Cyberattaque chez un fournisseur externe, données d'assurés de Publica volées

Fin septembre, une cyberattaque a touché un fournisseur de logiciels externe de Publica, la caisse de pensions de la Confédération. L'affaire est devenue publique jeudi. « Per noi si tratta della cosa peggiore che potesse accadere » (en français : « Pour nous, c'est la pire chose qui pouvait arriver »), a déclaré la porte-parole de l'institution, Beatrice Rychen.

Selon une communication de Publica adressée aux assurés, que la SRF a pu consulter, des données personnelles ont probablement été dérobées lors de l'attaque. Il s'agirait d'informations sensibles telles que le nom et le prénom, la date de naissance, le numéro AVS, l'adresse, les numéros de téléphone privés et professionnels, les adresses e-mail privées et professionnelles, des données de prévoyance comme le salaire et l'avoir de prévoyance, l'état civil ainsi que des informations sur le conjoint ou le partenaire.

Il n'est pas encore établi si la fuite de données concerne l'ensemble des quelque 66 000 assurés actifs et 40 000 bénéficiaires de rente de Publica, ou seulement une partie d'entre eux. Les avoirs de prévoyance eux-mêmes ne sont en revanche pas touchés et restent en sécurité, précise l'institution.

Les risques pour les assurés

Le vol de données sensibles expose les personnes concernées au risque que les auteurs de l'attaque tentent d'usurper leur identité. Publica évoque un « certain risque » pour les assurés et indique ne pas pouvoir exclure un usage abusif des données pour en tirer un avantage. L'institution invite les assurés à la prudence en cas d'appels téléphoniques ou de messages inhabituels.

Les auteurs de l'attaque n'ont pas visé directement Publica, mais l'entreprise PK Softech AG, un fournisseur externe de logiciels qui développe des applications pour caisses de pensions. Cette intrusion leur aurait toutefois permis d'accéder aussi aux données de la caisse de pensions de la Confédération. Le Ministère public de la Confédération a ouvert une enquête sur l'affaire, tandis que des spécialistes analysent les données dérobées. On ignore si l'attaque a également touché d'autres institutions de prévoyance clientes de PK Softech.

Cet épisode rappelle l'affaire Xplain de 2023, un fournisseur suisse de logiciels pour les autorités : des cybercriminels étaient alors déjà parvenus à atteindre des données d'offices fédéraux en passant par une entreprise externe, dérobant environ 1,3 million de fichiers sensibles. Après une enquête administrative, le Conseil fédéral avait arrêté il y a deux ans des mesures visant à empêcher de futurs vols de données chez les fournisseurs informatiques, en introduisant des dispositions de sécurité supplémentaires pour la collaboration avec des entreprises externes.