Caisses de pension suisses piratées: les escrocs appellent déjà les assurés
Quand le téléphone a sonné, il était prévenu. Retraité du secteur de la construction en Suisse centrale, il n’a transmis aucune donnée sensible lorsqu'une femme, parlant un parfait suisse allemand et appelant depuis un numéro en 0033, s’est manifestée à deux reprises.
Le samedi précédent, la Fondation pour la retraite anticipée dans le secteur principal de la construction (FAR) l’avait informé par courrier, lui et quelque 20 000 autres retraités, que le partenaire informatique de leur institution de prévoyance avait été victime d’une cyberattaque, si bien que d’énormes quantités de données personnelles étaient tombées entre des mains criminelles.
Un gros braquage numérique
Le directeur de la FAR Christian Wenger ainsi que son équipe ne se sont pas contentés de rédiger une lettre d’avertissement, ils ont également répondu aux questions des assurés au téléphone. Christian Wenger affirme:
La FAR n’est pas la seule institution de prévoyance dont des assurés ont été victimes d’une cyberattaque. Le vol de données rendu public la semaine dernière chez Publica, la caisse de pensions de la Confédération, a fait les gros titres. Des «données personnelles de personnes assurées» ont «vraisemblablement» été siphonnées lors de la cyberattaque, indique-t-on là-bas.
Selon l’«état actuel des connaissances» de Publica, les cybercriminels pourraient avoir dérobé beaucoup d’informations: nom, prénom, date de naissance, numéro AVS, adresse, numéro de téléphone (professionnel et privé), adresse e-mail, état civil ainsi que des données de prévoyance, comme le salaire, le gain assuré et l’avoir de prévoyance, de même que les indications sur les conjoints ou partenaires de vie.
Des failles de sécurité dans des entreprises tierces
Ce que les cas de la FAR et de Publica ont en commun, c’est que les données des assurés ont été volées à cause d’une faille chez leur fournisseur informatique. Et ce, même si les deux institutions de prévoyance ne recourent pas aux mêmes entreprises de logiciels.
Dans le cas de Publica, il s’agit de l’entreprise PK Softech, dont le siège est à Reinach (BL). Elle a fêté ses 20 ans d’existence en 2024 et est une prestataire établie dans le monde des caisses de pensions. Le dommage n’en est que plus grand.
Rien que chez Publica, 112 000 personnes ont potentiellement été touchées, puisque l’institution compte environ 70 000 personnes assurées ainsi qu’environ 42 000 rentiers. Ce dernier groupe comprend également d’anciens conseillers fédéraux, qui sont donc eux aussi des victimes potentielles de l’attaque, comme l’a rapporté CH Media (éditeur de watson). Tous ont été informés, indique Publica, les actifs affiliés comme les retraités.
Toutes les caisses de pensions touchées ne communiquent cependant pas de manière aussi frontale que celle de la Confédération. Certaines d'entre elles se montrent plus réservées, aussi bien quant au dommage subi qu'au sujet de leur politique d’information.
Ainsi, la Caisse de pension bernoise (CPB) ainsi que la Caisse d’assurance du corps enseignant bernois (CACEB) comptent aussi parmi les clients de PK Softech. Ensemble, ces deux caisses totalisent bien 92 000 assurés et bénéficiaires de rentes. Pourtant, on réagit de manière relativement sereine dans le canton de Berne. Le directeur de la CPB, André Matthey, affirme:
La Poste et de Migros aussi impliqués?
Mais même André Matthey est contraint d'admettre qu'une fuite préoccupante de données ne peut «pour l’instant pas être totalement exclue». Il informera donc ses assurés par courrier. Ledit courrier ne devrait arriver chez les victimes potentielles que jeudi, en courrier A. «On ne peut pas aller plus vite», estime André Matthey.
La Caisse de pensions Poste utilise elle aussi des logiciels de PK Softech pour gérer les données de ses assurés. L’institution, à laquelle sont affiliés au total 67 000 actifs et retraités, indique:
La Caisse de pensions Poste assure en outre que les données stockées chez PK Softech sont «anonymisées» et promet qu’aucune «donnée personnelle sensible», comme des dossiers de l’assurance-invalidité, n’est stockée chez l’entreprise de logiciels. Par conséquent: «Il n’y a actuellement aucune nécessité d’agir pour les assurés de la Caisse de pensions Poste.» Elle précise cependant qu'elle «informera les personnes concernées si les vérifications révèlent que des données d’assurés ont fuité».
La Caisse de pensions Migros compte également parmi les clients de PK Softech. Ici aussi, l’institution de prévoyance, qui compte quelque 75 500 assurés, ne voit aucune raison d’agir. «Savoir si et dans quelle mesure des données d’assurés de la Caisse de pensions Migros pourraient être touchées par une fuite de données fait actuellement l’objet de vérifications», dit-on seulement. Les responsables promettent que les personnes concernées seront informées.
L’entreprise attaquée répète elle-même que les «vérifications sur l’incident cyber et sur les données éventuellement touchées» se poursuivent, mais ne souhaite plus donner «aucune autre indication». Pas non plus sur la question de savoir pourquoi la caisse de pensions de la Confédération avertit de manière aussi directe ses assurés, alors que celles de la Poste et de Migros restent plutôt sereines. Il se peut que la différence s’explique par des philosophies de communication différentes.
Le retraité du secteur de la construction de Suisse centrale, lui, est en tout cas content que son institution de prévoyance l'ait informé rapidement de la situation. Sinon, qui sait, peut-être aurait-il révélé des informations sensibles à la mystérieuse femme parlant suisse allemand. (trad. ysc)