Une cyberattaque dérobe les données de centaines de membres du personnel d’un diffuseur suisse

Environ 340 membres actuels et anciens du personnel de SRF ont vu des données personnelles liées à leur activité professionnelle exposées à la suite d’une cyberattaque contre la Société suisse de radiodiffusion et télévision (SSR), la société mère de médias publics suisses, dont la chaîne germanophone SRF.

Les données dérobées comprennent des noms, des intitulés de fonction et des coordonnées professionnelles. Certaines coordonnées privées étaient également concernées. La SSR a indiqué que les données concernent principalement du personnel de l’actuel département Information de SRF, et remontent à 2020.

L’incident est important, car le diffuseur traite des sujets sensibles dans ses rédactions, ses équipes de production et ses services administratifs. Des annuaires du personnel peuvent aider les attaquants à cartographier une institution, à identifier des cibles et à rédiger des messages convaincants, même lorsque les systèmes plus sensibles restent protégés.

La SSR a signalé la fuite le 28 septembre 2026. Elle a indiqué qu’aucun élément ne laissait penser que les informations avaient été publiées ou utilisées à mauvais escient. Elle a également précisé n’avoir trouvé aucun indice montrant que d’autres unités de SRF avaient été touchées.

La communication donne au public un aperçu limité, mais important, de l’attaque. Les enquêteurs doivent encore établir comment les attaquants ont pénétré dans le système, pendant combien de temps ils y ont eu accès et s’ils ont copié autre chose que les données du personnel déjà identifiées.

Les noms, fonctions et coordonnées ont été dérobés, tandis que les catégories les plus sensibles recensées par le diffuseur sont restées intactes.

Les informations compromises comprenaient des coordonnées professionnelles, telles que des adresses au travail et d’autres données organisationnelles, ainsi que certaines coordonnées privées. Ces données peuvent révéler les structures hiérarchiques et les relations professionnelles au sein d’un grand groupe de médias. Elles peuvent aussi exposer d’anciens membres du personnel qui ne s’attendent plus à ce que leurs coordonnées figurent dans des systèmes institutionnels actifs.

La SSR a indiqué qu’à ce stade, rien ne laissait penser que des mots de passe ou des informations financières et bancaires avaient été touchés. Elle n’a pas non plus relevé d’indices suggérant que des sources journalistiques, des données de recherche ou des contenus de communication avaient été consultés.

Cette distinction est importante pour le travail des rédactions de SRF. La protection des sources et la confidentialité des communications sont au cœur du journalisme d’intérêt public, en particulier lorsque les journalistes travaillent sur des sujets politiquement sensibles, criminels ou liés à la sécurité. Les informations disponibles ne montrent pas que ces éléments aient été consultés lors de cet incident.

Le diffuseur a limité sa communication publique aux faits confirmés. Il n’a pas identifié les attaquants, révélé le mode opératoire ni indiqué si les données étaient apparues en ligne. Ces questions font toujours partie de l’enquête menée avec des spécialistes internes et externes.

La SSR a pris des mesures pour contenir l’incident dès la découverte de l’accès non autorisé. Le diffuseur a indiqué avoir désactivé les points d’accès concernés et mis en place des mesures de sécurité supplémentaires.

Il a également déposé une plainte pénale, saisissant ainsi les autorités chargées de l’application de la loi, tandis que les enquêteurs cherchent à déterminer la cause et l’étendue complète de l’intrusion. Des spécialistes internes et externes collaborent à l’enquête. L’entreprise n’a pas publiquement attribué la responsabilité de l’attaque.

Le diffuseur a indiqué que, selon les informations disponibles à ce jour, aucun nouvel accès non autorisé n’avait eu lieu et que l’incident était sous contrôle. Il a également précisé que les membres du personnel d’autres unités ne semblaient pas avoir été touchés.

Ces mesures réduisent le risque immédiat, mais ne règlent pas toutes les questions soulevées par la fuite. Les enquêteurs doivent vérifier les limites du système touché, déterminer si les données dérobées ont été copiées ou transférées et évaluer quels membres actuels ou anciens du personnel risquent davantage de faire l’objet d’hameçonnage ciblé ou d’usurpation d’identité.

La réponse de l’entreprise illustre également les exigences pratiques de la gestion d’une fuite de données. Les institutions publiques doivent sécuriser leurs systèmes, préserver les preuves, informer les personnes concernées et maintenir leurs services essentiels en même temps. La plainte pénale déposée par la SSR et la poursuite de l’enquête montrent qu’il s’agit d’un incident de sécurité, et pas seulement d’un problème interne de protection des données.

Un annuaire du personnel peut fournir aux attaquants une carte de l’institution. Les noms et les fonctions indiquent qui travaille où, tandis que les informations organisationnelles peuvent révéler les lignes hiérarchiques, les équipes spécialisées et les interlocuteurs probables.

Pour un diffuseur, ces informations ont une valeur particulière. Les médias ont besoin d’une communication rapide entre les journalistes, les rédacteurs, les producteurs, les équipes techniques et les cadres. Les attaquants peuvent se servir de noms connus et de fonctions plausibles pour envoyer des messages ciblés, demander des documents ou se faire passer pour des collègues. Les informations communiquées ne disent pas qu’un tel usage abusif a eu lieu dans l’affaire SRF, mais le risque découle directement de la nature des données exposées.

La fuite montre aussi pourquoi les anciens membres du personnel restent concernés par la protection des données. Les informations créées ou conservées au fil du temps peuvent continuer à identifier des personnes après leur départ d’une organisation. La SSR a indiqué que les données concernées remontaient à 2020, ce qui souligne l’importance de réexaminer les anciens annuaires et les autorisations d’accès.

Les institutions publiques suisses subissent les mêmes pressions que les autres grandes organisations. Elles détiennent de nombreuses données personnelles et opérationnelles, s’appuient sur des systèmes interconnectés et doivent rester accessibles au public. Les contrôles de sécurité doivent donc couvrir les données administratives courantes, ainsi que les informations hautement confidentielles.

Les premières conclusions sont limitées et l’enquête se poursuit. La SSR n’a trouvé aucun indice montrant que les données dérobées avaient été publiées ou utilisées à mauvais escient, ni que des mots de passe, des informations financières, des sources journalistiques, des données de recherche ou des contenus de communication avaient été compromis.

Ces conclusions sont rassurantes pour le personnel et pour l’ensemble de la population suisse, mais elles ne répondent pas à toutes les questions. L’enquête doit déterminer le point d’entrée de l’attaque, les données précises auxquelles les attaquants ont accédé et si l’incident a touché d’autres systèmes que ceux identifiés jusqu’à présent.

Pour les membres du personnel de SRF, l’exposition de leurs coordonnées peut justifier une prudence accrue face aux courriels, appels et demandes inattendus faisant référence à des fonctions internes ou à des collègues. Les mesures de sécurité supplémentaires du diffuseur et la poursuite de ses vérifications seront importantes pour déterminer si le risque a été maîtrisé.

Cette affaire place également une institution publique sous le feu des projecteurs, à une période où les cyberattaques constituent un défi récurrent pour les entreprises et les autorités suisses. Les médias ont une double responsabilité : protéger les données personnelles détenues pour leurs activités courantes et préserver le travail confidentiel qui soutient le journalisme indépendant.

La prochaine mise à jour importante portera sur les conclusions de l’enquête concernant le déroulement des faits et sur la question de savoir si la fuite a dépassé les quelque 340 dossiers du personnel déjà signalés.