Cyberattaque chez PK Softech: des données de tests aussi touchées
La Caisse de pension de la Ville de Zurich a transmis des données en vue d'un futur changement de système. Publica et la Caisse de pension bernoise cherchent toujours à savoir quelles données de leurs assurés ont fuité.
La cyberattaque contre PK Softech montre à quel point un risque lié aux données peut s'étendre bien avant le lancement d'un nouveau logiciel. La Caisse de pension de la Ville de Zurich (PKZH) avait transmis des données personnelles au fournisseur pour des tests. Dans ses questions-réponses actuelles, elle évoque des données dérobées concernant aussi des assurés et des bénéficiaires de rentes de la PKZH. Selon sa mise à jour du 20 octobre 2026, les informations et les personnes précisément concernées ne sont pas encore établies de manière définitive.
Deux questions coexistent donc: des données ont fuité de l'infrastructure du fournisseur. Cela ne signifie pas pour autant que tous les dossiers de l'ensemble des clients actuels ou futurs ont été volés. Cette distinction est justement décisive pour apprécier le nombre croissant de caisses de pension mentionnées.
Le fournisseur a été attaqué
PK Softech a indiqué que des inconnus s'étaient introduits fin septembre dans une partie de son infrastructure informatique au moyen d'un logiciel malveillant. L'entreprise a isolé l'environnement concerné, fait appel à des spécialistes externes et déposé une plainte pénale. Depuis le 2 octobre, elle est de nouveau pleinement à la disposition de ses clients. La nature et l'ampleur de la fuite de données font l'objet d'une enquête.
La Confédération a confirmé le 8 octobre une fuite de données chez le fournisseur de logiciels externe de Publica. Le Ministère public de la Confédération enquête. La communication ne mentionne toutefois ni un nombre définitif de personnes touchées ni l'ensemble des fichiers de données dérobés. Un retour à la normale de l'exploitation ne répond pas à ces questions.
Pourquoi les données de test ne sont pas un détail
La PKZH utilise actuellement un autre système de gestion. Le passage à PK Softech est prévu pour le début de 2027. Les données transmises devaient servir à vérifier si le futur portefeuille serait repris de manière complète et correcte.
La caisse justifie ce test par la nécessité de reproduire fidèlement les relations de prévoyance et renvoie à des dispositions contractuelles en matière de protection des données et de confidentialité. Il fera l'objet d'une enquête de savoir si le fournisseur a respecté ses obligations de protection. L'incident seul ne permet pas encore d'en juger. Il rend toutefois visible que des copies de données situées en dehors du système de caisse en exploitation méritent aussi d'être protégées. Un regard porté uniquement sur l'exploitation productive est donc trop court.
Plus de 100 000 personnes potentiellement concernées ne sont pas un décompte de cas
Selon ses propres indications, Publica gère environ 70 000 personnes assurées et quelque 42 000 bénéficiaires de rentes. Ces chiffres d'effectifs illustrent la portée possible. Ils ne correspondent pas au nombre de vols de données avérés. Dans sa mise à jour du 20 octobre, Publica précise qu'il reste à déterminer si des données ont effectivement fuité et par qui. Aucun indice de publication sur le dark web ne serait disponible. L'absence de publication ne signifie pas qu'aucun vol n'a eu lieu.
Des comptes rendus médiatiques plus récents vont plus loin: le 20 octobre, Watson a rapporté, en se référant à des recherches du «Tages-Anzeiger», que des données personnelles de pratiquement tous les employés de la Confédération pourraient être concernées. Les données se trouveraient entre les mains du groupe de rançonneurs Akira. La porte-parole de Publica, Beatrice Rychen, a déclaré à Watson que la caisse ne pouvait pas confirmer pour l'instant l'ampleur décrite. Ces indications plus larges doivent donc être classées comme un reportage médiatique, et non comme un bilan global confirmé publiquement.
La Caisse de pension bernoise (BPK) a elle aussi annoncé le 20 octobre que sa situation concrète n'était pas claire. Elle avait en outre déposé une plainte pénale la veille. Dès le 15 octobre, la BPK avait communiqué une correction des informations antérieures du fournisseur: selon PK Softech, il fallait désormais partir du principe que des données personnelles avaient fuité; le fournisseur ne pouvait pas indiquer quels clients étaient concernés.
Au sujet du prestataire Libera, la NZZ a rapporté le 17 octobre, en se référant à son directeur Benno Ambrosini, que PK Softech avait informé Libera le 14 octobre d'une fuite de données personnelles. Il n'était ni possible de confirmer ni d'exclure que certaines caisses gérées par Libera ou certains assurés soient concernés. Là non plus, aucun total fiable ne peut être déduit.
Des données personnelles peuvent rendre une fraude crédible
Parmi les données potentiellement concernées, Publica cite les noms, les numéros AVS, les données de salaire et de prévoyance, les indications sur le partenaire ainsi que l'IBAN. La caisse précise en même temps que ses systèmes de gestion des avoirs et de versement des rentes ne sont pas touchés; les rentes seraient versées normalement. Des versements de rentes sûrs et un risque pour les données personnelles ne s'excluent donc pas.
L'Office fédéral de la cybersécurité décrit comment les escrocs exploitent la confiance et la pression du temps pour obtenir des données d'accès ou de l'argent. Connaître des détails personnels ne fait donc pas de quelqu'un un expéditeur fiable. Publica recommande, en cas d'appel inattendu, de raccrocher dans le doute et de joindre l'organisation elle-même via ses coordonnées officielles. Les mots de passe ou les codes de sécurité n'ont pas leur place dans de telles conversations.
Pour les assurés, il reste important de suivre les communications de leur propre caisse et de vérifier les tentatives de contact inhabituelles. Pour les caisses, la fin de l'alerte sur l'exploitation des paiements ne suffit pas: elles doivent établir quelles copies de données se trouvaient chez le fournisseur et quelles personnes sont réellement concernées. Ce n'est qu'avec ces résultats qu'une portée possible devient un bilan fiable.
Sources
- PK Softech: communiqué sur la cyberattaque
- Confédération: fuite de données chez le fournisseur de logiciels de Publica, 8 octobre 2026
- Caisse de pension de la Ville de Zurich: informations et questions actuelles sur la cyberattaque, état au 20 octobre 2026
- Publica: informations et questions sur la cyberattaque, état au 20 octobre 2026
- Caisse de pension bernoise: mises à jour d'information sur l'incident cyber, dernière mise à jour le 20 octobre 2026
- Publica: chiffres des effectifs de personnes assurées et de bénéficiaires de rentes
- Office fédéral de la cybersécurité: reconnaître les tentatives de tromperie et l'ingénierie sociale
- Watson: article sur Akira et prise de position de Publica, mis à jour le 21 octobre 2026
- NZZ: d'autres caisses de pension potentiellement concernées et prise de position de Libera, 17 octobre 2026
