Cyberattaque : la caisse de pension de Zurich et Posta touchées

Contexte

En bref

• L'attaque contre le fournisseur remonte à fin septembre.
• PKZH enquête sur les données personnelles des assurés dérobées.
• Les fonds et les versements des rentes n'ont pas été touchés.
• Pour Posta, il n'est pas clair si les données sont compromises.

Faits clés

• Fournisseur → entreprise externe de logiciels
• Connexion → données de PKZH transmises pour un nouveau système de gestion
• PKZH → plainte pénale déposée
• Posta → attaque confirmée, données des assurés encore incertaines
• Prestations → fonds et prestations de retraite non menacés

Le fournisseur au cœur de l’attaque

Une attaque informatique visant un fournisseur externe de logiciels a touché la caisse de pensions de la ville de Zurich et, dans un contexte encore à clarifier, la caisse de pensions de la Posta. L’attaque remonte à fin septembre. PKZH a expliqué que ses propres données avaient été transmises au fournisseur en vue du passage à un nouveau système de gestion.

Pour les assurés, le point essentiel réside dans la distinction entre les données personnelles et la gestion du patrimoine de prévoyance. Selon PKZH, ni les fonds de prévoyance ni les paiements des rentes ne sont concernés. Le système administratif utilisé pour gérer les patrimoines et verser les rentes n’aurait pas non plus été touché par l’attaque. PKZH a déposé une plainte pénale et cherche à déterminer l’ampleur de la soustraction, tant en ce qui concerne les informations concernées que le nombre de personnes impliquées.

Dans le pire des cas, la fuite de données de la caisse zurichoise concernerait des informations de contact personnelles, notamment le nom, l’adresse, l’e-mail et le numéro de téléphone. Le scénario envisagé pourrait également inclure le numéro AVS, des données sur l’état civil et les partenaires, les coordonnées IBAN et d’autres informations de prévoyance, telles que le revenu assuré et le patrimoine. Cette description concerne le pire scénario, tandis que l’établissement de l’ampleur effective de la fuite est encore en cours.

La caisse de pensions de la Posta a également annoncé avoir été victime de l’attaque visant le fournisseur. Il n’est toutefois pas encore clair si les données des assurés ont été compromises. Parmi les informations potentiellement concernées figurent des données de prévoyance, les coordonnées et l’adresse e-mail, ainsi que le nom, l’adresse, la date de naissance et le numéro AVS. La Posta précise que les avoirs de prévoyance et les prestations de retraite ne sont pas menacés.

Le cas concerne également d’autres caisses. La semaine dernière, la soustraction de données de la caisse de pensions bernoise et de la caisse d’assurance des enseignants bernois avait été révélée. La situation reste donc nuancée pour l’instant : pour PKZH, les vérifications sur l’ampleur sont en cours ; pour la Posta, il n’est pas établi si les données des assurés ont été compromises, tandis que les communications citées confirment que l’attaque visant le fournisseur a touché plusieurs institutions de prévoyance.

Details pratiques

Ce que cela signifie pour les assurés

Pour un assuré, le principal élément pratique est la distinction entre l'éventuel vol d'informations et la sécurité des avoirs. Les communiqués ne décrivent pas la même situation pour chaque caisse : PKZH vérifie l'étendue des données, tandis que la Poste n'a pas encore établi si les données des assurés ont été compromises. Dans les deux cas, toutefois, la communication distingue les données personnelles des prestations de prévoyance.

Deux plans distincts

Cette grille évite deux erreurs. La première consiste à transformer le scénario du pire de PKZH en une liste définitive : la caisse vérifie encore si des données ont été volées et, le cas échéant, lesquelles. La seconde consiste à considérer comme déjà établie la compromission des données pour la Poste : le communiqué laisse précisément cette vérification en suspens.

Le contenu des catégories rend les différences concrètes. Dans le cas de PKZH, les coordonnées, l'AVS, l'état civil, le partenaire, l'IBAN, le revenu assuré et le patrimoine appartiennent à des plans différents, mais apparaissent dans le même scénario du pire. Pour la Poste, en revanche, la note cite le nom, l'adresse, la date de naissance, l'AVS, les coordonnées, l'adresse e-mail et les données de prévoyance comme informations potentiellement concernées. Le chevauchement ne suffit pas à dire que l'exposition est identique.

Le point technique est également défini : l'attaque a touché le fournisseur externe, tandis que le système administratif de PKZH qui gère les patrimoines et verse les rentes n'aurait pas été concerné. La source ne fait donc pas état d'un blocage des rentes. Elle décrit une vérification de l'étendue des données liées au fournisseur.

Pour les personnes qui suivent leur situation de prévoyance, la conséquence pratique est de lire chaque communication selon la caisse et la catégorie : données certaines, données possibles, prestations non menacées. Les informations concernant la BPK et la caisse des enseignants bernois élargissent le périmètre de l'attaque, mais le texte ne fournit ni total des personnes concernées ni liste commune pour l'ensemble des institutions.

Points cles

Comment s’orienter parmi les informations disponibles

La source permet une démarche de lecture, et non une demande standard pour tous les assurés. Le premier critère consiste à comprendre quelle institution de prévoyance est citée ; le second, à distinguer ce qui est confirmé de ce qui reste à vérifier.

Quatre étapes pour ne pas confondre les statuts

1. Identifier la caisse. Les communiqués concernent PKZH et la caisse de pension de la Posta ; la nouvelle précédente concernait la BPK et la caisse d’assurance des enseignants bernois. La situation d’une institution ne doit pas être automatiquement transposée aux autres. 2. Distinguer le confirmé du possible. Pour PKZH, les vérifications concernant les informations dérobées et le nombre de personnes concernées sont toujours en cours. Pour la Posta, il n’est pas encore clair si les données des assurés ont été compromises. 3. Garder les données et les prestations distinctes. Les catégories de données personnelles et de prévoyance énumérées dans les communiqués ne correspondent pas à une perte des avoirs. PKZH indique que les fonds et les versements des rentes n’ont pas été touchés ; la Posta affirme que les avoirs et les prestations de retraite ne sont pas menacés. 4. Reconnaître les actes formels déjà mentionnés. PKZH a déposé une plainte pénale et la Posta a publié un communiqué sur l’attaque. Ce sont les étapes officielles citées par la source ; elles ne permettent pas à elles seules de déterminer quelles personnes sont concernées.

Le texte n’indique pas de délai pour les assurés, de formulaire, de canal de demande ou de procédure individuelle à suivre. Il n’est donc pas possible d’attribuer à la source une date limite pour présenter une demande ou une liste définitive des données exposées. Les questions encore ouvertes sont précises : PKZH doit déterminer les informations dérobées et le nombre de personnes concernées ; pour la Posta, il faut encore clarifier si les données des assurés ont été compromises.

La lecture la plus fidèle consiste donc à ne pas transformer une liste correspondant au pire scénario en une confirmation complète et à ne pas confondre l’attaque contre le fournisseur avec un risque pour les rentes. Pour approfondir le thème général des rentes, consulte rendite pensionistiche.

Source: swissinfo.ch