Hackers et caisses de pension : le risque de la concentration
FAR : environ 20'000 bénéficiaires avertis après une attaque Publica : environ 112'000 personnes potentiellement concernées Un fournisseur de logiciels peut
Contexte
En bref
- FAR : environ 20'000 bénéficiaires avertis après une attaque
- Publica : environ 112'000 personnes potentiellement concernées
- Un fournisseur de logiciels peut exposer plusieurs caisses en un seul coup
- L'arnaque utilisait le préfixe français 0033
Faits clés
- Fondazione FAR → environ 20'000 bénéficiaires
- Publica → environ 112'000 personnes potentiellement concernées
- PK Softech → Reinach (BL), plus de vingt ans d'activité
- Caisses de pension du canton de Berne → plus de 92'000 assurés
- Caisse de pension de la Poste → 67'000 assurés
- Caisse de pension de Migros → 75'500 assurés
- Indicatif de l'appel → 0033
L'appel téléphonique qui a déclenché l'alerte
Un retraité de Suisse centrale a été appelé deux jours de suite par une voix féminine. Elle parlait un suisse allemand impeccable, mais le numéro affichait l'indicatif français 0033.
Le retraité fait partie des quelque 20'000 bénéficiaires de la Fondazione FAR, qui finance la retraite anticipée dans le secteur de la construction. Après une attaque contre le partenaire informatique de l'institution, tous les bénéficiaires ont été avertis par courrier.
La liste comprend également le salaire, l'avoir de vieillesse et les données des partenaires. Les personnes potentiellement concernées sont environ 112'000, dont d'anciens conseillers fédéraux.
Dans les deux cas, les hackers n'ont pas attaqué directement les caisses, mais les entreprises qui leur fournissent leurs logiciels. Pour Publica, le fournisseur est PK Softech, une entreprise de Reinach (BL) active depuis plus de vingt ans. Parmi ses clients figurent les deux caisses de pension du canton de Berne, avec plus de 92'000 assurés, la caisse de pension de la Poste, avec 67'000 assurés, et celle de Migros, avec 75'500 assurés.
Les caisses de pension détiennent des identités complètes, des numéros AVS, des revenus et des avoirs de prévoyance.
Les réponses des institutions diffèrent. Publica et FAR ont immédiatement averti les assurés. La caisse de pension de la Poste parle de données anonymisées et, pour l'instant, d'aucune nécessité d'agir ; Migros est en train de vérifier. Toutes deux promettent d'informer les personnes éventuellement concernées. PK Softech ne fait pas d'autres déclarations.
Details pratiques
Le risque réside dans la concentration
L'élément le plus important pour les assurés n'est pas seulement l'atteinte à une seule caisse, mais le lieu où elle se produit. Dans le cas décrit, l'attaque passe par le partenaire informatique qui fournit le logiciel. Le fournisseur commun devient ainsi un point de concentration : une brèche peut potentiellement exposer les données de plusieurs institutions à la suite d'une seule attaque.
La différence par rapport à une attaque directe est bien réelle. La caisse peut découvrir le problème et avertir ses assurés, mais le périmètre technique comprend également d'autres clients de la même entreprise. C'est la raison pour laquelle Fondazione FAR, Publica, les caisses bernoises, Posta et Migros apparaissent ensemble dans cette affaire : non pas parce que la source décrit un vol unique les touchant toutes, mais parce que le fournisseur relie plusieurs bases de données de prévoyance. La présence de la Confédération, des cantons, de Posta et de Migros étend donc l'affaire au-delà d'une seule administration ou entreprise. Cette distinction évite de transformer un risque potentiel en une atteinte déjà avérée.
Données qui rendent le contact crédible
Si l'on ajoute le salaire, l'avoir de vieillesse et les données des partenaires, l'ensemble permet aux criminels de préparer des communications plus plausibles. La source signale également un critère de sélection : viser les personnes les plus fortunées, souvent âgées et donc plus vulnérables. Le problème concerne donc la combinaison des données, et pas seulement un numéro de téléphone isolé. La référence au numéro AVS concerne directement la previdenza AVS, tandis que le salaire et l'avoir de vieillesse montrent pourquoi une caisse de pension est une cible attrayante.
Les réponses divergentes des institutions produisent elles aussi des scénarios différents pour les assurés. Un avis immédiat, comme celui de FAR et de Publica, informe les personnes susceptibles d'être concernées. L'absence d'indices annoncée à Berne n'exclut pas une implication ; l'anonymisation indiquée par Posta réduit, selon la caisse, la nécessité d'agir dans l'immédiat ; les vérifications de Migros laissent l'évaluation en suspens. Dans tous les cas, être potentiellement concerné ne signifie pas, dans le texte de la source, que les données de chaque assuré ont déjà été dérobées.
