ncsc.admin.ch 19.08.2025 - La semaine dernière, deux incidents ont été signalés à l’OFCS dans lesquels des cybercriminels ont tenté d’inciter des destinataires à installer des logiciels malveillants. Ces cas illustrent à quel point les méthodes ont évolué : Il est aujourd’hui beaucoup plus difficile d’introduire un logiciel malveillant sur un ordinateur qu’il y a quelques années. Les cybercriminels ont donc de plus en plus recours à des techniques sophistiquées d’ingénierie sociale pour atteindre leurs objectifs.

Au cours du premier semestre 2025, seuls 182 cas liés à des logiciels malveillants ont été signalés à l’OFCS via le formulaire de signalement, ce qui ne représente qu’environ 0,4 % de l’ensemble des signalements reçus pendant cette période. Ce faible nombre peut être interprété de deux manières. D’un point de vue positif, les mécanismes de protection techniques tels que les programmes antivirus et les filtres anti-spam sont désormais si efficaces qu’ils bloquent la plupart des attaques de logiciels malveillants avant même qu’elles ne soient exécutées, ce qui réduit le nombre de signalements à l’OFCS. Dans une optique négative, on peut toutefois considérer que les attaques sont devenues si sophistiquées qu’elles ne sont pas détectées par les personnes concernées et ne font donc pas l’objet de signalements.

Le recours à des logiciels malveillants n’a toutefois pas complètement disparu. Ces derniers temps, l’OFCS reçoit à nouveau davantage de signalements concernant des e-mails visant à diffuser des logiciels malveillants, comme l’illustrent les deux exemples actuels suivants, survenus la semaine dernière.

Fausse facture au nom d’Intrum
La semaine dernière, de fausses factures ou des rappels ont été envoyés par e-mail au nom de la société de recouvrement Intrum. Le message fait référence à une prétendue facture QR en pièce jointe, qui doit être ouverte pour être payée. En réalité, la pièce jointe n’est pas un fichier PDF, mais un fichier HTML.

Lors de l’ouverture, le destinataire reçoit un message indiquant que le fichier PDF ne peut pas être affiché, car JavaScript est désactivé.

Pour activer le JavaScript, il faut appuyer sur les touches « Windows+R » et « Ctrl+V » – une méthode bien connue qui a déjà été évoquée dans une précédente rétrospective hebdomadaire de l’OFCS. Lors du chargement du fichier HTML, un script PowerShell malveillant est copié dans le presse-papiers de l’ordinateur. Un script PowerShell est un fichier texte contenant les commandes que l’ordinateur doit exécuter.

En appuyant sur cette combinaison de touches, une fenêtre s’ouvre dans laquelle vous pouvez exécuter des commandes. La combinaison de touches « Ctrl+V » insère la commande malveillante du presse-papiers dans cette fenêtre. L’ordinateur se connecte ensuite à un serveur des malfaiteurs et un logiciel malveillant est téléchargé et installé.

Prétendue demande de paiement de l’UBS
Un autre cas concerne une fausse demande de paiement au nom d’UBS. Là encore, le destinataire est invité à ouvrir un fichier joint à l’e-mail. Dans ce cas, il s’agit bien d’un fichier PDF, mais celui-ci est protégé par un mot de passe. Le mot de passe est toutefois fourni directement dans l’e-mail, pour plus de commodité.

Cette procédure sert probablement à contourner les mécanismes de sécurité tels que les filtres anti-spam et les programmes antivirus, car ceux-ci ne peuvent pas analyser le contenu du fichier protégé par mot de passe. Une fois le mot de passe saisi, le fichier PDF s’ouvre et indique que le véritable contenu se trouve sur un lecteur OneDrive.
Le lien indiqué mène au téléchargement d’un fichier archive contenant un fichier « batch ». Il s’agit d’un fichier texte exécutable qui contient des commandes. Son exécution entraîne le téléchargement et l’installation du logiciel malveillant, comme dans le premier exemple.

Ces deux exemples montrent à quel point les attaques sont désormais complexes et articulées sur plusieurs niveaux. Un simple fichier exécutable joint à un e-mail ne suffit plus depuis longtemps pour infecter un ordinateur. Les pirates misent désormais sur des manœuvres de diversion sophistiquées pour contourner les mécanismes de protection techniques et inciter les victimes à jouer un rôle actif. La vigilance et la sensibilisation restent donc des éléments centraux de la cybersécurité.

Recommandations
Ne cliquez pas sur les liens contenus dans les e-mails et les SMS.
Si vous attendez un rappel, contactez l’agence de recouvrement ou la caisse d’assurance maladie afin de vérifier si la créance est bien justifiée. Utilisez pour cela les coordonnées figurant sur les sites Internet officiels des entreprises.
Si vous soupçonnez l’installation d’un logiciel malveillant, adressez-vous à un magasin spécialisé en informatique. Le plus sûr est de réinstaller complètement votre ordinateur. N’oubliez pas de sauvegarder toutes vos données personnelles au préalable.
Après la réinstallation, modifiez tous vos mots de passe pour tous vos accès en ligne (e-mail, réseaux sociaux, etc.).

Global banking giant UBS has suffered a data breach following a cyber-attack on a third-party supplier.

In a statement emailed to Infosecurity, a UBS spokesperson confirmed a breach had occurred, but it had not impacted customer data or operations.

“A cyber-attack at an external supplier has led to information about UBS and several other companies being stolen. No client data has been affected. As soon as UBS became aware of the incident, it took swift and decisive action to avoid any impact on its operations,” the UBS statement read.

Swiss-based newspaper Le Temps reported that information about 130,000 UBS employees had been published on the dark web by a ransomware group called World Leaks, previously known as Hunters International, following the incident.

This data includes business contact details, including phone number, their job role and details of their location and floor they work on.

The direct phone number of UBS CEO Sergio Ermotti was reportedly included in the published data.

UBS also confirmed to Infosecurity that the external supplier at the center of the incident was procurement service provider Swiss-based Chain IQ.

Another Chain IQ client, Swiss private bank Pictet, also revealed it had suffered a data breach as a result of the attack. Pictet said in statement published by Reuters that the information stolen did not contain its client data and was limited to invoice information with some of the bank's suppliers, such as technology providers and external consultants.

At the time of writing, it is not known whether any other Chain IQ customers have been impacted.

A cyberattack on the Zug-based procurement service provider Chain IQ apparently has far-reaching consequences for UBS: data from 130,000 employees, including the direct number of CEO Sergio Ermotti, is said to have ended up on the darknet.