La discrétion numérique brisée : Cyberattaque contre la Caisse de pensions de la Confédération suisse

La Suisse s'est longtemps enorgueillie de la discrétion de son appareil administratif et de la solidité de ses finances publiques. Pourtant, à une époque où l'infrastructure numérique est régulièrement confiée à des tiers, même un bilan de près de 45 milliards de francs suisses n'offre aucune immunité contre les défaillances élémentaires de cybersécurité. La dernière victime de l'exposition numérique est Publica, la caisse de pensions de la Confédération chargée d'assurer la retraite des fonctionnaires et des chercheurs d'élite.

La compromission n'a pas eu lieu par une intrusion directe dans le réseau interne de Publica, mais par une porte dérobée familière : un fournisseur de logiciels externe. Découverte fin septembre, l'attaque a compromis des données appartenant au fonds, incitant le fournisseur à déposer une plainte pénale et à alerter diverses autorités fédérales. Bien que Publica ait rapidement précisé qu'aucune autre agence fédérale n'entretenait de relations commerciales avec le fournisseur compromis, la nature exacte et l'étendue des enregistrements volés restent ostensiblement non spécifiées.

L'ampleur de l'entité concernée souligne les risques plus larges de la dépendance administrative vis-à-vis des technologies externalisées. Desservant environ 70 000 membres assurés actifs et plus de 41 600 retraités, Publica est l'une des plus grandes institutions de prévoyance du pays. Sa clientèle comprend le personnel de l'administration fédérale et du prestigieux domaine de l'ETH. Le fait qu'un pilier aussi central de l'appareil social de l'État repose sur des fournisseurs de logiciels externes dont les périmètres de sécurité peuvent être violés témoigne d'une confiance quelque peu naïve envers les sous-traitants privés.

La réponse officielle a suivi un schéma prévisible. Le Bureau du Procureur général de la Suisse a ouvert une enquête, tandis que Publica a envoyé des notifications aux membres concernés concernant la fuite de données, ses conséquences prospectives et les mesures techniques prises. Dans sa communication officielle, Publica a déclaré que le Bureau du Procureur général a ouvert une enquête et que l'étendue exacte des données de pension affectées est actuellement clarifiée en collaboration avec les autorités fédérales. Pourtant, les détails concernant l'identité du fournisseur ou les catégories précises d'informations personnelles compromises restent enfermés derrière le silence administratif.

Pour un État administratif habitué à la richesse et à l'efficacité, l'externalisation de fonctions logicielles critiques sans garanties infaillibles est une dure réalité. Gérer des dizaines de milliards d'actifs et les moyens de subsistance de plus de cent mille citoyens est une tâche lourde, mais la sécurité à l'ère numérique reste strictement définie par le maillon le plus faible de la chaîne d'approvisionnement.

Écrit par Freya Stensrud freya.stensrud@alpineweekly.com