Outils utiles pour la planification
Pour estimer votre stratégie retraite, utilisez le planificateur retraite et le simulateur 3e pilier.
Outils utiles pour la planification
Pour estimer votre stratégie retraite, utilisez le planificateur retraite et le simulateur 3e pilier.
Points cles
Une procédure fondée sur les communications reçues
Toute personne qui reçoit un avis peut suivre une séquence simple, sans confondre les niveaux de certitude indiqués par les différents instituts.
1. Lire la communication de sa caisse et la conserver. FAR a écrit à l'ensemble de ses quelque 20'000 bénéficiaires après l'attaque visant son partenaire informatique. Publica a averti tous les assurés. Ces lettres servent de référence pour comprendre quel événement est signalé et quelles données sont mentionnées.
2. Distinguer les données énumérées des hypothèses. Dans le cas de Publica, la source parle de données présumées dérobées et mentionne le nom, la date de naissance, le numéro AVS, l'adresse, le téléphone, l'e-mail, l'état civil, le salaire, l'avoir de vieillesse et les données des partenaires. Cette liste ne doit pas être transformée en confirmation automatique pour chaque personne ou pour chaque caisse liée à PK Softech.
3. Si vous recevez un appel similaire à celui reçu par le retraité de Suisse centrale, ne communiquez rien. Les éléments documentés sont une voix féminine, un suisse allemand impeccable et l'indicatif français 0033. Le retraité avait déjà reçu l'avis de sa caisse et n'avait fourni aucune donnée à l'appelante.
4. Attendre la mise à jour de l'institution. Pour Berne, les lettres arriveront jeudi ; la caisse dit ne pas pouvoir exclure une implication. Les deux ont promis d'informer les éventuelles personnes concernées.
Un contrôle séparé pour le salaire
Le salaire figure parmi les informations potentiellement concernées dans le cas de Publica, avec l'avoir de vieillesse et les données des partenaires. C'est pourquoi, lorsqu'on relit la documentation de sa caisse ou la busta paga svizzera, il convient de s'en tenir aux informations effectivement reçues, sans attribuer à une lettre des contenus que la source ne mentionne pas.
L'affaire montre une procédure de communication encore en cours : certaines institutions ont écrit immédiatement, l'une annonce les lettres pour jeudi, l'une exclut pour l'instant la nécessité d'agir et une autre vérifie. La conduite la plus concrète reste donc celle qui est documentée : lire l'avis, ne communiquer aucune donnée lors d'appels suspects et attendre les informations de l'institution lorsqu'elle promet de contacter les personnes concernées. Pour compléter ce contrôle par une vérification de votre propre salaire, utilisez le calcolatore stipendio.
Pour un calcul précis du salaire net, utilisez notre comparateur fiscal : comparez permis G et permis B avec toutes les déductions 2026.
Source: tio.ch
Questions fréquentes
- Quelles caisses de pension ont été impliquées dans les cyberattaques ?
- Les attaques n’ont pas directement touché les caisses, mais leurs fournisseurs de logiciels. Les bénéficiaires de la Fondation FAR (environ 20'000 personnes) et Publica, la caisse de pension de la Confédération, ont été concernés, soit environ 112'000 personnes potentiellement touchées. En outre, l’entreprise PK Softech de Reinach (BL) fournit des logiciels à des caisses telles que celles du canton de Berne (plus de 92'000 assurés), la caisse de Posta (67'000 assurés) et celle de Migros (75'500 assurés).
- Quelles données personnelles et financières ont été dérobées ?
- Dans le cas de Publica, auraient vraisemblablement été dérobés le nom, la date de naissance, le numéro AVS, l’adresse, le téléphone, l’e-mail, l’état civil, le salaire, l’avoir de vieillesse et les données des partenaires. En général, les caisses de pension détiennent des identités complètes, des numéros AVS, des revenus et des patrimoines de prévoyance, des informations que les criminels peuvent utiliser pour élaborer des appels téléphoniques ou des e-mails crédibles, en ciblant en particulier les personnes les plus fortunées et les plus âgées.
- Que faire si l’on reçoit un appel téléphonique suspect ou un avis de la caisse ?
- Si l’on reçoit un avis, lire la communication de sa caisse et la conserver. En cas d’appel téléphonique suspect, comme celui reçu par un retraité de Suisse centrale, avec le préfixe français 0033 et une voix féminine s’exprimant en suisse allemand, ne fournir aucune donnée. Il est essentiel d’attendre les mises à jour des institutions : la caisse bernoise annonce des lettres pour jeudi, tandis que Posta et Migros procèdent à des vérifications ou parlent de données anonymisées.