Juillet 2026. Un acteur malveillant connu sous le pseudonyme « 888 » publie sur un forum cybercriminel 35 gigaoctets de données revendiquées comme appartenant à Accenture : dépôts de code source, clés RSA et SSH, jetons d’accès Azure DevOps et clés d’accès Azure Storage. Accenture parle d’un « incident isolé » sans impact client. Cette qualification ne résiste pas à l’analyse. Parmi les clients suisses du cabinet figurent des banques privées, des banques cantonales et plusieurs agences fédérales. Pour chacune de ces organisations, les identifiants compromis n’ont pas besoin d’avoir directement touché leurs environnements pour créer de véritables vecteurs de compromission : des jetons de pipeline partagés et des clés d’accès cloud suffisent à franchir le périmètre des institutions les mieux protégées.

Cet incident s’inscrit dans une tendance de fond qui n’a pas attendu 2026 pour s’imposer. En juin 2025, Chain IQ, prestataire de services d’achats basé à Baar, avait été victime d’une cyberattaque revendiquée par le groupe Worldleaks. En quelques heures, 910 gigaoctets de données, soit plus de 1,9 million de fichiers, avaient été exfiltrés, touchant indirectement UBS, Pictet, Manor et Implenia. Aucune donnée client n’avait été compromise, mais les informations professionnelles de dizaines de milliers de collaborateurs et collaboratrices de ces grandes organisations s’étaient retrouvées sur le dark web.

Comme Chain IQ l’avait montré avant lui, l’incident Accenture illustre une réalité que la FINMA documente désormais avec précision : dans près de la moitié des cyberattaques signalées par les établissements surveillés, la cible initiale n’est pas l’institution financière elle-même, mais un prestataire de services ou un partenaire d’externalisation. Le périmètre de la menace s’est déplacé. La chaîne d’approvisionnement IT est devenue le vecteur d’attaque privilégié des cybercriminels contre le secteur financier suisse.

La supply chain IT, nouveau terrain de chasse des cybercriminels

L’image d’une banque protégée par une forteresse numérique imperméable appartient au passé. Les systèmes d’information des établissements financiers sont aujourd’hui profondément interconnectés avec des dizaines, voire des centaines, de prestataires externes : éditeurs de logiciels core banking, fournisseurs de services cloud, intégrateurs IT, cabinets de conseil, opérateurs de réseaux, prestataires de services SaaS. Chacun de ces acteurs constitue une porte d’entrée potentielle.

Les attaques dites de « supply chain » consistent à compromettre un maillon de cette chaîne, souvent moins bien protégé que l’institution cible, pour rebondir sur ses systèmes. Les vecteurs d’attaque sont multiples : mises à jour logicielles manipulées, comptes SaaS compromis avec des droits d’accès étendus, mouvements latéraux via des intégrations API, ou accès détournés via des prestataires de services managés. La compromission d’Accenture en juillet 2026 en offre une illustration directe : des clés d’accès cloud et des secrets de pipeline exposés chez un intégrateur de premier plan créent mécaniquement des risques d’accès non autorisé pour l’ensemble de ses clients bancaires suisses, quelle que soit la robustesse de leur propre infrastructure.

La dépendance croissante aux services SaaS et aux fournisseurs externes a massivement augmenté la surface d’attaque des entreprises. À cela s’ajoute le risque de concentration, dont la panne Avaloq de juillet 2026 offre une démonstration saisissante : vingt et une banques, utilisant des outils SaaS distincts auprès du même fournisseur de logiciels bancaires, se sont retrouvées simultanément paralysées par la défaillance d’un unique sous-traitant d’infrastructure. Nul besoin d’un acte malveillant pour déclencher une défaillance en cascade. De nombreuses organisations, et leurs prestataires SaaS, s’appuient sur les mêmes hyperscalers en arrière-plan. Un incident chez l’un d’eux peut ainsi toucher simultanément plusieurs institutions qui croyaient avoir des fournisseurs distincts.

