Lennig Pedron, Trust Valley: «Se croire hors de portée des cyberattaques, c’est déjà être vulnérable»

Lennig Pedron, CEO de Trust Valley.

Lennig Pedron, CEO de Trust Valley.

Vous évoluez depuis près de vingt ans dans les domaines de la cybersécurité et du hacking. Comment êtes-vous entrée dans cet univers, et qu’est-ce qui vous a donné envie d’en faire le cœur de votre activité?

Je suis arrivée dans ce domaine par curiosité. À l’époque, le mot «cybersécurité» n’existait pratiquement pas. Internet représentait pour moi un nouveau territoire à découvrir. Mon parcours était initialement plutôt entrepreneurial. J’ai étudié dans les domaines de l’agroalimentaire et de l’agritech, puis en administration des entreprises, avant de créer ma première société à 25 ans. J’ai ensuite voulu comprendre les mécanismes derrière Internet et la manière dont ils pouvaient être améliorés. C’est ce qui m’a conduite vers le hacking, dans son sens premier: la curiosité, la compréhension et l’amélioration des systèmes. J’ai compris assez tôt que le numérique allait profondément transformer notre société. Ce qui m’a donné envie d’en faire le cœur de mon activité, c’est la volonté de veiller à ce que ces technologies restent au service de l’humain et non l’inverse.

Lorsque vous comparez la situation actuelle à vos débuts, qu’est-ce qui a le plus profondément changé dans les cybermenaces et dans la manière dont les attaquants opèrent?

Ce qui a surtout changé, c’est l’échelle. Au départ, l’attaquant était souvent un individu animé par différentes motivations: le défi technique, l’argent ou l’activisme. Aujourd’hui, nous faisons face à une véritable industrie, avec des groupes organisés comme des entreprises, des modèles économiques, des services et des places de marché. Ils sont aussi capables d’agir très rapidement: une fois qu’une victime est harponnée, tout peut aller très vite. Le deuxième changement concerne les cibles. Au départ, on pensait que les attaques toucheraient surtout les grandes entreprises ou les États. Aujourd’hui, toute la chaîne de valeur est visée. Environ 60% des piratages passent par la chaîne d’approvisionnement. Un petit fournisseur peut ainsi devenir la porte d’entrée vers un grand donneur d’ordre. Les signalements de cyberincidents à l’Office fédéral de la cybersécurité en témoignent. Ils sont passés d’environ 21 000 il y a cinq ans à 64 733 en 2025.

Parmi les cybermenaces actuelles, laquelle vous semble la plus sous-estimée par les entreprises suisses? Comment l’intelligence artificielle en accroît-elle la portée?

La menace la plus sous-estimée est, selon moi, l’ingénierie sociale renforcée par l’intelligence artificielle, en particulier les fraudes par usurpation de voix et d’identité. C’est une menace métamorphe, qui change constamment de forme et passe du monde numérique au monde physique. L’intelligence artificielle rend les attaques beaucoup plus faciles à produire, à personnaliser et à déployer sur plusieurs canaux, en combinant notamment les e-mails, la voix, la vidéo et d’autres contenus synthétiques. L’audio est particulièrement redoutable: face à une vidéo, certains indices visuels peuvent éveiller nos soupçons, tandis qu’une voix bien clonée est parfois beaucoup plus difficile à remettre en question. Quelques secondes d’enregistrement peuvent désormais suffire pour reproduire une voix avec un niveau de fidélité élevé. Selon une étude McAfee, trois secondes d’audio suffisent pour cloner une voix avec environ 85% de fidélité. Lorsqu’une personne reçoit un appel qui semble provenir de son directeur financier, dans la bonne langue, avec un contexte cohérent et une demande urgente, tout peut paraître crédible. En Suisse, les cas de fraude au CEO ont d’ailleurs doublé entre 2023 et 2025, avec 970 cas signalés en 2025 contre 484 en 2023. Les cybercriminels exploitent alors la pression et la confiance humaine. La technologie rend la fraude plus convaincante, mais ce sont souvent les mécanismes psychologiques qui permettent à l’attaque de fonctionner. Les deepfakes vidéo restent eux aussi difficiles à identifier: selon une étude académique, seule une personne sur quatre serait capable de les détecter.

