Attaque de hackers contre PK Softech : 27.000 affiliés de l’IPCT à risque

Contexte

En bref

• 27'000 affiliés de l’IPCT pourraient être victimes
• Attaque contre PK Softech fin septembre
• Données de quelques centaines dans un dossier IPCT
• L’IPCT prépare une lettre aux assurés

Faits clés

• Quoi → attaque informatique contre le fournisseur PK Softech
• Quand → fin septembre
• Public de l'IPCT → 27'000 personnes affiliées
• Données sur le serveur → informations concernant quelques centaines d'assurés
• Lettre → 17'000 actifs et 10'000 retraités
• Enquête → Ministère public de la Confédération
• Groupe cité → Akira

L'attaque et le public tessinois

Fin septembre, une attaque informatique a touché PK Softech, le fournisseur de logiciels de nombreuses caisses de pension suisses. Selon les informations rapportées dans le reportage, une société avait sur son serveur un dossier intitulé IPCT qui contenait les données de quelques centaines d'assurés. L'IPCT est l'Institut de prévoyance du canton du Tessin.

Le périmètre tessinois possible est plus vaste que le dossier identifié : 27'000 personnes affiliées à l'IPCT pourraient être victimes de l'attaque. Ce nombre décrit donc le public potentiellement concerné indiqué par la source, et non une liste de personnes pour lesquelles un vol de données aurait déjà été confirmé. La source précise en effet qu'au Tessin, l'ampleur des dommages n'est pas encore connue.

Daniele Rotanzi, directeur de l'IPCT, a rappelé la diversité des affiliés : parmi eux figurent des enseignants, des employés administratifs, des conseillers d'État, des policiers et des juges, ainsi que des employés de maisons de retraite et des travailleurs sociaux d'associations. Il s'agit de la description professionnelle fournie par le directeur ; le reportage ne propose pas de répartition selon le lieu de résidence ou le statut de frontalier.

« Pour l'instant, nous ne savons pas avec certitude si des données relatives à nos assurés sont présentes. »

La phrase de Rotanzi clarifie la principale limite de l'information. Le chiffre de 27'000 concerne les affiliés qui pourraient être impliqués ; celui de quelques centaines concerne les données présentes dans le dossier IPCT signalé sur le serveur. La source n'établit pas si les deux nombres coïncident, ni si toutes les informations du dossier ont été dérobées. L'IPCT annonce entre-temps une lettre aux affiliés, vraisemblablement la semaine suivante, afin de les informer de ce qui s'est passé et des risques possibles, notamment de l'utilisation d'informations personnelles par des tiers.

Details pratiques

Le décompte des assurés

La décision d’écrire à tous les assurés permet une comparaison numérique au sein de la même communication. IPCT indique 17'000 personnes actives et 10'000 retraités ; la somme est de 27'000. La base est donc la répartition du public communiquée après la réunion de vendredi dernier. La source ne présente pas ces valeurs comme une série chronologique.

Le calcul ne prouve pas que tous les membres des deux groupes aient été touchés. Il montre seulement comment le total des affiliés est réparti dans la communication annoncée par l’institut. Cette distinction est également utile, car le sujet parle simultanément d’un public potentiel de 27'000 personnes et d’un dossier contenant les données de quelques centaines : le premier chiffre concerne l’affiliation à l’IPCT, le second la documentation retrouvée sur le serveur.

Pour un travailleur frontalier travaillant dans le canton du Tessin, la source ne permet toutefois pas une lecture fondée sur le statut personnel. Elle ne quantifie pas les travailleurs frontaliers et n’indique pas combien d’affiliés disposent d’un permis G ; elle ne traite ni de l’impôt à la source, ni des rétrocessions, ni de la LAMal, ni de l’INPS, ni de Brogeda, ni de la double imposition. Ces termes désignent des thèmes qui ne sont pas mesurés dans le sujet. On ne peut donc pas déduire de cet épisode une proportion de travailleurs transfrontaliers concernés, ni relier le risque potentiel à un régime fiscal ou à un poste-frontière spécifique.

Le contenu de la lettre, tel qu’il est anticipé, est plus précis sur le plan de la communication : IPCT veut informer de la possibilité d’une fuite de données personnelles et de leur éventuelle utilisation par des tiers. Le ton sera calme. Il sera dit aux assurés que les pensions et les cotisations sont en sécurité, avec l’avertissement de prêter attention aux e-mails ou aux appels téléphoniques inhabituels. La source sépare ainsi la sécurité des pensions et des cotisations de la possibilité d’un usage abusif des informations personnelles.

Points cles

La comparaison avec Publica et la suite judiciaire

La référence à la caisse de pension de la Confédération Publica aide à maintenir séparés les différents niveaux de l'affaire. Pour Publica, le service affirme que des informations ont été dérobées et indique une population à risque de 100'000 personnes, comprenant des conseillers fédéraux, des agents et des militaires. Pour l'IPCT, en revanche, le texte parle d'une possibilité : il n'y a encore aucune information sur l'étendue des dommages au Tessin et aucune certitude que les données des assurés soient concernées. Les 100'000 de Publica et les 27'000 de l'IPCT ne peuvent donc pas être additionnés : ils concernent deux caisses de pension différentes, même si l'attaque a touché le même fournisseur de logiciels.

Selon le Tages-Anzeiger, les hackers auraient déjà exigé le paiement d'une rançon. Le conditionnel reste nécessaire également en ce qui concerne le groupe Akira : les pirates informatiques pourraient avoir accès à différents types de données personnelles, du prénom et du nom au numéro AVS, en passant par l'adresse, le numéro de téléphone, l'adresse e-mail, les données de prévoyance et l'IBAN. La liste décrit des catégories d'informations potentiellement exposées, mais ne confirme pas que chaque champ soit présent dans le dossier IPCT ni qu'il ait été dérobé aux assurés tessinois.

Sur le plan judiciaire, le Ministère public de la Confédération a ouvert une enquête. IPCT a ensuite déposé une plainte pénale en demandant à être reconnu comme accusateur privé, avec l'objectif déclaré de maximiser les informations qu'il pourrait recevoir. Il s'agit de la suite documentée dans la source ; aucun résultat de l'enquête n'est rapporté et aucune constatation définitive concernant les données d'IPCT n'est indiquée.

Même pour les travailleurs frontaliers, la donnée vérifiable n'est donc pas une perte individuelle déjà établie. Le service n'identifie pas les assurés, ne quantifie pas la part des affiliés éventuellement concernés et ne dit pas que les données du dossier ont été dérobées. L'article documente en revanche l'attaque contre PK Softech, la présence du dossier IPCT, la communication prévue aux assurés et les démarches judiciaires engagées. La limite de l'information concerne précisément l'étendue des dommages au Tessin, qui reste à clarifier.

Source: ticinonews.ch