La Confédération victime d'un chantage qui pourrait virer à la catastrophe
La cyberattaque contre une entreprise suisse relativement modeste, spécialisée dans les logiciels pour caisses de pensions, prend une ampleur toujours plus inquiétante. Selon une enquête publiée par le Tages-Anzeiger, elle pourrait provoquer une véritable catastrophe pour la Confédération en matière de protection des données.
Que s'est-il passé?
Dans un article publié mardi, le journaliste d'investigation Thomas Knellwolf révèle:
Début octobre, la Caisse fédérale de pensions Publica avait révélé que son fournisseur de logiciels, PK Softech AG, établi dans le canton de Bâle-Campagne, avait été victime d'un piratage. Cette société développe et commercialise des solutions informatiques destinées aux caisses de pensions. Elle compte parmi ses clients plusieurs autres institutions de prévoyance, tant publiques que privées.
Les informations volées – selon le quotidien, 100 gigaoctets (Go) de fichiers compressés – seraient désormais entre les mains du groupe de pirates spécialisés dans les rançongiciels Akira. Des liens avec les services de renseignement russes avaient déjà été prêtés à l'organisation criminelle dont ce groupe est issu. Mais la situation serait encore plus grave.
Selon le Tages-Anzeiger, les données dérobées à la caisse de pensions de la Confédération permettraient notamment d'identifier des agents secrets et des soldats d'élite de l'armée suisse.
A Berne, les autorités fédérales redouteraient désormais que ce vol de données «compromette durablement» les capacités opérationnelles des services de sécurité suisses. Le Ministère public de la Confédération a ouvert une enquête. La Caisse fédérale de pensions a réagi, mardi soir, auprès de watson (lireplus bas).
Qui sont les membres d'Akira, les auteurs de l'attaque?
Pour rappel, Akira figure parmi les groupes de pirates spécialisés dans les rançongiciels les plus dangereux. Depuis avril 2024, le Ministère public de la Confédération mène une procédure pénale contre les responsables de cette organisation ainsi que leurs partenaires criminels, appelés «affiliés».
Les membres de ce groupe, actif sous le nom d'Akira depuis 2023, sont issus de régions russophones. Des chercheurs indépendants en cybersécurité ont découvert, au cours de leurs investigations, des liens avec le Service fédéral de sécurité russe (FSB).
En octobre 2025, il y a un an, l'Office fédéral de la police (Fedpol) avait publiquement mis en garde contre Akira. Le groupe avait intensifié ses activités et comptait déjà des centaines de victimes rien qu'en Suisse. Les spécialistes de la Confédération recommandaient en outre vivement de ne pas céder aux tentatives d'extorsion d'Akira, mais de déposer une plainte pénale.
En juin 2025, on apprenait pourtant que le groupe suisse d'armement Ruag avait cédé aux menaces d'Akira après une cyberattaque contre l'une de ses filiales américaines, en versant secrètement une rançon.
Selon le Tages-Anzeiger, Akira réclame désormais aussi une rançon pour les données des caisses de pensions. Faute de paiement, les pirates menaceraient de publier ou de vendre les informations volées. Les personnes touchées par la cyberattaque n'auraient toutefois pas été informées de ces menaces jusqu'à présent.
Aucun message d'extorsion n'a encore été publié sur les sites utilisés par Akira sur le darknet, et aucune donnée des victimes n'y a été divulguée.
Le nom du groupe de cybercriminels Akira s'inspire probablement d'une célèbre série de mangas japonais et d'un personnage du même nom. Selon des chercheurs en cybersécurité, les pirates auraient choisi cette appellation pour se présenter eux-mêmes comme une force tout aussi irrésistible et destructrice.
Quelles sont les conséquences de la cyberattaque?
Il est actuellement impossible de mesurer les conséquences du vol de données. Les investigations se poursuivent, indique la Caisse fédérale de pensions Publica, interrogée par watson.
Ces analyses sont complexes et prennent donc du temps, précise la porte-parole de Publica. «Nous tenons à ne communiquer que des informations vérifiées et à ne pas susciter d'inquiétudes inutiles.»
