Des pirates auraient réclamé une rançon au gouvernement suisse après le vol de données chez Publica, selon la SRF

Comment la fuite s'est déroulée

Des pirates du groupe Akira ont attaqué en septembre les systèmes informatiques de PK Softech AG, un fournisseur de logiciels basé en Bâle-Campagne. Plusieurs caisses de pension suisses figurent parmi ses clients, dont Publica, la caisse de pension de la Confédération. PK Softech a détecté l'attaque fin septembre, déposé une plainte pénale et informé les organes fédéraux, Publica et d'autres clients, dont la Pensionskasse der Stadt Zürich. Début octobre, la Confédération a confirmé que Publica avait été touchée via son fournisseur, et environ 112 000 personnes ont été informées et mises en garde contre un possible contact des attaquants. Les données dérobées comprennent des noms, dates de naissance, numéros AVS, adresses, numéros de téléphone, adresses électroniques et états civils, ainsi que des salaires, avoirs de vieillesse et des informations sur les conjoints ou partenaires.

Une demande de rançon apparaît

La SRF a rapporté le 10 novembre qu'Akira a réclamé une rançon et menacé de publier ou de revendre les données volées, une information que plusieurs sources ont confirmée à la radio-télévision publique. Le Département de la défense (DDPS) aurait connaissance de la tentative d'extorsion. Selon la SRF, les données pourraient inclure des collaborateurs du Service de renseignement de la Confédération et de l'Office fédéral de la police (Fedpol), dont certains travaillent sous de fausses identités, et d'anciens conseillers fédéraux pourraient aussi être concernés. Le consultant en cybersécurité Nicolas Mayencourt, qui conseille les autorités dans les affaires d'extorsion, estime que les attaquants ont très probablement adressé leur demande directement au gouvernement fédéral.

« La conclusion est que les auteurs ont déposé leur demande de rançon directement auprès du gouvernement fédéral. »

Publica et PK Softech ont tous deux déclaré à la SRF n'avoir reçu aucune demande de rançon, et PK Softech affirme n'avoir jamais contacté les attaquants. Nicolas Mayencourt dit ne voir aucune raison de douter de ces démentis.

Réactions et démentis fédéraux

Le Secrétariat de la politique de sécurité (Sepos), rattaché au département de la défense, a déclaré le 10 novembre à Keystone-ATS que le gouvernement fédéral n'avait versé aucune rançon. Sa porte-parole Ursina Bentele a indiqué que les organes fédéraux impliqués dans l'incident, issus de plusieurs départements, n'avaient pas connaissance de demandes de rançon concrètes qui leur auraient été adressées.

« Les organes fédéraux impliqués dans le traitement de l'incident, issus de plusieurs départements, n'ont pas connaissance de demandes de rançon concrètes qui leur auraient été adressées. »

La porte-parole du Conseil fédéral, Nicole Lamon, a confirmé que le gouvernement avait discuté du dossier lors de sa dernière séance, sans vouloir en donner les détails. L'Office fédéral de la cybersécurité, qui dépend du département de la défense, continue de déconseiller le versement de rançons.

Pourquoi les données n'ont pas refait surface

Plus d'un mois après l'attaque, aucune donnée volée n'est apparue en ligne. Nicolas Mayencourt voit trois explications possibles : une rançon a été payée, les données ont été vendues à l'étranger, ou les négociations sont délibérément prolongées. Le Ministère public de la Confédération a indiqué il y a plus de deux semaines que ses premières investigations désignaient Akira comme l'auteur de l'attaque contre PK Softech. Le dossier a été joint à une procédure existante sur des attaques contre des entreprises suisses entre 2023 et 2025, revendiquées par Akira.

« Il n'est pas habituel que cela prenne autant de temps. »

Le paiement de rançon antérieur de Ruag

Ruag, le groupe d'armement détenu par la Confédération, a versé une rançon à Akira il y a un an, après que le groupe eut dérobé des données dans une filiale aux États-Unis, contrairement aux recommandations fédérales. L'entreprise a un long passif de controverses. Des grenades portant son logo sont apparues à Alep pendant la guerre civile syrienne en 2012, et des pirates présumés russes dérobaient des données au groupe depuis plus de deux ans lorsque l'affaire a éclaté en 2016. Une enquête montre aujourd'hui que les contrôles internes ont échoué pendant des années dans des transactions douteuses sur des chars Leopard, et Ruag réclame 51 millions d'euros (47 millions de francs) de dommages et intérêts à dix personnes.