Votre rôle au sein de Trust Valley vous place au contact d’entreprises, de PME, d’institutions, de chercheurs et de start-up. Comment évaluez-vous aujourd’hui le niveau de maturité cyber des organisations en Suisse romande?

Le tableau reste très contrasté. La prise de conscience est là, mais la maturité dépend encore beaucoup de la taille de l’organisation, des moyens qu’elle a pu investir et de son secteur d’activité. Les banques ont déjà réalisé une grande partie du travail, souvent sous l’effet de la réglementation. À l’autre extrême, certains acteurs de la santé commencent à peine à structurer leur protection, alors même que ce secteur utilise depuis longtemps l’intelligence artificielle et l’adopte de plus en plus, parfois sans garde-fous suffisants.

Dans ce tableau contrasté, sur quels aspects les entreprises romandes ont-elles le plus progressé ces dernières années et où constatez-vous encore les principales lacunes?

Les progrès les plus nets concernent la gouvernance. La cybersécurité est davantage remontée au niveau des directions, avec la mise en place d’une gouvernance cyber et d’investissements. Dans les grandes organisations, le sujet est généralement intégré au niveau de la direction ou du conseil d’administration, soit par l’intermédiaire d’une personne chargée du sujet, soit à travers des rapports réguliers. Les plus petites cherchent encore comment l’intégrer à leur gouvernance. Selon une étude de la Mobilière, quatre entreprises sur dix ne disposaient, en 2024, ni d’un plan d’urgence ni d’une stratégie de continuité d’activité en cas de cyberattaque majeure. Du côté des PME, la prise de conscience a progressé, mais le passage à l’action reste inégal. En 2025, plus de deux tiers d’entre elles appliquaient les mesures techniques de base. Dans le même temps, seules 33% considéraient la cybersécurité comme très importante, contre 47% un an auparavant. Notre travail de terrain, qui nous a permis de former environ 5’000 personnes en Suisse romande, le montre bien. Les organisations ne nous demandent plus pourquoi elles doivent se préoccuper de cybersécurité, mais par où commencer, avec quels moyens et comment gérer leur sécurisation dans la durée.

Lorsque vous observez les PME romandes, quelles erreurs commettent-elles encore le plus souvent en matière de c­ybersécurité?

Beaucoup de PME pensent encore être trop petites pour intéresser un attaquant. Or elles ne l’intéressent pas nécessairement pour elles-mêmes, mais pour ce à quoi elles peuvent donner accès. Elles se croient hors de portée. Et se croire hors de portée, c’est déjà être vulnérable. L’une des erreurs les plus fréquentes consiste à ne pas vérifier les back-up. Beaucoup pensent être protégées parce qu’elles en disposent, mais découvrent au moment où elles en ont besoin qu’elles ne fonctionnent pas ou qu’elles ne peuvent pas être réutilisées immédiatement. Certaines les conservent aussi au même endroit que les données originales. Une autre erreur consiste à considérer la cybersécurité comme une responsabilité exclusivement technique. Les directions s’en remettent encore trop souvent aux équipes informatiques ou à leur prestataire, alors que ni les unes ni l’autre ne peuvent porter seules la sécurité de l’organisation. Un prestataire peut mettre en place et exploiter l’infrastructure sans être spécialisé dans sa protection. Il construit en quelque sorte la carrosserie et installe le moteur, mais ne pense pas nécessairement à la ceinture de sécurité ou aux airbags. La cybersécurité doit aussi impliquer les ressources humaines, les finances, l’administration et le commercial. Il faut développer une culture de la protection numérique dans toute l’organisation, avec des collaborateurs capables de repérer un comportement inhabituel et de transmettre l’information au bon endroit. Ces «sentinelles» ne doivent pas nécessairement avoir un profil technique, mais le processus de signalement doit être identifié et leur rôle valorisé.

Quelles devraient être les priorités absolues d’une PME ­souhaitant renforcer sa sécurité sans multiplier les outils et les dépenses?