Jusqu'alors, la communication de crise de la Confédération s'était limitée au strict minimum. Les services fédéraux concernés, notamment le Département fédéral de la défense, de la protection de la population et des sports (DDPS), renvoyaient les questions relatives à cette affaire vers la caisse de pensions. Le service de presse de cette dernière ne répondait pas aux questions précises.
Dès le début du mois d'octobre, watson disposait pourtant d'indices sérieux laissant penser que des données personnelles d'agents des services de renseignement et de spécialistes militaires de la cybersécurité étaient concernées. Mais les autorités fédérales refusaient de s'exprimer sur le sujet. Même après avoir été relancées, elles s'étaient contentées de répondre:
Selon le Tages-Anzeiger, un examen effectué au sein de l'entreprise piratée avait pourtant déjà permis d'établir, à cette époque, que des «données de la Confédération sensibles du point de vue de la sécurité» avaient été volées. Auparavant, le Secrétariat d'Etat à la politique de sécurité (Sepos), Fedpol et le Service de renseignement de la Confédération (SRC) avaient tenté de déterminer dans quelle mesure la Confédération elle-même était touchée par la cyberattaque.
Dimanche, le Sonntagsblick avait à son tour évoqué, en s'appuyant sur des sources anonymes, un «désastre en matière de données» touchant «particulièrement» les services de sécurité.
Un journaliste du Blick chargé de la politique fédérale citait une note d'information interne confidentielle. Selon ce document, les pirates auraient notamment dérobé des données personnelles sensibles appartenant au SRC, au Groupement Défense du DDPS et à Fedpol. D'après cette enquête, les employés actuels et retraités de la Confédération doivent s'attendre à des «conséquences à long terme».
Une task force mise en place
Comme le révèle désormais le Tages-Anzeiger, même «les collaborateurs les plus exposés» seraient concernés: «des enquêtrices spécialisées dans la lutte contre la mafia, des agentes secrètes, des soldats d'élite» – et donc probablement aussi des membres du Détachement de reconnaissance de l'armée 10 (DRA 10), une unité professionnelle spécialisée.
Noms, dates de naissance, numéros AVS, adresses professionnelles et privées, informations salariales et, dans certains cas, coordonnées bancaires seraient désormais entre les mains des cybercriminels. Akira disposerait également des numéros de téléphone et des adresses électroniques des personnes concernées, «tant professionnels que privés». A cela s'ajouteraient des renseignements sur leur état civil, leurs conjoints ou partenaires et, parfois même, leurs enfants.
Selon le quotidien, le secrétaire d'Etat à la politique de sécurité Markus Mäder a mis en place une task force. Celle-ci est dirigée par Anne Rivera, déléguée de la Confédération à la sécurité de l'information.
Les autorités craindraient désormais que des services de renseignement étrangers ou des organisations criminelles puissent identifier et localiser des personnes travaillant sous une identité d'emprunt. Selon une évaluation interne, ces employés de la Confédération seraient même exposés à un «danger pour leur intégrité physique et leur vie».
D'après le quotidien, la situation serait tout aussi préoccupante au SRC, qui aurait désormais renoncé à certaines opérations. Des services de renseignement étrangers pourraient également tenter d'approcher des collaborateurs du SRC lors de voyages privés ou à leur domicile afin de les recruter. Les personnes concernées risqueraient en outre d'être arrêtées à leur entrée dans certains pays, de subir des pressions et, dans le pire des cas, d'être agressées.
Une vigilance accrue s'impose
Rappelons qu'après un vol de données, il faut s'attendre à une recrudescence des tentatives d'escroquerie par téléphone, courrier électronique ou SMS.
Publica souligne avoir informé, à titre préventif, les assurés et les bénéficiaires de rentes dès le 8 octobre, tout en les mettant en garde contre d'éventuelles tentatives de fraude. «Nous mettons à disposition sur notre site Internet des informations actualisées et des recommandations sur les comportements à adopter.»
La semaine dernière encore, une cyberattaque réussie contre le groupe spatial suisse Beyond Gravity, anciennement Ruag Space, était révélée. Les circonstances de cette attaque restent floues. Selon les informations communiquées, des données auraient été dérobées à cette entreprise fédérale par un «acteur hautement professionnel». D'après une enquête de la radio-télévision publique alémanique SRF, la Chine est soupçonnée d'être à l'origine de cette opération. (trad. hun)