Fin septembre 2026, PK Softech, éditeur établi à Reinach, près de Bâle, qui équipe Publica et d’autres caisses de pension suisses, a subi une cyberattaque. Publica, la caisse de pension de la Confédération, fait état d’une fuite de données chez ce fournisseur, et d’autres institutions, dont celles de Migros et de la Ville de Zurich, ont à leur tour signalé être touchées. Numéro AVS, salaire assuré, IBAN : le principal danger pour les assurés tient aux escroqueries que ces informations rendent crédibles.
Ce que l’on sait de l’attaque
Selon Publica, l’éditeur a détecté l’intrusion fin septembre, a aussitôt porté plainte et a prévenu les services fédéraux compétents ainsi que ses clients ; le Ministère public de la Confédération a ouvert une enquête. La caisse fédérale a écrit le 8 octobre à ses assurés dont elle connaît l’adresse électronique, les autres ainsi que les rentiers devant recevoir une lettre. Sa page d’information, actualisée le 29 octobre, ajoute qu’elle a déposé sa propre plainte contre inconnu le 15 octobre, prévenu le Préposé fédéral à la protection des données et envoyé une deuxième lettre d’information le 22 octobre. À cette date, elle n’avait aucun indice d’une publication des données sur le darkweb. Les sources consultées ne nomment aucun groupe de pirates et ne font état d’aucune demande de rançon.
Un seul fournisseur, plusieurs caisses touchées
Publica compte parmi les plus gros clients de PK Softech, mais elle n’est pas seule. D’après blue News, qui cite la NZZ am Sonntag, près d’une douzaine d’autres caisses sont concernées, dont celles de Migros, de la Poste et de la Ville de Zurich. blue News avance que les données de bien plus de 100 000 assurés pourraient être en cause, un chiffre qui n’était pas confirmé. La caisse de pension Migros a informé par écrit l’ensemble de ses assurés et rentiers, en précisant le 8 octobre que l’étendue d’une éventuelle atteinte restait à établir. Selon finews, la caisse de la Ville de Zurich (PKZH) a déclaré que des données personnelles de ses assurés avaient été dérobées, et a déposé plainte. Le canton de Berne dit, de son côté, n’avoir aucun indice d’un vol touchant ses deux caisses clientes de l’éditeur, sans pouvoir l’exclure tout à fait.
L’affaire est prise au sérieux au sommet de l’État. Selon le SonntagsBlick, cité par blue News, la ministre des Finances Karin Keller-Sutter a qualifié l’incident de grave dans une note confidentielle. Les employés du renseignement, de l’armée et de la police fédérale (Fedpol) seraient particulièrement exposés : dans les cas extrêmes, ils pourraient être reconnus et arrêtés à l’étranger.
Quelles données sont en jeu
L’analyse se poursuit. Dans le pire des cas, Publica range parmi les données susceptibles d’avoir fuité le nom, le prénom, la date de naissance, le numéro AVS et l’adresse, les téléphones et courriels professionnels et privés, des données de prévoyance comme le salaire, le gain assuré ou l’avoir de vieillesse, l’état civil, des informations sur le conjoint ou le partenaire enregistré, et l’IBAN. La caisse précise aussi que son système de production est intact et que l’environnement de test de PK Softech est séparé de sa propre infrastructure.
Le cas zurichois est le plus parlant. La PKZH n’utilise pas encore les logiciels de l’éditeur : d’après finews, elle prévoyait d’y basculer début 2027 et lui avait transmis des données pour préparer cette migration. Selon blue News, cette caisse aurait même employé des données réelles d’assurés pour ses tests, et celles-ci feraient partie du butin.
Le risque fournisseur en cas d’école
L’épisode illustre la fragilité d’une chaîne qui repose sur un prestataire unique : en concentrant les données de plusieurs institutions, l’éditeur transforme une seule intrusion en victimes multiples. Il montre aussi que l’exposition commence avant la mise en service : des fichiers confiés pour une migration ou des essais sont aussi sensibles que ceux d’un système en production. La Confédération a déjà connu ce scénario en 2023, lorsque des pirates avaient dérobé des données fédérales sensibles chez la société Xplain, rappelle blue News. La leçon porte sur le contrôle des sous-traitants et sur l’usage de données fictives ou anonymisées pour les essais.
Ce que les assurés doivent surveiller
Les rentes ne sont pas menacées : Publica assure que les avoirs de prévoyance et les rentes sont en sécurité, les versements n’allant qu’à des comptes au nom et à l’adresse du bénéficiaire, et la PKZH tient le même discours. Le danger se situe dans l’hameçonnage ciblé. Publica recommande notamment de :
- se méfier des appels, courriels ou SMS inattendus qui évoquent la prévoyance, le salaire, la banque ou l’employeur ;
- ne jamais cliquer sur un lien suspect ni communiquer ses mots de passe, que la caisse ne réclame jamais ;
- accéder au site de sa banque en saisissant soi-même son adresse, activer la double authentification et contrôler ses relevés ;
- signaler toute tentative de fraude à sa banque, à la police et à l’Office fédéral de la cybersécurité.
Un IBAN seul ne donne pas accès à un compte, souligne Publica, mais associé à un numéro AVS et à un salaire, il rend un faux interlocuteur bien plus convaincant.
Questions fréquentes
Mes rentes ou mon avoir de prévoyance sont-ils menacés ?
Non, selon Publica et la caisse de la Ville de Zurich : les avoirs de prévoyance sont en sécurité et les rentes continuent d’être versées normalement. Le risque concerne l’usage des données à des fins d’escroquerie.
Comment savoir si je suis concerné ?
Publica a écrit à ses assurés par courriel le 8 octobre, ou par lettre pour les rentiers et les assurés sans adresse électronique, et la caisse Migros a informé les siens par écrit ; la caisse de la Ville de Zurich a annoncé qu’elle préviendrait les personnes potentiellement touchées. Les messages de Publica sur ce sujet partent de l’adresse uk@publica.ch, mais un expéditeur pouvant être falsifié, mieux vaut se connecter à son espace personnel depuis le site officiel.
Mes données ont-elles été publiées sur Internet ?
Au 29 octobre, Publica indiquait n’avoir aucun indice d’une publication sur le darkweb. Le Ministère public de la Confédération a ouvert une enquête, et la caisse dit continuer à surveiller la situation.
Sources
- Hacker Attack on IT Service Provider Widens Its Reach — finews.ch, 2026-10-16
- Data on more than 100,000 insured individuals may have fallen into the hands of hackers — blue News (bluewin), 2026-10-18
- Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt — Publica, 2026-10-08
- Cyberangriff auf Softwarelieferanten : aktuelle Informationen und häufig gestellte Fragen — Publica, 2026-10-29
- Cyberangriff auf Softwarelieferant der Migros-Pensionskasse — Migros-Pensionskasse, 2026-10-08