La conseillère fédérale Karin Keller-Sutter est arrivée à la séance du Conseil fédéral de mercredi avec une information explosive. Elle concernait la caisse de pensions de la Confédération, Publica, et les risques liés à la cyberattaque contre l’un de ses fournisseurs de logiciels.
La Confédération manque encore de visibilité sur l’étendue du vol de données, tandis que le Ministère public de la Confédération enquête. «Les données concernées et le nombre de personnes effectivement touchées font actuellement l’objet d’une enquête. Les clarifications sont menées en étroite collaboration avec des spécialistes de la Confédération, qui nous apportent leur savoir-faire dans cette affaire», indique la caisse de pensions dans son communiqué officiel.
Le Département fédéral des finances précise de son côté: «Le Conseil fédéral a été informé mercredi de la situation à la suite de la cyberattaque contre un fournisseur de logiciels externe de la caisse de pensions Publica. Ni le Conseil fédéral ni un département n’exercent de fonction de surveillance sur Publica.»
L’étendue du vol reste inconnue
Selon les informations de Blick, la Confédération estime en interne que les «dommages sont considérables» et qualifie l’incident de «grave». Les employés actuels comme les retraités de la Confédération doivent s’attendre à des «conséquences à long terme».
«Les organes de sécurité de la Confédération sont particulièrement touchés», peut-on lire dans une note confidentielle. Sont concernés le Service de renseignement de la Confédération (SRC), le groupement Défense du Département fédéral de la défense, de la protection de la population et des sports (DDPS) et l’Office fédéral de la police (fedpol).
Que pourrait-il se passer dans le pire des cas? La caisse de pensions ne souhaite pas se prononcer. «Nous ne spéculons pas sur les scénarios possibles. Les analyses sont complexes et se poursuivent. Il est maintenant essentiel de clarifier quelles données ont effectivement été dérobées et quelles personnes pourraient être concernées.» Ce travail pourrait toutefois prendre des semaines, voire des mois.
Des agents en mission à l’étranger pourraient être exposés
Le cas d’une Suissesse qui serait détenue avec une Autrichienne par une branche de l’organisation terroriste Etat islamique illustre les inquiétudes que cette fuite pourrait susciter au sein de l’administration fédérale. Contrairement à ce que laissaient entendre certains articles de presse, leur libération n’a pas été officiellement confirmée. Les deux femmes pourraient donc toujours être prises en otage.
Les démarches pour obtenir une libération sont souvent longues et semées d'obstacles. Elles nécessitent généralement de mobiliser tous les canaux diplomatiques possibles, de faire intervenir des collaborateurs du SRC et de se coordonner étroitement avec des services de renseignement partenaires.
Des agents suisses peuvent ainsi opérer à l’étranger sous une couverture d’hommes d’affaires. A l’ère des passeports biométriques et de l’intelligence artificielle, des ravisseurs pourraient les démasquer en croisant les données volées à la Confédération avec les registres officiels d’entrée sur le territoire.
Une mission secrète pour Markus Mäder
Selon les informations de Blick, la Confédération alerte en interne sur le risque que certains collaborateurs soient identifiés, soumis à des interrogatoires approfondis par les autorités étrangères, voire arrêtés. Le secrétaire d’Etat à la politique de sécurité Markus Mäder aurait reçu une mission secrète. Le DDPS ne souhaite pas s’exprimer à ce sujet.
A Berne, les questions restent nombreuses et les réponses rares. «Des analyses approfondies sont actuellement en cours pour déterminer quelles données sont concernées. Pour ces raisons, nous ne nous exprimons pas à ce sujet», indique Publica. «Nous avons mis en place une cellule de crise immédiatement après avoir eu connaissance de l’incident. Elle coordonne la circulation des informations et les mesures à prendre.»
La capacité de défense de la Suisse en jeu
Avec l’intelligence artificielle, des scénarios autrefois dignes de la science-fiction deviennent envisageables. Selon les informations de Blick, les cantons ont également été informés. Le croisement de certaines données volées pourrait en effet permettre d’évaluer la capacité de défense de la Suisse. Des logiciels d’analyse militaire peuvent rassembler des informations issues de sources publiques, de cyberattaques et du darknet pour identifier les cibles d’une éventuelle attaque.
Une source proche du dossier explique: «Si une liste volée du SRC est croisée avec les réseaux sociaux, on obtient un profil qui indique qui exerce quelle fonction et où se trouvent les personnes. Même si les personnes concernées ne mentionnent aucun lien avec leur employeur dans leur vie privée, l’IA établit ce lien en quelques secondes.»
Des données précieuses pour les courtiers
Les informations volées pourraient aussi tomber entre les mains de courtiers en données. Revenus, adresses, noms, âge, état civil… les renseignements détenus par une caisse de pensions ont une grande valeur pour ces intermédiaires. Les conséquences pourraient aller de prix plus élevés affichés aux fonctionnaires bien rémunérés lors de leurs achats en ligne à des tentatives de chantage ou à des usurpations d’identité.
L’incident chez Publica rappelle de précédents scandales, notamment l’affaire Xplain. En 2023, cette société de logiciels a été victime d’une attaque durant laquelle des données sensibles de l’administration fédérale ont été dérobées, puis publiées sur le darknet.
L’analyse de cette affaire avait notamment abouti à une recommandation centrale. Les fournisseurs de logiciels externes devraient recevoir uniquement des données de test, et non des données «réelles», c’est-à-dire authentiques.
D'autres pays touchés
Les exemples étrangers illustrent aussi l’ampleur des risques. Au Liechtenstein, un vol de données entretient l’incertitude depuis des mois. Les circonstances de la cyberattaque restent floues, mais le pays ne fait pour l’heure l’objet d’aucun chantage.
L’hypothèse d’une opération de guerre hybride est évoquée. Plusieurs scénarios sont envisagés, d’une atteinte à la réputation de la place financière de la principauté à la révélation d’éventuels contournements de sanctions.
Au Danemark, des inconnus ont récemment dérobé les données d’environ 8,8 millions de personnes par l’intermédiaire d’un prestataire informatique privé. Le vol porte sur des noms et des adresses, mais aussi sur des numéros d’identification personnels.
Cette semaine, des pirates ont également pris le contrôle du réglage des températures dans des centaines de supermarchés français. En pleine nuit, les rayons réfrigérés et les congélateurs ont atteint jusqu’à 50 degrés Celsius. Des tonnes de denrées avariées ont dû être jetées.
De nombreuses zones d’ombre subsistent, mais l’affaire Publica risque d’occuper Berne pendant longtemps. Un principe fondamental de la sécurité informatique moderne résume le défi. Baptisé «Assume Breach», il consiste à toujours partir du principe qu’un intrus se trouve déjà dans le réseau.
Raphael Rauch