeant une rançon.
A l’époque, Ruag avait parlé d’un «incident de sécurité». L’entreprise avait toutefois précisé que la filiale américaine disposait de systèmes informatiques autonomes, limitant l’impact de l’attaque sur le reste du groupe. Ruag avait versé une somme qualifiée de «faible» aux cyberpirates et récupéré toutes les données. La décision a été prise après des analyses internes et avec l’appui d’experts juridiques américains.
Conforme au droit
L’enquête du Département fédéral de la défense (DDPS) montre que Ruag a analysé la conformité au droit américain avant de procéder au paiement d’une rançon. En tant que société anonyme de droit privé, l’entreprise assume la responsabilité des décisions qui relèvent de la marche opérationnelle de ses affaires.
Il revenait donc à ses organes de décider de payer ou non la rançon sans que la Confédération ait à approuver cette décision au préalable en tant que propriétaire.
Mieux coordonner
Toutefois, il aurait été opportun de coordonner l’information avec la Confédération. En effet, les objectifs stratégiques assignés par le Conseil fédéral prévoient que Ruag doit informer le propriétaire avant toute annonce publique.
L’enquête a aussi montré que, pour prendre sa décision, Ruag a apprécié les chances et les risques sur les plans essentiellement économique et juridique. Le DDPS estime que les conséquences politiques et réputationnelles n’ont pas été suffisamment prises en compte, tout comme les intérêts d’ordre supérieur. Il attend de Ruag qu’elle accorde davantage d’importance à ces aspects dans son évaluation.
Ne pas payer
Ruag a aussi analysé cet incident de son côté et annoncé différentes mesures d’amélioration. Pour éviter toute situation comparable à l’avenir, la Confédération a formulé des recommandations supplémentaires. Elle demande notamment à Ruag de vérifier ses mesures de protection et processus avec l’Office fédéral de la cybersécurité.
Le DDPS estime que de plus amples mesures en matière de droit de propriété ne s’imposent pas vis-à-vis de Ruag. Enfin, le DDPS et la Confédération maintiennent leur recommandation de ne pas payer de rançon en cas de cyberattaque.
