Une cyberattaque pourrait exposer des données des caisses de pension de Zurich et de la Poste

Une faille chez un fournisseur de logiciels a entraîné l’examen de données sensibles de caisses de pension zurichoises et, peut-être, de la Poste. L’attaque s’est produite à la fin septembre, alors que Zurich se préparait à transférer sa caisse de pension vers un nouveau système de gestion. Des données avaient déjà été transférées lorsque les pirates ont attaqué le fournisseur externe.

Zurich a déposé une plainte pénale et cherche à établir quelles données les pirates ont consultées ou dérobées, ainsi que le nombre de personnes potentiellement concernées. La ville a indiqué que les caisses de pension continuent de fonctionner et que le versement des rentes se poursuit normalement.

L’incident ne concerne pas une seule institution. La Poste a confirmé que sa caisse de pension utilisait le même fournisseur et a été touchée par l’attaque. Elle n’a pas encore déterminé si les données des assurés ont été compromises. Cette révélation fait suite à des informations selon lesquelles la Caisse de pension de Berne et la Caisse d’assurance des enseignants bernois ont également perdu des données lors de la même campagne.

L’exposition potentielle concerne des informations personnelles et financières détenues par des institutions de prévoyance, ce qui rend l’enquête importante pour les employés, les personnes retraitées et les bénéficiaires de plusieurs régions de Suisse. Les informations disponibles ne permettent pas d’établir l’ampleur définitive de la fuite ni d’identifier les auteurs de l’attaque.

Dans le pire des cas, les données permettraient de dresser un portrait détaillé de l’identité, des relations et de la situation financière des personnes. La caisse de pension de Zurich a indiqué que les informations potentiellement concernées pourraient comprendre les noms, les adresses postales, les adresses électroniques et les numéros de téléphone. Les numéros AVS et l’état civil pourraient également être concernés.

La liste comprend aussi des informations sur les partenaires, les numéros de compte bancaire IBAN, le salaire assuré et les avoirs de prévoyance. Les enquêteurs n’ont pas confirmé que toutes ces catégories avaient été consultées. Zurich examine encore les systèmes du fournisseur afin de déterminer précisément le contenu des données dérobées.

Pour les membres des caisses de pension suisses, ces données se rapprochent du cœur de leur identité financière au quotidien. Un IBAN peut relier une personne à des paiements, tandis qu’un numéro AVS et des informations sur la prévoyance peuvent permettre d’identifier une personne dans différents systèmes administratifs. Les coordonnées peuvent aussi servir à des tentatives d’hameçonnage ciblées, même si l’article source ne rapporte aucune tentative de ce type.

La Poste a cité des catégories similaires comme potentiellement concernées, notamment les noms, les adresses, les dates de naissance, les numéros AVS, les coordonnées, les adresses électroniques et les informations relatives à la prévoyance. Les deux institutions n’ont pas encore communiqué de nombre confirmé de personnes concernées.

Le versement des rentes et les activités des caisses se poursuivent pendant l’enquête technique. Zurich a indiqué que le système administratif servant à gérer les avoirs et à verser les rentes ne semblait pas avoir été touché. La ville a également précisé que ses caisses de pension et les versements continuaient de fonctionner normalement.

La Poste a déclaré que les avoirs de prévoyance et les prestations de retraite n’étaient pas menacés. Cette distinction est importante pour les assurés qui cherchent à comprendre les conséquences concrètes de la fuite. L’incident rapporté concerne des données détenues par un fournisseur externe de logiciels. Il n’a pas été décrit comme une attaque ayant perturbé le versement des prestations ou entraîné le transfert des avoirs de prévoyance.

Les caisses doivent néanmoins accomplir un important travail administratif. Elles doivent déterminer quels fichiers les pirates ont consultés, si les données ont été copiées ou supprimées, et combien de membres actuels ou anciens figurent dans les dossiers concernés. Elles doivent également se coordonner avec le fournisseur et les enquêteurs avant d’envoyer une notification complète.

Zurich a déposé une plainte pénale. La Poste a reconnu l’incident et indiqué qu’elle évaluait si les informations des assurés avaient été compromises. Selon l’article source, aucune des deux institutions n’a communiqué de décompte définitif des personnes concernées.

L’attaque a déjà touché des institutions de prévoyance dans au moins trois régions de Suisse. Les caisses de pension de la ville de Zurich et la Poste sont les dernières organisations citées en lien avec l’incident. La Caisse de pension de Berne et la Caisse d’assurance des enseignants bernois utilisaient également le même fournisseur de logiciels. Le vol de données dans ces deux institutions a été rendu public la semaine précédente.

Cette situation montre qu’un fournisseur unique peut relier des institutions qui, autrement, fonctionnent séparément. Un prestataire qui traite des données pour plusieurs caisses de pension peut constituer un point d’accès de grande valeur, en particulier lors de changements de système, quand les informations sont transférées ou regroupées. L’article source n’identifie ni le fournisseur, ni les pirates, ni la méthode technique utilisée pour la fuite.

Les organisations concernées servent différents groupes, notamment les employés de la ville, le personnel de la Poste et les personnes assurées auprès des caisses du secteur public bernois. L’ampleur définitive dépendra des dossiers détenus par le fournisseur et des systèmes auxquels les pirates ont pu accéder.

Les caisses de pension suisses doivent désormais communiquer des informations claires et propres à chaque institution à leurs membres. Elles doivent distinguer les faits confirmés de l’exposition potentielle, tout en préservant les preuves utiles à l’enquête pénale et en maintenant leurs activités.

Les prochaines informations dépendront des découvertes des enquêteurs dans les systèmes du fournisseur. Zurich tente d’identifier les données dérobées et de déterminer combien de personnes sont concernées. La Poste mène sa propre évaluation et n’a pas confirmé si les données des assurés ont été compromises.

Les membres peuvent s’attendre à recevoir de nouvelles informations de leur caisse de pension au fil de l’enquête. Les éléments connus permettent d’établir une distinction claire : les avoirs de prévoyance et le versement des prestations continuent de fonctionner, tandis que des données personnelles et liées à la prévoyance ont peut-être été exposées. L’ampleur exacte de l’incident reste à déterminer.

Cette affaire attire également l’attention sur la manière dont les institutions de prévoyance suisses gèrent leurs fournisseurs externes lors de changements technologiques. Zurich avait transféré des données avant le passage prévu à un nouveau système de gestion. Ce calendrier ne permet pas d’établir une cause, mais explique pourquoi des dossiers se trouvaient chez le fournisseur au moment de l’attaque.

Les institutions citées dans l’article devront communiquer les résultats confirmés, expliquer les mesures de protection prises et indiquer aux personnes concernées les démarches à effectuer. D’ici là, les membres devraient se fier aux communications officielles de leur caisse de pension et se méfier des messages inattendus demandant des données personnelles ou des coordonnées bancaires.