Atteints via un fournisseur : ce que le cas Publica exige de vous
Des données ont fui chez un fournisseur de Publica, la caisse de pensions fédérale. Les faits, ce que la loi exige et de qui, nos engagements, quoi vérifier.
Le 8 octobre 2026, Publica, la caisse de pensions de l'administration fédérale, a annoncé que des données avaient quitté les systèmes de l'un de ses fournisseurs de logiciels. Personne n'est entré chez Publica. Chez le fournisseur, si. Toute entreprise ou administration qui confie des données personnelles à une société externe devrait lire ce cas attentivement.
Ce qui s'est passé
Selon Publica et le Conseil fédéral, un fournisseur externe de logiciels a détecté une cyberattaque fin septembre. Il a déposé une plainte pénale et informé les services fédéraux compétents, Publica et ses autres clients. Le Ministère public de la Confédération a ouvert une procédure. Aucun autre service fédéral n'entretient de relation d'affaires avec ce fournisseur.
Publica n'a pas nommé l'entreprise. Watson et Inside IT l'ont identifiée : PK Softech AG, à Reinach BL, qui fournit depuis 2017 le logiciel avec lequel Publica gère ses assurés et ses bénéficiaires de rentes. PK Softech a déclaré que des attaquants avaient atteint une partie de son infrastructure informatique au moyen d'un logiciel malveillant, qu'elle avait isolé l'environnement touché et qu'elle devait partir du principe que des données avaient quitté ses systèmes. Ses services sont de nouveau disponibles depuis le 2 octobre.
Publica assure le personnel de l'administration fédérale et du domaine des EPF : environ 70 000 assurés actifs et 41 600 bénéficiaires de rentes à fin 2025. Le 8 octobre, elle a écrit par e-mail aux assurés dont elle avait l'adresse. Les autres, et les bénéficiaires de rentes, doivent recevoir une lettre dans les jours suivants. Selon ce courrier, tel que rapporté par Watson, les données potentiellement touchées comprennent les noms, dates de naissance, numéros AVS, adresses, numéros de téléphone, adresses e-mail, le salaire, le salaire assuré, l'avoir de vieillesse, l'état civil et des indications sur le conjoint ou le partenaire. Ce qui est réellement sorti est encore en cours d'examen.
Publica n'est pas la seule cliente. Le 9 octobre, Inside IT a cité d'autres clients de PK Softech, parmi lesquels la Bernische Pensionskasse, la Bernische Lehrerversicherungskasse, la Migros-Pensionskasse, la Pensionskasse Post et la Syngenta Pensionskasse. Certaines d'entre elles ont déclaré publiquement qu'elles examinaient de possibles fuites de données avec PK Softech. Le directeur de la Bernische Pensionskasse a indiqué à l'agence Keystone-ATS qu'aucun signe ne montrait que des données d'assurés aient été volées, mais qu'on ne pouvait pas l'exclure entièrement.
Pourquoi c'est la norme
Une caisse de pensions achète son logiciel de gestion. Un cabinet médical achète son système de dossiers patients, une commune son logiciel de registre, une fiduciaire sa comptabilité. La responsabilité des données incombe toujours à celui qui les a collectées, mais les données peuvent aussi se trouver chez le fournisseur : dans un système hébergé, dans une sauvegarde, dans une copie faite pour le support ou les tests. Un attaquant qui veut les données de cinquante clients n'a qu'une porte à forcer au lieu de cinquante.
La Suisse l'a déjà vécu. Après l'attaque contre Xplain, un fournisseur informatique de services fédéraux, le Conseil fédéral a adopté le 1er mai 2024 des mesures pour empêcher les fuites de données chez les fournisseurs informatiques de l'administration fédérale. La leçon, hier comme aujourd'hui, est la même : un contrat décide de la rapidité avec laquelle vous apprenez une violation, et de ce que le fournisseur avait le droit de conserver au départ.
Ce que la loi exige, et de qui
La loi fédérale sur la protection des données (LPD) répartit les obligations entre deux rôles. Le responsable du traitement, l'entreprise ou l'autorité qui décide de la finalité du traitement, doit annoncer une violation au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais lorsqu'elle entraîne vraisemblablement un risque élevé pour les personnes concernées. Le sous-traitant, c'est-à-dire le fournisseur, doit informer le responsable de toute violation de la sécurité des données, qu'elle paraisse risquée ou non. Les personnes concernées doivent être informées lorsqu'elles doivent se protéger elles-mêmes, par exemple en changeant un mot de passe, ou lorsque le PFPDT l'exige.
