Cyberattaque contre Publica : d'autres caisses de pension vérifient leurs données

Ce que la Confédération a confirmé le 8 octobre

Fin septembre, un fournisseur externe de logiciel de la Caisse fédérale de pensions Publica a détecté une cyberattaque. L’entreprise a déposé plainte et averti les services fédéraux, Publica et ses autres clients. Le 8 octobre, la Confédération a confirmé une fuite de données. Le Ministère public de la Confédération a ouvert une enquête et l’ampleur exacte de la fuite reste à établir.

Publica assure notamment le personnel de l’administration fédérale et du domaine des EPF. Fin 2025, elle comptait quelque 70 000 assurés actifs et 41 600 bénéficiaires de rentes, pour un total du bilan de près de 45 milliards de francs. La caisse a écrit à ses assurés le jour même.

Le fournisseur visé est PK Softech, une société de Reinach (BL) qui livre à Publica depuis 2017 son système de gestion des assurés et des rentiers. Une porte-parole de Publica a indiqué à l’agence AWP que les données dérobées pourraient inclure des salaires, des avoirs de prévoyance, des montants de rente et des coordonnées.

D’autres caisses de pension vérifient

PK Softech ne travaille pas que pour la Confédération. Le 9 octobre, plusieurs de ses clients ont annoncé examiner avec l’éditeur une éventuelle sortie de données : la Caisse de pension Migros (environ 75 500 assurés), la Caisse de pension bernoise (environ 42 100), la Caisse de pension Poste (près de 37 500), la Caisse d’assurance du corps enseignant bernois (environ 21 400) et la caisse de pension de Syngenta (près de 5000).

À ce stade, aucune fuite n’est confirmée pour ces caisses. Elles disent avoir signalé l’attaque aux autorités et déposé plainte. Toutes précisent que les assurés n’ont rien à faire pour l’instant et qu’ils seront informés si l’enquête établit que leurs données sont sorties.

Ce que ça change pour un assuré

L’argent n’est pas en cause : selon Publica, les avoirs de prévoyance sont en sécurité. Ce qui peut avoir fuité, ce sont les informations qui figurent sur un dossier de caisse de pension, celles qu’on retrouve sur son certificat de prévoyance annuel et dont la lecture est détaillée dans notre guide pour calculer sa LPP.

Le risque est surtout celui d’une escroquerie ciblée. Un message qui cite votre salaire assuré ou le nom de votre caisse paraît crédible. Une demande inhabituelle de coordonnées bancaires ou de codes d’accès doit donc éveiller la méfiance, même si elle semble venir de votre institution de prévoyance.

Pour savoir si vous êtes concerné, le point de départ est simple : le nom de votre caisse figure sur votre certificat. Si vous avez changé d’employeur ces dernières années, une partie de votre avoir peut aussi se trouver ailleurs, sur un compte de libre passage géré par une autre institution.