La caisse de pension de la Ville de Zoug (Pensionskasse der Stadt Zug) indique que des données de ses assurés pourraient figurer parmi celles volées lors de la cyberattaque contre PK Softech, fournisseur de logiciels de plusieurs caisses de pension suisses, établi à Reinach. Selon son communiqué, relayé le 9 novembre 2026 par le site spécialisé Inside IT, le lien passe par Libera, la société de conseil à qui elle a confié son administration.
Ce que la caisse de Zoug a annoncé
Les faits rapportés par Inside IT tiennent en quelques points. L'attaque contre PK Softech date de fin septembre 2026. La caisse zougoise dit en avoir été informée une première fois à la mi-octobre 2026.
Sur la base des informations d'alors, elle se croyait épargnée, explique-t-elle. Ce n'est qu'au cours de la semaine du 2 novembre 2026 qu'elle a appris que des données de ses assurés pouvaient être concernées. Elle affirme avoir aussitôt pris les mesures nécessaires.
Selon la caisse, PK Softech détenait les données suivantes de ses assurés :
- nom, date de naissance et adresse ;
- numéro AVS (assurance-vieillesse et survivants) ;
- données salariales ;
- dans certains cas, numéro de téléphone et adresse électronique.
La caisse a annoncé l'incident au Préposé fédéral à la protection des données et à la transparence (PFPDT) et informé ses assurés. Elle assure que les avoirs de vieillesse sont en sécurité. Toujours selon elle, aucune donnée particulièrement sensible, comme des dossiers d'incapacité de travail ou d'invalidité, n'est touchée.
Une chaîne de sous-traitance : caisse, administrateur, logiciel
Le cas de Zoug montre comment des données de prévoyance arrivent chez un prestataire que l'assuré ne connaît pas. La caisse a externalisé son administration auprès de Libera. Libera, à son tour, utilise le logiciel de PK Softech. C'est chez ce dernier que les données des assurés étaient stockées, selon la caisse.
Un autre cas suivi par 2clics illustre une variante du même schéma. Le 16 octobre 2026, la Ville de Zurich expliquait que les données de sa caisse de pension avaient été transférées chez un prestataire logiciel en vue du passage à un nouveau système de gestion. Le vol a eu lieu là, et non dans les systèmes de la caisse. Nous avions alors rendu compte de la cyberattaque visant les caisses de Zurich et de La Poste, sans pouvoir dire si ce prestataire était PK Softech. Inside IT range désormais la caisse de pension de la Ville de Zurich parmi les caisses qui utilisent ce logiciel.
Notre analyse : plus la chaîne compte de maillons, plus l'information circule lentement. À Zoug, plusieurs semaines ont séparé la première information, à la mi-octobre, de l'annonce d'une exposition possible.
PK Softech : quelles caisses de pension enquêtent
D'après Inside IT, plusieurs caisses qui utilisent le logiciel de PK Softech ont ouvert des investigations sur d'éventuelles fuites peu après l'attaque. Parmi elles figurent la Caisse fédérale de pensions Publica, la Caisse de pension bernoise, la caisse de pension de Migros, celle de La Poste, celle de Syngenta et celle de la Ville de Zurich.
Ouvrir une investigation ne signifie pas être touché. Le cas de la fuite de données chez Publica est établi, tout comme celui de deux caisses de pension bernoises : la Caisse de pension bernoise et la Caisse d'assurance du corps enseignant bernois. Les données annoncées varient d'une caisse à l'autre.
| Caisse | Données citées comme possiblement touchées | Ce que dit la caisse des avoirs |
|---|---|---|
| Ville de Zoug | Nom, date de naissance, adresse, numéro AVS, salaire, parfois téléphone et courriel | Avoirs de vieillesse en sécurité |
| Ville de Zurich (pire scénario) | Nom, adresse, courriel, téléphone, numéro AVS, état civil, partenaires, IBAN, revenu assuré, avoir | Caisse et versement des rentes fonctionnels |
| La Poste | Nom, adresse, date de naissance, numéro AVS, coordonnées, courriel, informations de prévoyance | Fortune de prévoyance et rentes non menacées |
Sources : communiqué de la caisse de Zoug relayé par Inside IT ; communications de la Ville de Zurich et de la caisse de La Poste rapportées par 2clics le 16 octobre 2026.
Ce que prévoit la loi sur la protection des données
La loi fédérale sur la protection des données (LPD) règle l'annonce de ce type d'incident à son article 24. Le responsable du traitement doit annoncer « dans les meilleurs délais » au PFPDT une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées.
Le même article vise directement la sous-traitance. Le sous-traitant doit annoncer « dans les meilleurs délais » tout cas de violation au responsable du traitement, sans condition de gravité. Le responsable informe ensuite les personnes concernées lorsque c'est nécessaire à leur protection, ou lorsque le PFPDT l'exige.
Le Préposé, de son côté, a déjà pris le dossier en main. PK Softech lui a signalé l'attaque le 8 octobre 2026. Il a ouvert une enquête préliminaire informelle auprès de Publica le 14 octobre, puis une enquête formelle contre PK Softech le 23 octobre 2026. Il veut établir quelles données les caisses avaient confiées à l'entreprise, sur quelle base juridique, et ce qui a été volé.
Ce qu'un assuré ou une PME affiliée peut faire
Un assuré peut demander à sa caisse quelles données elle traite à son sujet. L'article 25 LPD lui donne ce droit d'accès. Les renseignements sont gratuits et fournis en règle générale dans un délai de 30 jours. Ils comprennent notamment les destinataires auxquels les données ont été communiquées.
Point utile dans ce dossier : selon le même article, le responsable qui fait traiter des données par un sous-traitant reste tenu de répondre. L'assuré s'adresse donc à sa caisse, sans avoir à identifier lui-même Libera ou PK Softech.
Notre analyse : des données d'identité combinées au salaire ou à l'IBAN peuvent rendre un message frauduleux plus crédible. Un courriel, un SMS ou un appel inattendu qui se réclame d'une caisse de pension mérite donc une vérification par un canal connu.
Pour une PME affiliée, les salaires transmis pour ses employés font partie des données citées à Zoug. Comme 2clics le relevait le 16 octobre 2026, l'enseignement est concret : savoir quels prestataires détiennent ses données. Le Préposé pose lui-même la question du cadre juridique de ces transferts et de son application réelle.
Ce qu'on ne sait pas encore
- Combien d'assurés de la caisse zougoise sont concernés, et si leurs données ont effectivement été dérobées : la caisse parle de données qui « pourraient » être touchées.
- Combien de caisses de pension, au total, ont des assurés touchés par l'attaque contre PK Softech.
- Les conclusions de l'enquête du PFPDT et leur calendrier, que le Préposé n'a pas communiqués.
Sources
- Inside IT, 9 novembre 2026 : « Auch Pensionskasse Zug von PK-Softech-Hack betroffen »
- Loi fédérale sur la protection des données (RS 235.1), art. 24, annonce des violations, texte repris de Fedlex par JuriUp
- Loi fédérale sur la protection des données (RS 235.1), art. 25, droit d'accès, texte repris de Fedlex par JuriUp
- 2clics.com, 25 octobre 2026 : « Cyberattaque caisse de pension : le Préposé enquête sur PK Softech »
- 2clics.com, 16 octobre 2026 : « Cyberattaque chez un prestataire : les caisses de pension de Zurich et de La Poste touchées »
