Des hackers d’Akira dérobent les données de 100.000 employés fédéraux de Publica

Contexte

En bref

• Plus de 100’000 employés fédéraux concernés
• Données également relatives aux partenaires et aux enfants
• L’attaque contre un prestataire externe remonte à fin septembre
• Akira menace de publier ou de vendre les données

Faits clés

• Quoi → Vol d’informations visant Publica
• Qui → Groupe de hackers Akira
• Portée → Plus de 100’000 personnes
• Quand → Fin septembre
• Données → Noms, dates de naissance, adresses, salaires et numéros de téléphone
• Menace → Publication ou vente des données
• Développement → L’ampleur réelle est apparue mardi
• Précédent RUAG → Avait décidé de payer après l’attaque contre la filiale américaine

Le bulletin de 11.00 du 21 octobre 2026 rapporte que le vol d’informations visant Publica est plus grave que prévu. Les hackers d’Akira se sont emparés des données personnelles de presque tous les employés fédéraux de la Confédération : plus de 100’000 personnes, parmi celles qui sont encore en activité et celles qui ne sont plus employées par la Confédération.

La liste comprend des fonctionnaires, des juges et même des agents secrets, ainsi que d’anciens conseillers fédéraux. L’attaque informatique a touché un prestataire externe et remonte à fin septembre. Elle était déjà connue depuis deux semaines, mais son ampleur réelle est apparue mardi dans des articles publiés par les médias du groupe Tamedia.

Les données et la demande des hackers

Parmi les informations en possession des criminels figurent les coordonnées — adresses et numéros de téléphone —, des données d’état civil comme les noms et les dates de naissance, des données salariales et d’autres informations relatives aux partenaires et aux enfants. La source ne décrit pas une simple liste de contacts : elle rassemble des éléments d’état civil, des coordonnées, la rémunération et des données concernant la famille.

Les hackers exigeraient le paiement d’une rançon. Dans le cas contraire, ils menacent de publier ou de vendre les données. Publica n’aurait pas encore informé les personnes concernées de la demande de paiement ; entre-temps, certaines sont déjà la cible de tentatives d’escroquerie.

Details pratiques

Le périmètre décrit par le service

Le cas peut être examiné à travers deux dimensions explicitées par le service : qui fait partie de la population concernée et quels types d’informations ont été dérobés. La première dépasse le périmètre des employés en activité, car le vol concerne également des personnes qui ne travaillent plus pour la Confédération. La seconde va au-delà de l’identification de base : aux côtés des noms figurent des dates de naissance, des adresses, des numéros de téléphone et des données salariales.

Le texte mentionne également les partenaires et les enfants. La référence aux données ne s’arrête donc pas à la seule personne figurant dans la liste. Les catégories indiquées peuvent être réorganisées comme suit :

Les catégories d’informations indiquées

La distinction entre les employés actifs et les anciens employés est pertinente pour décrire l’ampleur du vol, mais la source ne fournit pas de répartition numérique entre les deux groupes. Il en va de même pour les catégories professionnelles : nous savons que des fonctionnaires, des juges, des agents secrets et d’anciens conseillers fédéraux sont mentionnés, mais pas combien appartiennent à chacun de ces groupes.

La donnée disponible reste la donnée agrégée : plus de 100’000 personnes, associées à la formule « pratiquement tous les employés fédéraux ». La liste des professions sert à décrire la diversité de la population concernée, et non à établir un classement ou une mesure spécifique pour chaque fonction. La formulation concernant les membres de la famille est également circonscrite : le service parle d’autres informations relatives aux partenaires et aux enfants, sans préciser lesquelles ni combien de personnes elles concernent.

Points cles

La chronologie de l’affaire et les précédents d’Akira

Le service situe la cyberattaque à la fin du mois de septembre et indique qu’elle était déjà connue depuis quelques semaines. Mardi, les articles publiés par les médias du groupe Tamedia en ont rendu l’ampleur réelle manifeste. Le bulletin ne fournit pas de date précise pour l’attaque et n’identifie pas le prestataire externe touché : ce sont les limites de la reconstitution chronologique et opérationnelle disponible.

Le passage consacré à la communication aux personnes concernées est également documenté. Concernant la demande de paiement, Publica n’aurait pas encore informé les personnes concernées. Le service rapporte toutefois que certaines personnes sont déjà la cible de tentatives d’escroquerie. Il n’indique pas combien elles sont et ne décrit pas la technique utilisée lors de ces tentatives.

Le précédent en Suisse

Akira a déjà mené des attaques en Suisse, y compris contre des entreprises privées. Il y a un an, les autorités fédérales exhortaient les entreprises à ne pas accéder aux demandes des hackers. Quelques mois plus tard, RUAG, propriété de la Confédération, avait opté pour le paiement, à la suite de l’attaque d’Akira contre sa filiale américaine.

Ce précédent offre un point de comparaison documenté, mais limité : il concerne RUAG et sa filiale américaine, et non Publica. Dans le cas de la caisse de pension de la Confédération, la source parle d’une demande de rançon et de menaces de publication ou de vente, mais n’indique ni le montant demandé ni une décision concernant le paiement.

Les éléments rapportés par le bulletin permettent donc de préciser la population concernée, les catégories de données énumérées, l’existence d’une demande de rançon et le précédent de RUAG. Ils ne permettent en revanche pas d’ajouter une ventilation numérique des groupes concernés, des détails sur le prestataire externe ou des informations supplémentaires sur les tentatives d’escroquerie.

Source: rsi.ch