Ce que disent les chiffres : un panorama de la menace en 2026

Les données disponibles dressent un tableau sans équivoque de l’intensification de la menace.

Selon l’indice suisse des cybermenaces 2026, le secteur financier figure parmi les plus ciblés : 312 cyberincidents ont été signalés à l’OFCS par des établissements financiers, soit une progression de 29 % par rapport à 2025. Les attaques par la chaîne d’approvisionnement constituent la catégorie dont la progression est la plus rapide, avec 67 % d’incidents supplémentaires en un an. Sur l’ensemble des organisations suisses interrogées, seul un tiers dispose d’un programme formalisé de gestion des risques tiers.

La montée en puissance des compromissions de fournisseurs est documentée à l’échelle mondiale. En juillet 2026, le cabinet Black Kite publie un rapport faisant état d’une multiplication par 6,5 du nombre de brèches confirmées chez les principaux fournisseurs IT du secteur financier en l’espace d’un an : de 6 à 39. Dans ce contexte, le coût moyen d’une fuite de données dans le secteur financier suisse a atteint 6,2 millions de francs en 2026.

Ces chiffres s’inscrivent dans une tendance amorcée dès 2025. L’OFCS avait alors recensé 65 000 incidents cyber en Suisse sur l’ensemble de l’année, dont 104 attaques par rançongiciel. Depuis l’entrée en vigueur de l’obligation de signalement en avril 2025, les infrastructures critiques suisses, dont les banques et les assurances, doivent notifier tout cyberincident dans un délai de 24 heures à l’OFCS. En dix mois, 264 signalements avaient été enregistrés.

Derrière ces volumes se cache une évolution qualitative préoccupante : les attaques gagnent en sophistication, en ciblage et en automatisation, notamment grâce au recours à l’intelligence artificielle générative. La FINMA a observé une forte augmentation des signalements de cyberattaques touchant des assujettis par l’intermédiaire de chaînes d’approvisionnement et de tiers, notamment des fuites de données. Et le coût potentiel de ces incidents dépasse largement les pertes directes : une cyberattaque majeure visant une banque d’importance systémique pourrait représenter plusieurs centaines de millions de francs de pertes directes, et un impact de plusieurs milliards sur l’économie suisse si elle perturbe les paiements ou l’accès aux infrastructures critiques.

Les angles morts révélés par la FINMA

Au-delà des chiffres, les analyses de la FINMA pointent des failles structurelles qui rendent le secteur financier suisse particulièrement exposé aux attaques par la chaîne d’approvisionnement.

Une cybersécurité encore trop cloisonnée

Dans de nombreux établissements, les mesures de cybersécurité sont organisées et contrôlées de manière isolée au sein de l’informatique, avec un ancrage insuffisant dans la gouvernance, dans le système de contrôle interne et dans la gestion des risques opérationnels. Tant que la cybersécurité reste perçue comme un sujet purement technique, les décisions stratégiques qui conditionnent la résilience réelle de l’organisation échappent aux bons interlocuteurs.

Des capacités de détection et de réaction insuffisantes

Disposer d’outils de surveillance ne suffit pas. Beaucoup d’établissements ont bien déployé des solutions de type SIEM, mais il manque souvent des cas d’application spécifiques à l’établissement, les responsabilités opérationnelles en cas d’incident critique ne sont pas clairement définies, et les processus de réaction ne sont pas testés régulièrement. Une alarme qui ne déclenche pas la bonne réaction au bon niveau n’a qu’une valeur limitée.