Ce n’est pas seulement une question d’outils ou d’argent, mais de savoir comment l’entreprise gère sa sécurité numérique. La cybersécurité doit être considérée comme un investissement à long terme plutôt que comme un coût. Elle doit apporter de la fiabilité à l’entreprise, à ses clients, à ses partenaires et à sa chaîne de valeur, avec pour objectif de protéger la continuité de l’activité.

Peut-on encore espérer empêcher toute compromission, ou faut-il désormais combiner prévention, détection, réaction et résilience?

Il est impossible de dire qu’une entreprise ne sera jamais compromise. Il ne faut toutefois pas opposer prévention et résilience: les deux sont complémentaires. La prévention reste indispensable. Le fait que le risque zéro n’existe pas ne signifie pas qu’il faut renoncer aux fondamentaux. On peut avoir de bonnes assurances, de bons hôpitaux, de bonnes autoroutes, une ceinture de sécurité et des airbags: cela n’empêche pas les accidents, mais permet d’en limiter les conséquences. C’est tout l’enjeu de la résilience. On ne peut pas prévoir exactement quand une attaque surviendra ni sous quelle forme, mais il faut au minimum avoir envisagé différents scénarios. Il faut détecter rapidement, réagir de manière ordonnée et restaurer son activité.

À travers Tech4Trust, quelles réponses technologiques voyez-vous émerger face aux nouvelles cybermenaces?

À travers Tech4Trust, nous voyons notamment émerger des solutions consacrées à la détection des contenus synthétiques, à l’usurpation d’identité et à la gouvernance des systèmes d’intelligence artificielle. La start-up lauréate de la dernière saison, aurigin.ai, travaille sur la détection en temps réel des deepfakes audio et sur la lutte contre l’usurpation vocale. Le jury l’a choisie sans véritable hésitation, car elle répond à un sujet devenu central. D’autres projets portent également sur les deepfakes vidéo. La gouvernance de l’intelligence artificielle occupe elle aussi une place importante. Le jury a notamment valorisé des solutions portant sur la transparence des systèmes, les contraintes appliquées aux modèles, leur fiabilité, leur conformité et la nécessité de sortir d’une logique de boîte noire. Nous avons encore besoin d’innovation sur ces sujets, auxquels les grands groupes ne sont pas forcément en mesure de répondre seuls. Les start-up et les laboratoires ont donc un rôle important à jouer.

Quelles évolutions des cybermenaces les entreprises ­devraient-elles commencer à anticiper dès aujourd’hui?

Je pense que l’on peut distinguer trois grands points. À court terme, il faut anticiper l’industrialisation des attaques par l’intelligence artificielle, avec des campagnes toujours plus personnalisées et multicanales, combinant e-mails, voix, vidéos et autres contenus synthétiques. La preuve de l’authenticité va devenir centrale: il faudra pouvoir vérifier à qui l’on parle et si un contenu est réellement authentique. À moyen terme, la pression va continuer d’augmenter sur les chaînes d’approvisionnement et les infrastructures critiques. Nous évoluons dans un contexte géopolitique très tendu, où la frontière entre cybercriminalité et actions étatiques devient de plus en plus floue. L’Office fédéral de la cybersécurité observe déjà une hausse des attaques visant les fournisseurs de la chaîne logicielle. À plus long terme, il faudra préparer la transition vers la cryptographie post-quantique. Des données chiffrées volées aujourd’hui, ou au cours des dernières années, pourraient être déchiffrées demain. Les entreprises peuvent déjà commencer à examiner leurs données et leur fonctionnement numérique afin de déterminer si elles seront capables de migrer vers des solutions post-quantiques.

Quel message souhaitez-vous adresser aux entreprises face à l’évolution de ces menaces?

Que ce n’est pas une fatalité. Nous traversons une transformation profonde de la société notamment avec l’IA, comparable au passage de la bougie à l’électricité. Elle comporte des risques, mais aussi énormément d’opportunités. L’objectif de la cybersécurité est aussi de permettre aux organisations de bénéficier de ces transformations . Pour y parvenir, il ne faut pas rester seul. La priorité est de construire un maillage régional fondé sur la confiance, le partage des connaissances et la coopération. C’est ainsi que nous pourrons faire face aux menaces et les transformer en opportunités.

L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!