Un pirate ukrainien condamné à près de 13 ans pour des attaques par rançongiciel en Suisse

Un tribunal zurichois a condamné un spécialiste informatique ukrainien à 12 ans et neuf mois de prison, prononçant l’une des condamnations les plus importantes de Suisse dans une affaire de rançongiciel. Le tribunal a également ordonné une interdiction de séjour en Suisse de 10 ans. Le jugement a été rendu le jeudi 10 septembre et relayé par Keystone-ATS le 11 septembre 2026.

Le prévenu, âgé de 52 ans et domicilié en Bâle-Campagne, a été reconnu coupable pour son rôle dans des attaques contre des entreprises suisses et internationales. Le Ministère public a estimé les dégâts à environ 100 millions de francs, soit près de 123 millions de dollars. La campagne a visé notamment le constructeur ferroviaire Stadler Rail, l’entreprise de chauffage et de technique du bâtiment Meier Tobler et le fournisseur de logiciels Crealogix.

Le tribunal a établi que le prévenu avait développé un rançongiciel utilisé pour verrouiller les données d’entreprises et qu’il avait contribué à rendre l’opération d’extorsion possible. Le Ministère public avait requis une peine de 12 ans. Les juges ont prononcé une peine plus lourde après avoir évalué la contribution du prévenu aux attaques.

Il est en détention provisoire depuis octobre 2021. Le jugement attribue la responsabilité à un spécialiste technique qui, selon le tribunal, a fourni les outils et les compétences ayant permis des attaques bien au-delà d’une seule victime.

Quelque 500 gigaoctets de données de Stadler Rail ont été dérobés lors d’une attaque, selon le dossier de l’affaire. Les pirates ont menacé de publier les documents confidentiels et ont réclamé une rançon. Stadler Rail a refusé de payer.

L’attaque a placé une grande entreprise industrielle suisse au cœur d’un modèle criminel qui associe vol de données et chiffrement. Les opérateurs de rançongiciels perturbent d’abord les systèmes internes, puis se servent des fichiers dérobés pour accentuer la pression sur les dirigeants, les clients et les fournisseurs. Le Ministère public a lié la campagne plus large à des pertes estimées à 100 millions de francs, même si certaines entreprises visées ont payé.

Basée à Bussnang, en Thurgovie, Stadler Rail fabrique des trains pour des marchés du monde entier. Une intrusion dans une entreprise dotée de systèmes complexes de production, d’ingénierie et de chaîne d’approvisionnement peut toucher bien davantage que les ordinateurs de bureau. Des plans confidentiels, des documents commerciaux et des informations échangées avec des partenaires peuvent tous servir de moyen de pression dans une campagne d’extorsion.

L’incident de 2020 a également montré à quelle vitesse une cyberattaque visant une entreprise suisse peut faire la une à l’international. Dans un article antérieur, Swissinfo indiquait que les pirates avaient réclamé 6 millions de dollars en bitcoins pour restituer les documents de Stadler. La condamnation prononcée aujourd’hui donne une conclusion judiciaire à l’affaire, tout en laissant les données dérobées et le réseau criminel plus large au centre de l’attention.

Le tribunal a identifié trois familles de rançongiciels au cœur de l’affaire : Lockergoga, Megacortex et Nefilim. Les juges ont décrit le prévenu comme leur principal développeur. Ces programmes chiffraient les données des entreprises visées et constituaient la base technique des tentatives d’extorsion.

Le jugement a distingué le développement des logiciels des personnes qui choisissaient les victimes, coordonnaient les attaques et formulaient les demandes. Le juge a déclaré que le prévenu n’était pas le cerveau de l’opération. Il avait développé le logiciel malveillant et l’avait transmis à des instigateurs qui restent inconnus. Cette distinction a orienté la présentation des faits par le tribunal, mais n’a pas écarté sa responsabilité pénale.

Le prévenu a nié savoir que ses logiciels seraient utilisés à des fins criminelles. Il a affirmé avoir travaillé comme consultant pour un client inconnu dans le domaine de la sécurité informatique, expliquant que du code source avait été retrouvé à son domicile. Le Ministère public a répliqué en présentant des éléments montrant que des messages d’extorsion figuraient également parmi ses données. Le tribunal a rejeté ses explications.

Cette affaire illustre les difficultés auxquelles sont confrontés les enquêteurs lorsque la cybercriminalité se répartit entre programmeurs, intermédiaires, opérateurs et négociateurs. Un développeur peut ne jamais pénétrer dans le réseau d’une victime, mais les outils qu’il crée peuvent déterminer l’ampleur et la rapidité d’une attaque.

L’affaire a également fait apparaître un lien présumé avec les services de renseignement russes et un instigateur présumé décédé à Moscou. Lors du procès en août, le Ministère public a déclaré que le contact présumé du prévenu avait collaboré avec les services secrets russes avant de tomber d’une fenêtre à Moscou, en novembre 2022.

Selon les informations rapportées, l’homme était un pirate informatique ukrainien qui utilisait une fausse identité fournie par les services de renseignement russes. Les États-Unis avaient offert une récompense pour toute information à son sujet, selon les éléments présentés par le Ministère public. Ces allégations ont contribué à brosser le tableau plus large d’intérêts criminels et étatiques qui se recoupent, même si le jugement zurichois s’est concentré sur le comportement du prévenu.

Le Ministère public a relié les attaques par rançongiciel à une stratégie russe visant à semer le désordre et à causer des dommages économiques dans les pays occidentaux. Des groupes criminels peuvent opérer dans un environnement où des acteurs étatiques tolèrent ou exploitent leurs activités. L’attribution reste difficile, car les pirates dissimulent leur identité, recourent à des intermédiaires et déplacent leur infrastructure d’un pays à l’autre.

L’instigateur présumé est mort et les autres organisateurs n’ont pas été identifiés. Les enquêteurs et le Ministère public suisses ont donc obtenu une condamnation contre un participant, tandis que les personnes qui auraient dirigé les attaques restent hors du tribunal.

Selon une évaluation distincte publiée en 2025, la Suisse a été confrontée à près de 200 attaques par rançongiciel attribuées au groupe Akira, ce qui montre que la condamnation zurichoise ne concerne qu’une campagne parmi celles qui continuent de menacer le pays. Les autorités suisses ont indiqué qu’Akira avait intensifié ses activités et ciblé des entreprises dans tout le pays.

Les conséquences touchent bien plus que les grandes entreprises industrielles. Les rançongiciels peuvent perturber les hôpitaux, les fabricants, les communes, les commerces de détail et les petits fournisseurs dont les systèmes sont connectés à ceux de grandes entreprises. L’affaire Stadler montre le risque supplémentaire créé lorsque les pirates copient des fichiers sensibles avant de chiffrer les systèmes. Refuser de payer peut éviter de financer des criminels, mais ne garantit pas que les informations dérobées resteront confidentielles.

Le jugement zurichois souligne également l’importance de préserver les preuves numériques. Le code source, les messages d’extorsion et les données conservées sur des appareils personnels ont aidé le Ministère public à contester la version du prévenu. La coopération internationale reste essentielle, car les pirates, les serveurs, les victimes et les transactions en cryptomonnaies peuvent relever de plusieurs systèmes juridiques.

La peine ne permettra ni d’identifier les organisateurs inconnus ni de récupérer toutes les pertes liées à la campagne. Elle établit toutefois que les tribunaux suisses peuvent prononcer de lourdes peines lorsqu’un spécialiste technique contribue sciemment à des attaques par rançongiciel, même s’il n’est pas le décideur final.