La gestion des tiers, parent pauvre de la gouvernance cyber

C’est l’angle mort le plus critique, et les incidents de 2026 en apportent la démonstration la plus récente. La compromission d’Accenture illustre à quel point une organisation peut avoir investi massivement dans sa propre architecture de sécurité et rester exposée via un prestataire opérant avec des standards moins rigoureux. Les responsabilités, les voies d’escalade et le contrôle du niveau de sécurité des prestataires de services doivent être institutionnalisés. Des problèmes chez un petit nombre de prestataires critiques se répercutent de plus en plus souvent sur plusieurs établissements simultanément. Auditer les rapports de sécurité des fournisseurs, vérifier leur conformité aux normes ISO 27001 ou SOC 2, définir contractuellement les délais de notification d’incident, les droits d’audit et les obligations envers les sous-traitants : autant d’exigences qui relèvent désormais de la gestion des risques de premier ordre.

Des zones d’ombre subsistent en particulier autour des plateformes cloud et des infrastructures externes : les exigences ne sont pas définies de manière cohérente, l’efficacité des mesures de sécurité n’est pas pleinement démontrée, et l’intégration dans les systèmes de détection reste souvent incomplète. Ces lacunes aux interfaces critiques sont précisément celles qu’exploitent les attaquants.

Le cadre réglementaire : ce qui est désormais exigible

Face à cette réalité, le cadre réglementaire s’est considérablement renforcé. Les établissements financiers suisses n’ont plus d’espace pour une mise en conformité partielle ou différée.

La circulaire FINMA 2023/1 : toutes les exigences en vigueur

Depuis le premier janvier 2026, toutes les exigences de la circulaire FINMA 2023/1 relative aux risques opérationnels et à la résilience des banques sont pleinement en vigueur, sans plus aucune période transitoire. Ce texte couvre la gestion des risques TIC, les processus de détection et de réaction aux incidents, les tests de résilience réguliers et, de manière centrale pour notre propos, le traitement des fonctions externalisées. Il s’applique en complément de la circulaire FINMA 2018/3 sur l’outsourcing.

DORA : des effets extraterritoriaux concrets pour les acteurs suisses

Le règlement européen DORA (Digital Operational Resilience Act) est pleinement applicable depuis le 17 janvier 2025. Si la Suisse n’est pas membre de l’Union européenne, les établissements financiers helvétiques ayant des filiales dans l’UE, des clients européens ou fournissant des services TIC à des entités financières régulées dans l’UE sont directement concernés. DORA impose notamment la tenue d’un registre d’information exhaustif des prestataires TIC (article 28.3), la classification des fonctions critiques et importantes, des obligations contractuelles renforcées envers les tiers (article 30), et des tests de résilience avancés réguliers.

La portée concrète de ces dispositions s’est illustrée dès juillet 2026. En vertu de l’article 28.3, un prestataire tel qu’Accenture figure dans le registre des tiers de la quasi-totalité des banques et compagnies d’assurance suisses qui y recourent. L’article 31 place la responsabilité de la classification d’incident du côté de l’entité financière, et non du prestataire : pour toute organisation dont des pipelines Azure DevOps, des comptes de stockage ou des clés SSH sont opérés par un intégrateur compromis, la prudence impose de traiter les identifiants concernés comme potentiellement compromis, de conduire une évaluation d’impact et de déterminer si le seuil de notification à la FINMA a été franchi.

En 2026, les autorités compétentes sont entrées en phase de supervision effective : contrôles de conformité, premières désignations de prestataires TIC critiques, et premières sanctions pour les retardataires. La fenêtre pour une mise en conformité tardive se referme.

La résilience collective comme réponse systémique

Face à une menace qui, par nature, dépasse les frontières d’un établissement isolé, la résilience individuelle ne suffit plus. La cybersécurité bancaire ne peut pas être pensée établissement par établissement. Une attaque peut viser une banque, un prestataire critique ou une infrastructure de marché : la résilience dépend donc non seulement de chaque institution, mais aussi de la capacité du secteur à échanger des informations et coordonner ses décisions.

