Cyberattaque, la caisse de pension de Zurich touchée

Contexte

En bref

• Des données personnelles de PKZH volées lors d'une attaque contre un fournisseur de logiciels
• Les fonds de prévoyance et les rentes n'ont pas été touchés
• L'attaque remonte à fin septembre
• PKZH a déposé une plainte pénale

Faits clés

• Caisse : PKZH, caisse de pensions de la ville de Zurich
• Attaque : contre un fournisseur externe de logiciels
• Quand : fin septembre
• Pire scénario : coordonnées, AVS, IBAN et données de prévoyance
• Effets : fonds de prévoyance et versements des rentes non touchés
• Système administratif : n'aurait pas été concerné
• Action : plainte pénale déposée par la PKZH
• Vérification : données dérobées et personnes concernées encore à déterminer

Jeudi, la PKZH, la caisse de pensions de la ville de Zurich, a annoncé que des données personnelles de ses assurés avaient été dérobées. La cyberattaque a touché un fournisseur externe de logiciels, sans affecter les fonds de prévoyance ni le versement des rentes. La communication distingue donc le vol d'informations du versement des prestations.

L'attaque informatique remonte à fin septembre. Comme le passage à un nouveau système de gestion était prévu, la caisse avait déjà envoyé ses données à l'entreprise. La PKZH a porté plainte pénale. Entre-temps, elle cherche à déterminer précisément quelles informations ont été dérobées et combien de personnes sont concernées.

La reconstitution de l'attaque

Le pire scénario recensé par la caisse comprend les coordonnées personnelles : nom, adresse, e-mail et numéro de téléphone. Dans la même liste figurent le numéro AVS, l'état civil, les informations relatives aux partenaires, le numéro IBAN et des données de prévoyance telles que le revenu assuré et le patrimoine. La formulation est conditionnelle : la source ne présente pas ces catégories comme une liste déjà confirmée pour chaque personne.

Selon la communication, le système administratif utilisé par PKZH pour gérer les patrimoines et verser les rentes ne semble pas avoir été impliqué dans l'attaque. Pour la partie opérationnelle de la caisse, c'est donc la limite indiquée par la source. En revanche, la reconstitution de l'ensemble des données copiées et le décompte des assurés concernés restent à établir.

L'affaire intervient après des communications d'autres caisses de pensions suisses. Dans les jours précédents, d'autres caisses, dont la caisse publique bernoise, avaient fait savoir qu'elles avaient été victimes de la cyberattaque. Le texte ne précise pas quelles données ont été concernées dans le cas bernois.

Jeudi, une possible implication de la caisse de pensions de la Posta avait également été évoquée. La source précise que ce n'est pas établi. Des avertissements sont apparus sur son site, mais cet élément ne transforme pas l'hypothèse en confirmation. En revanche, le communiqué de la PKZH établit explicitement un lien entre la transmission des données, le projet de nouveau système de gestion et la compromission du fournisseur externe.

Details pratiques

La portée pratique pour les assurés

Pour les personnes qui vivent ou travaillent en Suisse et sont assurées auprès de la PKZH, la nouvelle présente deux aspects distincts : la continuité de la prévoyance et la confidentialité des informations. Sur le premier point, la caisse indique que les fonds et les paiements des rentes n'ont pas été touchés ; le système administratif utilisé pour gérer les patrimoines et verser les prestations n'aurait pas non plus été affecté. Sur le second, l'éventuelle fuite concerne un ensemble plus large que de simples coordonnées, car le pire scénario inclut le numéro AVS, l'IBAN et des données de prévoyance. La source ne fait état ni de transferts d'argent ni d'un blocage des rentes. L'information disponible concerne le vol d'informations.

Ce qui est certain et ce qui reste en suspens

Le passage à un nouveau système de gestion explique pourquoi les données se trouvaient auprès d'une entreprise externe : la source indique qu'elles avaient été transmises avant l'attaque. Elle ne dit pas que le système avec lequel PKZH administre les patrimoines et les rentes a été touché. Pour le lecteur, cette différence permet d'éviter de confondre une fuite de données avec une modification des prestations de prévoyance.

La référence aux autres caisses doit également être lue avec précision. La caisse publique bernoise avait déjà déclaré avoir été victime de la cyberattaque, mais le texte n'attribue pas automatiquement à ce cas les mêmes catégories de données. Pour la caisse de pensions de la Posta, en revanche, l'implication reste non établie, malgré les avertissements apparus sur le site. Tant que PKZH n'a pas terminé la vérification, le nombre de personnes concernées et la liste effective des informations dérobées restent les deux éléments décisifs.

Points cles

Comment suivre le cas sans confondre les alertes

La source ne décrit pas une procédure individuelle avec des formulaires, des délais ou des numéros à appeler. Elle propose toutefois une série de vérifications qui évite les conclusions hâtives.

Quatre étapes fondées sur la communication

1. Distinguer les caisses concernées. Le cas avéré concerne PKZH. La caisse publique bernoise est citée comme victime déjà annoncée ; la Posta n’est mentionnée que pour une implication non avérée et avec des avertissements sur le site.

2. Considérer la liste des données comme le pire scénario, et non comme une confirmation individuelle. PKZH vérifie quelles informations ont été dérobées et combien de personnes sont concernées.

3. Garder séparées les données et les prestations. La communication indique que les fonds de prévoyance et les paiements des rentes n’ont pas été touchés et que le système administratif n’aurait pas été concerné.

4. Consigner le seul acte formel indiqué : PKZH a déposé une plainte pénale. C’est l’étape procédurale rapportée par la source ; aucune autre démarche pour les assurés n’est décrite.

Ce périmètre permet de ne pas attribuer à la source des instructions qu’elle ne contient pas. Aucun délai dans lequel les assurés devraient répondre, aucun mode de notification individuelle, aucun document à envoyer ni aucun canal dédié ne sont indiqués. L’information ne permet donc pas de fixer un délai personnel.

Le prochain élément vérifiable sera le résultat de l’analyse lancée par PKZH : quelles données ont effectivement été dérobées et combien de personnes sont concernées. D’ici là, la distinction la plus précise reste la suivante : vol de données confirmé, ampleur encore à définir, prestations non touchées selon la communication.

Pour approfondir la prévoyance, utilise le strumento AVS/LPP/rendita.

Source: rsi.ch