Cette semaine, dans Mon Carnet, je parle d’une fuite qui touche plus de cent mille personnes en Suisse, et d’une entreprise dont presque personne n’avait entendu parler avant fin septembre.
PK Softech est installée à Reinach, en Bâle-Campagne. Une vingtaine de personnes, un seul métier, les logiciels pour caisses de pension, et des clients parmi les plus grosses institutions du pays : Publica, la caisse fédérale, celle de la Ville de Zurich, celles de la Poste, de Migros et du canton de Berne. Dans la nuit du 28 au 29 septembre, le groupe criminel Akira entre dans ses systèmes, emporte environ cent gigaoctets de fichiers, puis efface le serveur.
Publica prévient ses assurés le 8 octobre. La fuite de données personnelles est confirmée le 14. Le 20, un quotidien alémanique publie les chiffres : plus de cent mille collaborateurs de la Confédération. On y trouve des juges fédéraux, d’anciens conseillers fédéraux, des agents du renseignement, des soldats d’unités d’élite, du personnel de nettoyage.
Les fichiers contiennent les noms, les dates de naissance, les numéros AVS, les adresses, les salaires, parfois les coordonnées bancaires et la situation familiale. Ils indiquent aussi l’employeur de chaque personne, y compris de celles qui travaillent sous une identité de couverture pour fedpol ou pour le Service de renseignement de la Confédération. Le renseignement a d’ailleurs renoncé à certaines opérations à l’étranger.
Akira est bien connu des autorités suisses. En octobre 2025, elles comptaient déjà environ deux cents entreprises touchées dans le pays. Cet été, RUAG, l’entreprise d’armement de la Confédération, a reconnu avoir payé une rançon à ce même groupe, et le Département de la défense a conclu en août que ce paiement ne violait pas la loi. L’Office fédéral de la cybersécurité déconseille pourtant de payer, et personne n’a été sanctionné. J’ai du mal à voir quel signal on pense envoyer avec ça.
Le détail qui me reste en travers de la gorge est plus banal. PK Softech avait confirmé par écrit à Publica avoir supprimé toutes les données sensibles, et ce n’était apparemment pas le cas. Le 22 octobre, le préposé fédéral à la protection des données a ouvert une enquête formelle contre le fournisseur lui-même. Il veut savoir quelles données les caisses lui ont transmises, sur quelle base légale, et comment cette base a été appliquée dans les faits.
Je le dis en tant qu’entrepreneur : quand vous confiez vos données à un prestataire, vous lui confiez aussi votre risque. Ici, l’employé confie ses données à son employeur, qui les confie à la caisse de pension, qui les confie à un éditeur de logiciel, qui les stocke sur un serveur. Il a suffi qu’un de ces maillons cède pour exposer cent mille personnes. Et une institution qui gère quarante-cinq milliards de francs n’avait aucun moyen de vérifier qu’une suppression annoncée avait bien eu lieu.
Et vous, savez-vous chez quel fournisseur votre caisse de pension conserve votre numéro AVS et votre salaire ?
Écoutez l’épisode du 30 octobre 2026 sur Mon Carnet, ou directement ma chronique ci-dessous.
Chronique publiée dans le cadre de ma collaboration avec Mon Carnet, le grand magazine francophone de l’actualité numérique présenté par Bruno Guglielminetti.
Articles similaires:
