Fin septembre 2026, des attaquants ont infiltré les systèmes de PK Softech AG (Reinach, BL) à l’aide d’un malware, compromettant potentiellement les données personnelles de plusieurs centaines de milliers d’assurés suisses (communication officielle PK Softech, 8 octobre 2026). L’éditeur, spécialisé dans la gestion logicielle des caisses de pension (LPP), compte parmi ses clients certaines des plus grandes institutions de prévoyance professionnelle du pays.
Contexte : un éditeur de niche au coeur de la prévoyance suisse
PK Softech AG est un prestataire logiciel quasi-invisible du grand public, mais central dans l’infrastructure de prévoyance professionnelle helvétique. La société fournit des solutions de gestion aux caisses de pension, pivots du deuxième pilier de la LPP.
L’incident est survenu fin septembre 2026. PK Softech a immédiatement isolé les environnements touchés, fait appel à des experts externes et déposé une plainte pénale. Le Ministère public de la Confédération a ouvert une enquête. Les services ont été rétablis dès le 2 octobre 2026.
Le 8 octobre, l’éditeur a confirmé publiquement qu’une exfiltration de données avait eu lieu (netzwoche.ch, 8 octobre 2026). Les caisses potentiellement touchées comprennent :
- Publica, caisse de pension de la Confédération : environ 70 000 assurés et 41 600 rentiers, pour quelque 45 milliards de francs d’actifs (netzwoche.ch)
- PKZH (Pensionskasse Stadt Zürich) : environ 42 600 assurés et 21 700 rentiers
- BVK Personalvorsorge (canton de Zurich) : environ 103 400 assurés et 43 100 rentiers
- La Stiftung FAR (retraite anticipée dans la construction), la Migros PK, la Post PK, la Syngenta PK, l’Istituto di previdenza del Cantone Ticino (environ 17 300 assurés et 10 500 rentiers) et deux caisses cantonales bernoises (inside-it.ch, 14 octobre 2026)
Les données potentiellement dérobées comprennent salaires, montants de prévoyance, rentes et coordonnées personnelles des assurés.
Impact pour les entreprises : le maillon faible de votre chaîne logicielle
Cet incident pose une question directe aux DSI et DAF de toute organisation qui confie des données de paie ou de prévoyance à un éditeur tiers : quelle est la posture sécurité de ce prestataire, et quelle est votre exposition en cas de compromission ?
PK Softech n’est pas une startup fragile : l’éditeur se prévalait de « hauts standards de sécurité » dans sa communication officielle. Un malware a néanmoins réussi à infiltrer son infrastructure. Cela illustre une réalité bien connue des équipes de sécurité : la surface d’attaque d’une organisation inclut l’ensemble de sa chaîne de sous-traitants logiciels.
Sur le plan réglementaire, la Suisse est soumise depuis septembre 2023 à la LPD révisée (loi fédérale sur la protection des données), dont les exigences se rapprochent du RGPD européen. Toute fuite de données personnelles doit être notifiée au Préposé fédéral à la protection des données (PFPD) dans les meilleurs délais. Pour les caisses de pension et les employeurs qui leur délèguent des données salariales via un prestataire, la question de la responsabilité contractuelle et des obligations de notification devient centrale.
La vraie leçon à tirer n’est pas “sommes-nous clients de PK Softech ?” mais : disposons-nous d’un inventaire à jour de tous nos prestataires logiciels qui traitent des données sensibles, et avons-nous évalué leur posture de sécurité ? Un éditeur de niche sans red flags apparents peut devenir le maillon faible de votre système d’information.
Ce qu’il faut surveiller
L’enquête du Ministère public de la Confédération est toujours en cours. Le 14 octobre 2026, la police de cybercriminalité suisse a lancé une mise en garde officielle contre des appels téléphoniques frauduleux exploitant les données dérobées pour proposer des investissements douteux (inside-it.ch, 14 octobre 2026). Si des employés ou assurés reçoivent des sollicitations inhabituelles liées à leur prévoyance, un lien avec cet incident est probable.
Les prochaines semaines devraient clarifier l’ampleur exacte de l’exfiltration et les responsabilités contractuelles. La transparence de PK Softech dans ses communications futures sera un indicateur important de sa gouvernance en situation de crise.
Pour évaluer la maturité sécurité de vos prestataires logiciels avant de leur confier des données sensibles, téléchargez notre grille d’évaluation ERP : 30 critères sur 100 points pour structurer le benchmark de vos fournisseurs côte à côte.