Le guide du PFPDT sur ces annonces ajoute deux points qui comptent ici. Lors d'une attaque par rançongiciel, selon les circonstances, un responsable ne peut pas attendre la fin d'examens prolongés avant d'annoncer. Et lorsqu'un risque élevé ne peut être exclu, il ne doit pas attendre d'être certain que des données personnelles sont touchées. L'horloge qui compte démarre donc chez votre fournisseur. Si votre contrat ne dit rien du délai dans lequel le fournisseur doit vous informer, vous l'apprenez quand il décide de vous le dire.
La position d'Elchi Studios
Pour les sites web et les projets que nous hébergeons pour des clients, c'est nous le fournisseur dans cette histoire. Voici ce à quoi nos textes publiés nous engagent, et ce à quoi ils ne nous engagent pas.
Le contrat de sous-traitance des données pour les clients de sites web et d'hébergement, version 1.6, nous oblige à informer le client de toute violation de données personnelles sans retard injustifié, au plus tard 24 heures après en avoir pris connaissance (clause 4.6). Il nomme chaque sous-traitant ultérieur avec son pays (clause 5.1). À la fin du contrat, nous restituons ou supprimons les données à la demande du client, sauf si la loi nous oblige à les conserver, et confirmons la suppression par écrit sur demande (clauses 8.1 et 8.2). Pour les clients soumis au secret professionnel, comme les études d'avocats et les cabinets médicaux, qui nous l'ont signalé, chaque accès de notre personnel à leurs contenus est journalisé, et le client reçoit le journal sur demande (clause 11.3).
Les données stockées se trouvent sur nos propres serveurs chez des fournisseurs européens en Suisse, en Allemagne, aux Pays-Bas et en France. Notre page sur la confiance nomme les quatre exceptions et ce que chacune voit : Resend pour les e-mails de notification, Stripe pour les paiements d'EMX Team, Cloudflare pour nos zones DNS et Spamhaus pour les listes de blocage du filtre antispam. Un client peut exporter à tout moment sans nous demander : les comptes EAuth avec leurs hachages de mots de passe, les boîtes aux lettres EMX par IMAP ou par l'API, et les textes, images et données d'un site web.
Ce que nous n'avons pas : un certificat ISO 27001, un rapport SOC 2 ou un audit de sécurité indépendant. La page sur la confiance le dit. Nous pouvons être attaqués comme n'importe quel autre fournisseur. Ce que nous pouvons promettre, c'est le délai, la liste de ceux qui détiennent aussi les données, et qu'un client puisse partir avec tout.
Ce qu'il faut vérifier cette semaine
- Dressez la liste de chaque fournisseur qui détient ou peut atteindre des données personnelles. Pas seulement l'hébergement. Incluez aussi l'éditeur de votre logiciel métier avec accès de télémaintenance, et quiconque a reçu une copie pour une migration ou un test.
- Trouvez dans chaque contrat la clause sur les violations. Il vous faut un délai en heures. « Rapidement » n'est pas un délai.
- Demandez où se trouvent les copies. Production, sauvegarde, support, test. PK Softech a indiqué que ses systèmes de test ne contiennent en principe pas de données en clair. Demandez à votre fournisseur s'il peut en dire autant, par écrit.
- Vérifiez la fin du contrat. Le fournisseur est-il tenu de supprimer, et confirmera-t-il la suppression ?
- Décidez maintenant qui annonce. Désignez la personne qui décide d'une annonce au PFPDT et qui informe les personnes concernées, et tenez prêt un projet de texte pour l'annonce comme pour l'information. Le PFPDT est clair : on n'attend pas la certitude.
- Si vous êtes assuré auprès de l'une de ces caisses, Publica recommande la prudence face aux e-mails, appels et messages inhabituels. Quelqu'un qui connaît votre numéro AVS et votre salaire n'a pas prouvé pour autant qu'il travaille pour votre caisse de pensions.
Sources
- Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt, Swiss Federal Council, consulté le
- Cyber attack on Publica software supplier: data leak confirmed, Publica, consulté le
- Cyberangriff: Bundespensionskasse Publica meldet abgeflossene Daten, SRF, consulté le
- Pensionskasse des Bundes: Cyberangriff auf Publica-Softwarefirma, Watson, consulté le
- Datenabfluss bei Pensionskasse des Bundes, Inside IT, consulté le
- Weitere Pensionskassen prüfen Datenabflüsse, Inside IT, consulté le
- Cyberangriff auf Softwarefirma betrifft auch Berner Pensionskassen, cash.ch, consulté le
- Leitfaden des EDÖB betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, FDPIC (EDÖB), consulté le
- Cyberangriff auf Xplain: Massnahmen zur Vermeidung von künftigen Datenabflüssen sowie Sicherheitsprüfung nach der Übernahme des Unternehmens, Swiss Federal Council, consulté le
- Trust: data location, CLOUD Act, security, Elchi Studios, consulté le
Écrit par Samuel Krauss, Founder. Classé sous security, data-protection, switzerland, suppliers.
Traduit de l’anglais. Lire l’original anglais