Les faits
Le 22 octobre, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert une enquête formelle contre PK Softech AG, un fournisseur de logiciels de plusieurs caisses de pension. L’entreprise l’avait informé le 8 octobre d’une cyberattaque contre son infrastructure et de possibles violations de la sécurité des données. Cette semaine, la presse a apporté de nouveaux éléments.
Interrogé par Blick, le Préposé Adrian Lobsiger n’exclut pas d’étendre l’enquête, à un stade ultérieur, à des organes fédéraux comme la caisse de pension de la Confédération, Publica. Selon le Tages-Anzeiger, les auteurs appartiendraient au groupe « Akira ». Ils auraient dérobé environ 100 gigaoctets de données et réclameraient une rançon, faute de quoi ils menaceraient de les vendre ou de les publier sur le darknet.
Les données concerneraient pratiquement tous les employés actuels et anciens de la Confédération, soit plus de 100 000 personnes. Il s’agirait de noms, dates de naissance, numéros AVS, adresses, salaires, coordonnées bancaires et état civil, parfois de données sur les partenaires et les enfants. Selon Watson, des services fédéraux craignent pour la sécurité de certains collaborateurs. Le Ministère public de la Confédération enquêterait également.
Ces éléments sont rapportés par la presse. Le PFPDT ne commente pas les procédures en cours.
Les conséquences
Pour PK Softech, l’enquête formelle change la nature du dossier. Le PFPDT peut exiger des informations et des documents et, s’il constate une violation, ordonner des mesures.
L’attention se déplace aussi vers les clients du prestataire. L’enquête cherche à établir quelles données les caisses de pension avaient mises à sa disposition, sur quelle base juridique, et jusqu’où elles ont fuité. Si l’enquête s’étend, les caisses elles-mêmes devront rendre des comptes.
Pour les personnes concernées, le risque est celui de l’hameçonnage et de l’usurpation d’identité. Un numéro AVS, un IBAN et une situation familiale rendent une escroquerie très crédible.
Les leçons pour votre PME
Ce dossier met en lumière une réalité souvent sous-estimée : une partie des données de votre entreprise ne se trouve pas chez vous, mais chez vos prestataires. Quand l’un d’eux est attaqué, la question n’est pas seulement « comment est-ce arrivé ? » mais aussi « que lui aviez-vous confié, et pourquoi ? ».
Quelques vérifications de base permettent déjà de repérer les points de risque les plus courants. D’autres demandent un regard plus technique sur vos contrats et vos processus.
Les points de contrôle à traiter en priorité, et les erreurs les plus souvent relevées dans ce type de situation, font l’objet d’un guide pratique réservé aux abonnés de notre newsletter.
→ Abonnez-vous à la newsletter pour accéder aux conseils complets.