C’est précisément la mission du Swiss Financial Sector Cyber Security Centre (Swiss FS-CSC), partenariat public-privé fondé en avril 2022 et qui compte désormais près de 180 membres, dont des banques, des assureurs, la Banque nationale suisse et SIX. En novembre 2025, deux cyberexercices opérationnels avaient réuni 192 participantes et participants issus des équipes de cybersécurité des établissements membres. En mars 2026, un exercice stratégique d’ampleur a rassemblé près de 140 dirigeantes et dirigeants de haut niveau autour d’un scénario de cyberattaque systémique simulant une fuite de données, du hameçonnage en temps réel, des opérations bancaires frauduleuses et une panne d’infrastructure. En mai 2026, la cellule de coordination de crise (CCC) du Swiss FS-CSC a testé pour la troisième fois ses processus au Forum de la Banque nationale suisse.

Cette dynamique collective reflète une prise de conscience qui s’impose désormais à tous les niveaux : direction générale, conseil d’administration, responsables des risques et des opérations. La cyberrésilience est une décision stratégique avant d’être un défi technique.

Renforcer concrètement la résilience de sa chaîne d’approvisionnement IT

Pour les responsables des systèmes d’information et les équipes de gestion des risques dans le secteur bancaire suisse, les pistes d’action sont connues. C’est leur mise en œuvre rigoureuse et leur intégration dans la gouvernance globale qui font la différence.

Cartographier et classifier les prestataires critiques.

La première étape consiste à savoir exactement qui accède à vos systèmes, dans quelles conditions, et avec quels droits. Le registre des prestataires TIC exigé par DORA et la circulaire FINMA 2023/1 n’est pas qu’une obligation documentaire : c’est un outil de pilotage du risque.

Définir des exigences de sécurité contractuelles non négociables.

Localisation des données, certifications de sécurité (ISO 27001:2022, SOC 2 Type II), délais de notification en cas d’incident, droits d’audit, obligations envers les sous-traitants : ces clauses doivent être systématisées et contrôlées, pas seulement signées.

Tester régulièrement les processus de détection et de réaction.

Les exercices de simulation, comme ceux menés par le Swiss FS-CSC, ont une valeur opérationnelle directe. Ils permettent de vérifier non seulement que les outils fonctionnent, mais que les responsabilités sont claires et que les décisions peuvent être prises rapidement au bon niveau.

Ancrer la gouvernance cyber dans les instances dirigeantes.

La cybersécurité ne peut pas rester la seule affaire des équipes informatiques. Les membres de la direction et du conseil d’administration doivent comprendre les risques systémiques, valider les stratégies de résilience et être capables de piloter une crise.

Surveiller les risques de concentration.

Savoir quels hyperscalers se trouvent derrière vos prestataires SaaS, identifier les dépendances communes entre plusieurs fournisseurs apparemment distincts, et prévoir des scénarios de continuité en cas de défaillance d’un maillon critique : ces analyses sont incontournables dans un environnement cloud interconnecté.

Ce qu’il faut retenir

La question n’est plus de savoir si ou quand un établissement sera la cible d’une cyberattaque. Elle porte sur sa capacité de résistance, la rapidité de détection, l’efficacité de la réponse et la fiabilité de la poursuite des activités critiques. Ce que les incidents de 2026, de la compromission d’un intégrateur mondial à la panne d’un prestataire SaaS bancaire, révèlent avec clarté, c’est que cette résilience ne se construit plus seulement à l’intérieur du périmètre d’un établissement : elle se joue dans la maîtrise de sa chaîne d’approvisionnement IT tout entière.

La convergence des exigences réglementaires, circulaire FINMA 2023/1 et DORA, avec les réalités d’une menace en constante évolution, crée une obligation d’action pour l’ensemble des acteurs bancaires suisses. Les établissements qui traitent le risque tiers comme un exercice de documentation en ressortiront fragilisés. Ceux qui l’intègrent comme une dimension à part entière de leur stratégie de cybersécurité construisent une résilience durable.

Questions fréquentes

Qu’est-ce qu’une attaque par la chaîne d’approvisionnement IT dans le secteur bancaire ?

Une attaque par la chaîne d’approvisionnement IT (ou « supply chain attack ») consiste à compromettre un prestataire externe, un fournisseur de logiciels ou un partenaire d’externalisation ayant accès aux systèmes d’une banque, pour rebondir ensuite sur l’infrastructure de cette dernière. Les incidents de 2026 en fournissent plusieurs illustrations : la compromission d’Accenture en juillet, dont les clients bancaires suisses partageaient des pipelines cloud et des clés d’accès avec les équipes de l’intégrateur, ou encore la panne Avaloq, causée par la défaillance d’un sous-traitant hébergeur ayant paralysé simultanément vingt et une banques. L’attaque subie par Chain IQ en juin 2025, qui avait touché indirectement UBS et Pictet, avait déjà mis en évidence ce vecteur. Selon le rapport annuel FINMA 2025, près de la moitié des cyberattaques signalées par les établissements surveillés avaient pour cible initiale un prestataire de services, et non la banque elle-même.

Quelles sont les obligations réglementaires des banques suisses en matière de gestion des risques liés aux tiers ?

Deux textes encadrent aujourd’hui cette obligation. La circulaire FINMA 2023/1, pleinement en vigueur depuis le premier janvier 2026 sans période transitoire, impose aux banques de gérer et documenter les risques liés aux fonctions externalisées, avec des responsabilités, des voies d’escalade et un contrôle du niveau de sécurité des prestataires formalisés. Pour les établissements ayant une exposition à l’Union européenne, le règlement DORA ajoute des exigences supplémentaires : registre d’information des prestataires TIC (article 28.3), classification des fonctions critiques, droits d’audit contractuels, obligation de classification des incidents matériels incombant à l’entité financière (article 31) et tests de résilience avancés.

Pourquoi la résilience bancaire ne peut-elle pas se construire établissement par établissement ?

Parce que la menace ne respecte pas les frontières organisationnelles. Un prestataire critique partagé par plusieurs banques constitue un point de défaillance unique dont la compromission peut toucher simultanément l’ensemble de ses clients. La panne Avaloq de juillet 2026, qui a affecté vingt et une banques privées suisses en même temps sans nécessiter le moindre acte malveillant, en est l’illustration la plus récente. C’est pourquoi le Swiss FS-CSC coordonne depuis 2022 les exercices de cyberrésilience et les échanges d’informations entre près de 180 membres du secteur financier, en lien avec les autorités. La résilience systémique de la place financière suisse est une responsabilité partagée.

Comment les banques suisses doivent-elles gérer les risques de concentration liés aux hyperscalers ?

Le risque de concentration naît du fait que de nombreux prestataires SaaS distincts s’appuient en réalité sur les mêmes infrastructures cloud sous-jacentes. Une panne ou un incident de sécurité chez l’un des grands fournisseurs d’infrastructure peut ainsi affecter plusieurs services critiques en simultané, bien au-delà de ce qu’une analyse de premier niveau laisserait supposer. La bonne pratique consiste à cartographier non seulement ses fournisseurs directs, mais aussi les infrastructures sur lesquelles ces derniers s’appuient, et à anticiper des scénarios de continuité adaptés.

Quelles sont les premières actions concrètes pour renforcer la résilience de sa chaîne d’approvisionnement IT ?

Trois priorités se dégagent des exigences réglementaires et des retours d’expérience du secteur. En premier lieu, cartographier et classifier l’ensemble des prestataires TIC selon leur criticité pour les fonctions essentielles de l’établissement. En deuxième lieu, définir et contrôler des exigences de sécurité contractuelles non négociables : certifications de sécurité, délais de notification d’incident, droits d’audit, obligations envers les sous-traitants. En troisième lieu, tester régulièrement les processus de détection et de réaction via des exercices basés sur des scénarios réalistes, en impliquant les équipes dirigeantes et pas seulement les experts et expertes techniques.