En bref : Une cyberattaque contre PK Softech AG, qui fournit des logiciels aux caisses de pension, a probablement entraîné une fuite de données personnelles d’assurés de la Caisse fédérale de pensions PUBLICA. Le Ministère public de la Confédération mène l’enquête. Selon PUBLICA, les avoirs de prévoyance sont en sécurité ; le cas montre toutefois à quel point les entreprises dépendent de la sécurité de leurs fournisseurs.
L’essentiel en bref
- Attaque : fin septembre 2026, un fournisseur externe de logiciels de PUBLICA a constaté une cyberattaque ; PUBLICA l’identifie comme PK Softech AG
- Communiqué de la Confédération : 8 octobre 2026, « fuite de données confirmée » ; le Ministère public de la Confédération a ouvert une enquête
- Données possiblement concernées (état au 8 octobre) : nom, date de naissance, numéro AVS, adresse, numéros de téléphone et adresses e-mail, données de prévoyance (p. ex. salaire, salaire assuré, avoir de prévoyance), état civil, informations sur le conjoint ou le partenaire, IBAN
- Dark web : selon PUBLICA, aucun indice d’une publication jusqu’à présent (mises à jour des 14 et 20 octobre)
- Autres personnes concernées : d’autres caisses de pension sont également clientes de PK Softech, dont la caisse de pension de la Ville de Zurich (Pensionskasse Stadt Zürich, PKZH)
- Sources : communiqué de la Confédération, pages d’information de PUBLICA et de la PKZH
Ce que l’on sait
Selon le communiqué de la Confédération, l’entreprise a informé les services fédéraux concernés, PUBLICA ainsi que d’autres clients et a immédiatement déposé une plainte pénale. D’après la Confédération, les autres services fédéraux n’entretiennent pas de relations d’affaires avec l’entreprise. À la date des sources (20 au 22 octobre 2026), les personnes concrètement concernées n’avaient pas encore été déterminées ; ni la Confédération ni PUBLICA n’indiquent un nombre de personnes touchées.
Selon PUBLICA, l’incident concerne l’environnement de test du fournisseur, séparé du système de prévoyance productif. Les rentes sont versées normalement et les avoirs de prévoyance sont en sécurité. Le 15 octobre 2026, PUBLICA a déposé une plainte pénale contre inconnu auprès du Ministère public de la Confédération et a annoncé l’incident au PFPDT.
Selon ses propres indications, la PKZH a été informée le 13 octobre 2026. Les données auraient été utilisées pour des tests en vue d’un changement de système prévu ; le système de gestion actuellement utilisé par la PKZH n’est pas concerné. La PKZH a elle aussi déposé une plainte pénale et annoncé l’incident à son service de protection des données.
Ce que les personnes concernées devraient faire
PUBLICA et la PKZH recommandent une vigilance accrue face aux appels, e-mails et messages inattendus, en particulier lorsqu’ils portent sur la prévoyance, le salaire ou la banque. Il ne faut jamais communiquer ses identifiants, ne pas ouvrir de liens ni de pièces jointes suspects et signaler immédiatement à sa banque tout débit inconnu.
Qu’est-ce que cela signifie pour les PME suisses ?
Ce cas ne concerne pas que les caisses de pension. De nombreuses PME transmettent des données du personnel à des fiduciaires, à des prestataires de gestion des salaires ou à des fournisseurs de logiciels.
- Contrôler les fournisseurs : qui détient quelles données vous concernant, y compris dans des environnements de test ou de migration ? Prévoir contractuellement que, dans la mesure du possible, aucune donnée réelle ne soit utilisée pour les tests.
- Connaître les obligations d’annonce : en cas de risque élevé pour les personnes concernées, une annonce au PFPDT doit être faite dans les meilleurs délais, voir Obligation de signaler les cyberattaques.
- Préparer la procédure d’urgence : guide Cyberattaque : que faire ? et check cyber-risque.
- Clarifier la couverture : la prise en charge des incidents survenant chez des prestataires dépend du contrat. Vérifiez-le dans la comparaison ; les bases figurent sous Cyberassurance pour PME et Coûts.