Szwajcarski fundusz emerytalny Publica potwierdza wyciek danych po ataku hakerskim na dostawcę oprogramowania

Co potwierdziła Publica

Publica, fundusz emerytalny dla szwajcarskich pracowników federalnych oraz personelu domeny ETH, potwierdziła w czwartek, że doszło do wycieku danych po cyberataku na jednego z zewnętrznych dostawców oprogramowania. Dostawca wykrył atak pod koniec września, złożył zawiadomienie o popełnieniu przestępstwa i poinformował odpowiednie organy federalne, Publicę oraz pozostałych klientów, podczas gdy Prokuratura Generalna wszczęła dochodzenie. Publica powiadomiła swoich ubezpieczonych o naruszeniu, możliwych konsekwencjach i podjętych środkach zaradczych. Zakres danych objętych wyciekiem jest wciąż ustalany we współpracy z organami federalnymi, a w oświadczeniu nie podano terminu zakończenia tych prac. Publica jest jednym z największych funduszy emerytalnych w Szwajcarii, obsługującym pod koniec 2025 roku około 70 000 aktywnych członków i 41 600 emerytów, z aktywami o wartości blisko 45 mld CHF, jak podaje swissinfo.

W rozmowie z SRF szefowa komunikacji Beatrice Rychen opisała atak w zdecydowanych słowach.

Dla nas to najgorsze, co mogło się zdarzyć.

Jakie dane mogą być zagrożone

SRF, powołując się na informacje przekazane przez Publicę ubezpieczonym, podaje, że wyciek mogły objąć imiona, nazwiska, daty urodzenia, numery AHV, adresy, służbowe i prywatne numery telefonów oraz adresy e-mail, dane o wynagrodzeniu, ubezpieczonych zarobkach i oszczędnościach emerytalnych, stan cywilny oraz dane współmałżonków lub partnerów. Publica określa te elementy jako potencjalnie zagrożone na podstawie obecnej wiedzy, a lista ta może ulec zmianie w miarę postępów analizy. Według SRF nie jest jeszcze jasne, czy problem dotyczy wszystkich z około 66 000 aktywnych ubezpieczonych i około 40 000 emerytów, czy tylko części z nich. Publica zapewnia, że same aktywa emerytalne nie są zagrożone i pozostają bezpieczne.

Publica ostrzegła, że osoby ubezpieczone są narażone na pewne ryzyko i zaapelowała o zachowanie czujności.

Nie można wykluczyć, że dane osobowe zostaną wykorzystane w celu uzyskania korzyści.

Dostawca i sprawcy ataku

SRF identyfikuje dotkniętego dostawcę jako PK Softech AG, podczas gdy oświadczenia Publici nie wymieniały tej nazwy. Według SRF atak nie był wymierzony bezpośrednio w Publicę, a sprawcy prawdopodobnie uzyskali dostęp do danych funduszu za pośrednictwem firmy informatycznej. Publica informuje, że eksperci federalni analizują wyciekłe dane wspólnie z firmą informatyczną, a prace te prowadzone są pod dużą presją. Zgodnie z oświadczeniem, żadna inna agencja federalna nie utrzymuje relacji biznesowych z tym dostawcą.

Ostrzeżenie przed oszustwami

Policja kantonu Genewa ostrzega przed nasileniem prób oszustw po wycieku danych. Blick donosi, że spersonalizowane próby wyłudzeń za pośrednictwem poczty elektronicznej, SMS-ów lub telefonu mogą ponownie przybrać na sile. Przestępcy mogą wykorzystać wyciekłe dane, takie jak imiona, adresy, a czasem powiązanie danej osoby z dotkniętą instytucją, aby uzyskać dostęp do danych bankowych. Policja ostrzega, że ryzyko utrzymuje się przez długi czas, ponieważ skradzione dane pozostają w obiegu długo po incydencie. Publica również apeluje o ostrożność w przypadku nietypowych telefonów lub wiadomości.

Wcześniejsze naruszenia w Szwajcarii

The Next Web przypomina, że w 2023 roku grupa ransomware Play opublikowała około 907 GB plików skradzionych z Xplain, firmy IT obsługującej kilka agencji federalnych, w tym armię i służby celne. W tym samym roku ransomware uderzyło w firmę informatyczną Concevis, której klientami byli m.in. Federalny Urząd Statystyczny i Federalna Administracja Podatkowa. RTS donosi, że na początku września CHUV zgłosił wyciek danych dotyczący 11 pacjentów po ataku na zewnętrzne laboratorium diagnostyki nowotworowej. W sierpniu Federalny Urząd Informatyki i Telekomunikacji (OFIT) poinformował o ataku na swoje serwery SharePoint, który zagroził około 200 kontom, choć na tamtym etapie nie stwierdzono wycieku danych. RTS odnotowuje również, że RUAG przyznał w czerwcu, iż zapłacił okup cyberprzestępcom.