Les fuites de données augmentent en Suisse, une cyberattaque contre des caisses de pension fait l’objet d’une enquête

455 incidents ont été enregistrés depuis le début de l’année, soit déjà davantage que les 343 signalés sur l’ensemble de 2025. Ces chiffres, présentés par le préposé fédéral à la protection des données et à la transparence Adrian Lobsiger dans un entretien accordé au Sonntagsblick, mettent en évidence l’ampleur de la tâche en matière de sécurité des données en Suisse, alors que l’année suit son cours.

Adrian Lobsiger a averti que le total enregistré sous-estimait probablement l’ampleur du problème. De nombreux incidents ne sont pas signalés, a-t-il déclaré, ce qui signifie que le décompte officiel ne comprend que les cas portés à l’attention du préposé. Les chiffres couvrent les incidents de sécurité au sens large. Les données publiées ne précisent pas combien d’entre eux impliquent des cyberattaques ni combien touchent des données personnelles.

Cette hausse intervient alors que le préposé examine une cyberattaque visant PK Softech, un fournisseur de logiciels utilisé par plusieurs caisses de pension suisses. L’enquête formelle vise à déterminer quelles données personnelles les caisses ont communiquées à l’entreprise, quel cadre régissait ces transferts et quelles informations ont été volées. Cette enquête donne un relief concret aux chiffres nationaux sur les incidents, en mettant en lumière un enjeu pour les institutions de prévoyance : protéger les données sensibles traitées par des services technologiques partagés.

L’enquête formelle du préposé porte sur PK Softech, après que l’entreprise a signalé une cyberattaque contre son infrastructure informatique le 8 octobre. L’attaque a entraîné le vol de données de plusieurs caisses de pension qui utilisaient les logiciels du fournisseur. Le préposé a indiqué qu’une enquête était dirigée contre une entreprise lorsqu’il existait des indices d’une possible violation des règles relatives à la protection des données.

L’enquête a été précédée d’investigations préliminaires informelles auprès de Publica, qui ont débuté le 14 octobre. Le 23 octobre, le préposé a ouvert une procédure formelle contre PK Softech. Les caisses de pension concernées ont également déposé plainte à la suite de l’incident.

Le préposé s’attend à ce que l’enquête établisse quelles données personnelles les caisses ont mises à la disposition de l’entreprise de logiciels, quel cadre juridique régissait ces transferts et comment celui-ci était appliqué dans la pratique. Les enquêteurs examinent également l’ampleur des informations dérobées. Adrian Lobsiger a déclaré que la procédure pourrait ensuite s’étendre à des organes fédéraux et à des caisses de pension. Lors de l’entretien, il a refusé de commenter les détails propres à l’affaire, invoquant le caractère confidentiel de l’enquête.

Publica, la Caisse de pension bernoise et la Caisse d’assurance du corps enseignant bernois figurent parmi les organisations touchées. L’attaque a placé sous la loupe les accords concernant les données entre les caisses de pension et leur fournisseur de logiciels, alors que le préposé cherche à établir précisément quelles données personnelles ont été partagées et quelles informations ont été volées.

Le préposé a averti que le croisement des données et le démantèlement des silos de données pouvaient accroître le risque de failles de sécurité. Les systèmes intégrés peuvent entraîner une circulation d’informations entre organisations et services, d’où l’importance de contrôler ce qui est transmis. Adrian Lobsiger a déclaré qu’il ne fallait transmettre que les données strictement nécessaires.

Il a également recommandé d’utiliser, dans la mesure du possible, des données de test anonymisées. Cette approche limite l’exposition de données personnelles identifiables durant les tests, tout en gardant l’accent sur les questions essentielles de protection des données dans l’affaire PK Softech : quelles informations ont été transférées, sur quelle base juridique et de quelle manière ces transferts ont été effectués. Les conclusions de l’enquête devraient clarifier les flux de données entre les caisses concernées et le fournisseur.

Adrian Lobsiger a qualifié de « réel » le risque lié à l’intelligence artificielle, tout en désignant l’erreur humaine comme le point faible de la grande majorité des attaques signalées. Son évaluation souligne que les pratiques du personnel comptent autant que les défenses techniques dans l’analyse des risques liés à la sécurité des données menée par le préposé.

Le préposé a également mis en avant des mesures de protection concrètes pour les organisations qui traitent des données interconnectées. Elles ne devraient transmettre que les informations strictement nécessaires et, si possible, utiliser des données de test anonymisées. Ces mesures concernent les caisses de pension et leurs prestataires technologiques, alors que les enquêteurs examinent les transferts liés à l’affaire PK Softech.

Pour les institutions suisses, les deux enjeux se rejoignent : l’augmentation du nombre d’incidents de sécurité signalés et l’ouverture d’une enquête formelle sur des données volées à des caisses de pension. L’enquête du préposé pourrait ensuite s’étendre à des organes fédéraux et aux caisses elles-mêmes. Elle devrait clarifier quelles données ont été mises à la disposition de PK Softech, quelles règles régissaient ces transferts et quelle est l’ampleur du vol. Dans l’intervalle, les propos d’Adrian Lobsiger soulignent que la gestion des risques doit tenir compte de la manière dont les personnes manipulent les données, ainsi que des systèmes par lesquels elles circulent.