Le 8 octobre 2026, l’Office fédéral de la police (fedpol) a confirmé une fuite de données touchant la Caisse fédérale de pensions Publica. Le point important pour une PME tient en une phrase du communiqué : ce n’est pas Publica qui a été attaquée, mais l’un de ses fournisseurs externes de logiciel.

Ce que l’on sait officiellement

Selon fedpol, ce fournisseur a détecté une cyberattaque fin septembre. L’entreprise a immédiatement déposé une plainte pénale et informé les services fédéraux compétents, Publica ainsi que d’autres clients. Le Ministère public de la Confédération a ouvert une enquête.

Au moment du communiqué, l’étendue exacte de la fuite n’était pas connue : l’entreprise examinait, avec différents services fédéraux, dans quelle mesure des données de Publica étaient concernées. Publica a de son côté informé les personnes assurées de la fuite, de ses conséquences et des mesures prises. fedpol précise qu’aucun autre service fédéral n’a de relations d’affaires avec l’entreprise en question.

Nous nous en tenons à ces faits. Le nom du prestataire, la nature des données et le mode opératoire n’ont pas été communiqués officiellement.

Un cas d’école de l’attaque par un tiers

Le schéma est connu : un attaquant vise un prestataire qui détient ou traite les données de plusieurs clients. Une seule intrusion produit alors des effets chez tous ceux qui lui ont confié quelque chose. Le communiqué le montre bien : le fournisseur a dû prévenir non seulement Publica, mais aussi d’autres clients.

Pour une PME, la leçon est directe. Votre logiciel de comptabilité ou de salaires, votre fiduciaire, votre hébergeur, votre prestataire informatique ou votre solution de gestion des clients détiennent souvent des données que vous êtes responsable de protéger. Leur sécurité fait, de fait, partie de la vôtre. Notre guide sur les attaques par la chaîne d’approvisionnement détaille ce mécanisme.

Ce que dit l’ENISA sur les dépendances

Le 22 septembre 2026, l’agence de l’Union européenne pour la cybersécurité (ENISA) a publié son rapport annuel sur l’état de la menace, qui couvre les incidents observés du 1er janvier au 31 décembre 2025. Son titre résume le message : les dépendances affaiblissent la résilience numérique. L’agence écrit que ces dépendances élargissent la surface d’attaque et exigent un nouveau niveau de vigilance.

L’ENISA indique avoir encore observé le ciblage de ces dépendances, y compris des attaques contre la chaîne d’approvisionnement et des attaques par des tiers, et précise qu’elles aboutissent généralement à des incidents de grande ampleur ou à fort impact.

Quelques chiffres du rapport européen

Le rapport rappelle que le rançongiciel reste le type d’incident le plus lourd de conséquences à court terme. La cybercriminalité représente 36 % des événements analysés ; parmi les activités à motivation financière, le déploiement de rançongiciels compte pour 40 %, les violations de données pour 31 % et la fraude et l’usurpation d’identité pour 19 %.

Côté vulnérabilités, plus de 48’000 nouvelles failles ont reçu un identifiant CVE en 2025, soit une hausse de 22 % sur un an. Parmi les accès non autorisés dont l’ENISA a pu identifier le vecteur d’intrusion, 60 % exploitaient une vulnérabilité. Ces chiffres concernent l’Union européenne, mais une PME suisse utilise les mêmes logiciels et les mêmes prestataires.

Quatre questions à poser à vos prestataires

Sans attendre un incident, vous pouvez clarifier quelques points avec chaque prestataire qui traite vos données :

  • Quelles données de mon entreprise détenez-vous, où sont-elles stockées et qui y a accès ?
  • Dans quel délai et par quel canal me préviendrez-vous en cas d’incident ?
  • Comment appliquez-vous les mises à jour de sécurité de vos systèmes ?
  • Que se passe-t-il pour mes données à la fin de notre contrat ?

Ces questions sont l’inverse de celles qu’un grand client pose à son sous-traitant. Si vous avez déjà reçu un tel questionnaire de sécurité, vous savez quelles réponses sont rassurantes.

Préparer la réaction, pas seulement la prévention

L’exemple de Publica montre aussi l’ordre des opérations quand l’incident vient d’un tiers : le prestataire constate l’attaque, porte plainte, prévient ses clients, puis l’étendue est évaluée. Pendant ce temps, c’est le client qui doit informer ses propres interlocuteurs. Votre plan de réponse aux incidents devrait prévoir ce cas : qui reçoit l’alerte d’un fournisseur, qui évalue les données touchées, qui décide d’informer clients et collaborateurs.

En conclusion

Une PME ne peut pas auditer chacun de ses prestataires, et ce n’est pas nécessaire. Savoir lesquels détiennent des données sensibles, ce qu’ils s’engagent à faire en cas d’incident et qui, chez vous, prend le relais, permet déjà de réduire une dépendance qui reste aujourd’hui invisible dans beaucoup d’entreprises. C’est souvent par cette cartographie, adaptée à votre activité, qu’une démarche de sécurité gagne le plus en efficacité.