Selon l’agence Keystone-ATS, relayée par SWI swissinfo.ch, une cyberattaque visant un prestataire logiciel externe a permis de dérober des données personnelles de la caisse de pension de la Ville de Zurich. La caisse de pension de La Poste indique, elle aussi, avoir été touchée par cette attaque, sans savoir encore si les données de ses assurés ont été compromises. Le même jour, le magazine en ligne Republik annonçait un vol de données d’utilisateurs par une autre voie, un outil d’analyse mal protégé.

Comment l’attaque a atteint les caisses de pension

Le mécanisme est celui d’une attaque par la chaîne d’approvisionnement : ce ne sont pas les systèmes des caisses eux-mêmes qui ont été pénétrés en premier lieu, mais ceux d’un fournisseur de logiciel avec lequel elles travaillent. D’après la Ville de Zurich, l’attaque a eu lieu fin septembre. En vue du passage à un nouveau système de gestion, les données de la caisse avaient été transférées au préalable chez ce prestataire.

La caisse zurichoise a déposé une plainte pénale et cherche à établir précisément quelles informations ont été volées et combien de personnes sont concernées. La Ville affirme que la caisse et le versement des rentes restent fonctionnels. Le système administratif utilisé pour gérer la fortune et verser les rentes ne serait pas touché, selon les éléments communiqués.

Le cas n’est pas isolé. La semaine dernière, il était apparu que des données avaient aussi été dérobées à la Caisse de pension bernoise et à la Caisse d’assurance du corps enseignant bernois, également via un fournisseur de logiciel externe, selon swissinfo.ch.

Quelles données sont concernées

Pour la caisse de la Ville de Zurich, le scénario le plus défavorable inclut les coordonnées personnelles (nom, adresse, courriel, numéro de téléphone), le numéro d’assurance sociale, l’état civil, des informations sur les partenaires, le numéro IBAN ainsi que des données de prévoyance comme le revenu assuré et l’avoir.

Du côté de La Poste, la caisse de pension précise dans un communiqué que la fortune de prévoyance et les prestations de rente ne sont pas menacées. Elle admet toutefois que des données comme le nom, l’adresse, la date de naissance, le numéro d’assurance sociale, les coordonnées, l’adresse électronique et des informations de prévoyance pourraient avoir été touchées.

Les sources consultées ne détaillent pas les démarches recommandées aux assurés. Il revient donc aux caisses d’informer les personnes concernées une fois l’analyse terminée. Notre analyse : la combinaison de coordonnées, d’un IBAN et de données de prévoyance est le type d’information qui peut rendre un message frauduleux plus crédible, ce qui justifie une attention particulière aux sollicitations inhabituelles qui se réclameraient d’une caisse de pension.

Republik : une faille connue mais non corrigée

Le cas de Republik, rapporté par Keystone-ATS le même jour, relève d’un autre scénario, même s’il partage un point commun : la dépendance à un outil tiers. Des inconnus ont exploité une faille de sécurité dans Metabase, un outil d’analyse. Selon le magazine, un accès non autorisé était en cours depuis août. « La faille de sécurité était connue depuis le 6 août, mais nous n’avons pas pris à temps les contre-mesures nécessaires », reconnaît Republik.

Le magazine ignore qui est derrière l’attaque. Beaucoup d’éléments suggèrent une vague d’attaques large et automatisée, ciblant toutes les installations Metabase à la recherche d’identifiants et de clés pour des services d’IA revendables. Rien n’indique à ce stade que Republik ait été visé spécifiquement. Les données d’éditeurs actifs, d’abonnés, de destinataires de la newsletter et de tous les anciens utilisateurs ont néanmoins été consultées : adresses électroniques, noms et, le cas échéant, numéros de téléphone, année de naissance et genre. Aucune donnée de carte de crédit n’a fuité, selon le magazine, qui a signalé l’incident au Préposé fédéral à la protection des données et à la transparence.

Cybersécurité PME : ce que rappelle l’OFCS

Ces incidents font écho à un entretien publié par PME avec Roman Hüssy, coresponsable du Govcert à l’Office fédéral de la cybersécurité (OFCS). Selon le magazine, un tiers des PME helvétiques ont déjà subi une cyberattaque. « En Suisse, la gestion des incidents relève de la responsabilité propre de l’organisation touchée, l’OFCS agit de manière subsidiaire », explique Roman Hüssy. Le Govcert fonctionne, selon lui, « comme un service d’incendie » qui fournit les premiers secours et une première évaluation technique.

Le circuit est décrit ainsi : l’organisation touchée contacte l’OFCS via un formulaire ou la ligne d’astreinte 24h/24, puis l’incident est classé selon un modèle à quatre niveaux, de « faible » à « critique ». Les exploitants d’infrastructures critiques sont, eux, soumis à une obligation légale de signaler sans délai tout incident à l’OFCS. L’office n’a aucun pouvoir de directive : le choix entre analyse forensique et mitigation immédiate revient à l’entreprise.

Roman Hüssy pointe deux erreurs fréquentes : la mise en œuvre partielle des recommandations, qui laisse les attaquants se propager, et des données de contact obsolètes, qui ralentissent les alertes. Le cas Republik illustre le premier point : une faille connue, mais traitée trop tard. Pour une PME, l’enseignement tiré de ces affaires est concret : savoir quels prestataires détiennent ses données, tenir à jour ses contacts d’urgence et appliquer jusqu’au bout les correctifs recommandés.

Sources