SharePoint fédéral suisse : 200 comptes compromis, les serveurs réinstallés

Le 4 août 2026, l’Office fédéral de l’informatique et de la télécommunication (OFIT, BIT en allemand) a rendu publique une intrusion dans plusieurs serveurs Microsoft SharePoint exploités dans les centres de données de la Confédération. Environ 200 comptes utilisateurs et techniques ont été compromis; l’accès externe a été bloqué et les serveurs concernés étaient en cours de réinstallation préventive, selon le communiqué du gouvernement suisse.

À ce stade, les analyses n’avaient trouvé aucun indice montrant que des données autres que les informations d’authentification compromises avaient été exfiltrées. Cela ne permet pas encore d’exclure définitivement la consultation ou la copie de documents: l’intrusion et la perte de confidentialité des identifiants sont établies, tandis que l’activité exacte des attaquants reste en cours d’analyse.

De la détection à la reconstruction des serveurs

La chronologie publique commence à la mi-juillet, après la publication de plusieurs vulnérabilités de SharePoint et des mises à jour correspondantes. Les travaux d’installation des correctifs ont débuté rapidement dans l’environnement fédéral, mais les attaquants auraient vraisemblablement exploité ces failles. Le point d’entrée précis et la date de l’intrusion initiale n’ont pas été rendus publics.

Des spécialistes ont repéré une activité anormale le 28 juillet. L’accès à SharePoint depuis Internet a ensuite été interrompu et les vulnérabilités connues fermées. Le 31 juillet, l’analyse a établi que des données d’accès appartenant à des comptes humains et techniques avaient été compromises, entraînant la réinitialisation des mots de passe concernés.

Le récit de Golem publié le 6 août recoupe cette chronologie, le total approximatif de 200 comptes et la reconstruction des serveurs. Les agents fédéraux pouvaient encore consulter leurs documents, mais les échanges avec des utilisateurs externes devaient passer par d’autres canaux pendant le blocage.

Les comptes humains et techniques ne représentent pas le même risque

Le total annoncé rassemble deux catégories distinctes. Les comptes utilisateurs sont associés à des personnes, tandis que les comptes techniques permettent à des applications ou à des services automatisés de s’authentifier. La répartition entre ces catégories, leurs niveaux de privilège et le nombre de comptes effectivement utilisés par les attaquants restent inconnus.

Les quelque 200 comptes mesurent donc un périmètre d’identifiants qui ne peuvent plus être considérés comme fiables. Ce chiffre ne correspond ni à 200 personnes dont tous les fichiers auraient été consultés, ni à 200 fuites de documents. Il ne renseigne pas non plus sur le volume de données éventuellement ouvertes ou copiées.

La présence de comptes techniques impose un traitement différent de celui des identités humaines. Leurs secrets peuvent être enregistrés dans des services, des tâches automatisées ou des connexions entre applications; ils doivent alors être remplacés partout où ils sont utilisés. Une réinitialisation limitée aux mots de passe personnels n’aurait donc pas suffi à assainir tout le périmètre.

Pourquoi une compromission d’identifiants ne prouve pas une exfiltration

Trois niveaux doivent être séparés. La compromission des serveurs montre qu’un acteur non autorisé a pu agir dans l’environnement SharePoint. Celle des identifiants signifie que certains secrets d’authentification sont devenus indignes de confiance. Une exfiltration suppose enfin des éléments établissant que des fichiers ou d’autres données ont effectivement quitté les systèmes.

Les deux premiers niveaux sont confirmés, pas le troisième. Dans son point de situation du 10 août, ITPro faisait encore état d’un auteur inconnu, d’une analyse poursuivie avec Microsoft et l’Office fédéral de la cybersécurité, et de l’absence d’accès confirmé à d’autres données.

Les règles applicables à cette plateforme excluent le stockage d’informations confidentielles et de données personnelles particulièrement sensibles. Cette restriction réduit la présence attendue de contenus critiques, mais elle ne constitue pas une preuve technique qu’aucun fichier n’a été ouvert, copié ou transféré. Une telle conclusion dépend de l’examen des journaux de connexion, des accès aux fichiers et des autres traces conservées.

Le confinement couvre les accès, les identités et les machines

Les mesures prises répondent à des risques différents. Le blocage de l’accès externe réduit la surface exposée, les correctifs ferment les vulnérabilités connues et le changement des mots de passe invalide les identifiants signalés. La réinstallation préventive permet de reconstruire les serveurs à partir d’un état maîtrisé au lieu de supposer qu’un simple correctif a supprimé toute modification malveillante.

Ces contrôles sont complémentaires, mais aucun ne reconstitue à lui seul l’activité antérieure. Corriger une faille ne révoque pas automatiquement un secret déjà dérobé; remplacer un mot de passe ne nettoie pas une machine potentiellement altérée; réinstaller un serveur ne détermine pas si un compte a servi auparavant à consulter ou à exporter des fichiers.

L’incident a été transmis à l’Office fédéral de la cybersécurité et au Secrétariat d’État à la politique de sécurité. Des indicateurs techniques ont également été communiqués aux exploitants suisses d’infrastructures critiques afin qu’ils puissent rechercher des traces comparables dans leurs propres environnements.

L’activité exacte des attaquants reste à établir

Le périmètre certain comprend une intrusion dans les serveurs SharePoint fédéraux et la compromission des informations d’accès d’environ 200 comptes humains et techniques. L’identité des attaquants, la durée de leur présence, les privilèges obtenus et les ressources éventuellement consultées ne sont pas publics.

La formulation la plus précise demeure donc qu’aucun indice d’exfiltration supplémentaire n’avait été découvert, et non qu’une fuite avait été définitivement exclue. Le blocage externe, la rotation des identifiants et la reconstruction des serveurs matérialisent le confinement opérationnel; l’ampleur complète de l’incident dépendra des résultats de l’analyse encore en cours.