À Zurich, une caisse de retraite a suspendu le déploiement d’un nouveau système informatique après le piratage de son prestataire. Des données de certains assurés ont été dérobées, mais la caisse assure que les pensions et les versements continuent normalement.
La caisse de pension de la ville de Zurich a pris une décision peu courante : elle n’installera pas en 2027 le logiciel de gestion qu’elle devait adopter au début de l’année. Le 3 novembre 2026, son conseil de fondation a annoncé la suspension de cette migration informatique après une cyberattaque visant PK Softech, l’entreprise qui devait fournir le nouvel outil.
L’attaque elle-même remonte à la fin septembre. Mais la décision prise début novembre marque une conséquence concrète de l’incident : le changement de système est stoppé, alors que les préparatifs étaient déjà engagés. Dans une mise au point officielle, la Pensionskasse Stadt Zürich (PKZH) précise qu’elle conservera son logiciel actuel durant toute l’année 2027. Elle ne décidera d’une éventuelle reprise du projet qu’une fois les enquêtes suffisamment avancées.
Des informations personnelles utilisées pour préparer la migration
Le prestataire visé par les pirates n’exploitait pas le système qui sert aujourd’hui à administrer les pensions de Zurich. Il avait toutefois reçu des données destinées à tester le futur transfert. C’est là que se situe le problème : les données utilisées en préparation d’un projet peuvent elles aussi exposer les personnes concernées.
La caisse indique que des données relatives à des assurés et retraités ont été dérobées. Le périmètre exact n’est pas encore définitivement connu. Parmi les informations susceptibles d’être concernées, elle cite les noms, dates de naissance, coordonnées, numéros d’assurance sociale, données de prévoyance et, potentiellement, des coordonnées bancaires. Cette énumération ne signifie pas que toutes ces catégories ont été volées pour chaque personne.
La PKZH insiste sur une distinction : l’argent des retraites n’a pas été dérobé et les prestations continuent d’être payées selon le calendrier habituel. Les opérations courantes reposent sur un système différent, non atteint selon la caisse. Des enquêtes judiciaires et de protection des données restent en cours.
Le risque le plus concret pour les assurés : des messages très crédibles
La caisse invite les personnes potentiellement concernées à rester attentives aux courriels, messages et appels inattendus. Une personne malveillante qui connaît un nom, une adresse, une date de naissance ou un ancien salaire peut rendre une tentative d’escroquerie particulièrement convaincante, sans pour autant avoir accès au compte bancaire ou aux avoirs de retraite.
Les conseils donnés sont simples : ne pas transmettre de mot de passe ou de code de sécurité après un appel non sollicité, vérifier directement les coordonnées officielles de l’organisme et signaler immédiatement toute opération bancaire suspecte. La PKZH précise qu’elle ne demande jamais par téléphone ou courriel les identifiants permettant d’accéder aux comptes.
Le préposé fédéral suisse à la protection des données avait ouvert le 22 octobre une enquête formelle concernant PK Softech, après des signalements de plusieurs institutions de prévoyance. Cela ne constitue pas une conclusion sur les responsabilités du prestataire : l’instruction vise précisément à établir les circonstances et l’étendue des transferts de données.
Cette affaire concerne des organismes suisses. Aucun incident identique touchant des caisses de retraite françaises ne peut en être déduit. Elle montre néanmoins pourquoi les fichiers transmis lors des tests d’un nouveau logiciel doivent être protégés aussi rigoureusement que ceux déjà utilisés dans les services du quotidien.
Pour les assurés zurichois, la conséquence immédiate est sans ambiguïté : le système actuel reste en place et les pensions continuent d’être versées. La date éventuelle du remplacement informatique, elle, n’est plus arrêtée.
