Les récentes cyberattaques visant le registre des ayants droit économiques mis en place par le Liechtenstein, mais aussi des bases de données publiques en Suisse, doivent servir d’avertissement. À quelques jours du lancement de TranspaReg, le registre suisse de transparence qui entrera en service le 1er octobre prochain, ces incidents rappellent une évidence: centraliser des données sensibles crée une cible particulièrement attractive pour les cybercriminels.
Conçu pour renforcer la transparence et la lutte contre le blanchiment d’argent, TranspaReg fait toutefois émerger un nouveau risque: celui lié à la concentration, au sein d’un même registre, d’un volume considérable de données sensibles. Des informations jusqu’ici dispersées entre des centaines de milliers d’entreprises seront ainsi réunies dans une base unique. Dans la nuit du 29 au 30 juillet, des pirates sont parvenus à accéder au registre des ayants droit économiques de la Principauté et à exfiltrer des données concernant quelque 31’000 entités juridiques. Parmi les informations compromises figurent notamment les noms, prénoms, dates de naissance, nationalités et pays de résidence des ayants droit économiques. À ce jour, les autorités liechtensteinoises n’ont pas encore identifié les auteurs de l’attaque, tandis que les investigations sur son déroulement se poursuivent.
Il est encore trop tôt pour mesurer les conséquences de cette attaque sur la réputation de la place financière liechtensteinoise. Mais dans une industrie où la confiance constitue un actif essentiel, on peut aisément imaginer les dommages qu’un incident comparable pourrait provoquer en Suisse. Une fuite touchant TranspaReg ne constituerait pas uniquement un problème informatique, ni même une atteinte à la confiance des entreprises et des ayants droit économiques directement concernés. Elle risquerait de ternir l’image de la place financière suisse à l’international. La Suisse cultive depuis longtemps une réputation de discrétion, de stabilité et de sécurité dans la gestion de fortune. Cette image, étroitement liée à la confiance dans la capacité de la Suisse à préserver la confidentialité des informations qui lui sont confiées, demeure un élément important de l’attractivité de sa place financière. Une cyberattaque d’ampleur contre un registre fédéral contenant des données sensibles sur les ayants droit économiques pourrait sérieusement l’écorner.
L’enjeu est d’autant plus important qu’à partir du 1er octobre, plus de 500’000 entreprises seront tenues de communiquer des informations sur leurs ayants droit économiques. Le registre contiendra notamment leurs noms, dates de naissance, nationalités, communes de domicile et pays de résidence ainsi que des informations sur la nature et l’étendue du contrôle exercé. La concentration de telles informations dans un registre unique soulève un enjeu de protection de la sphère privée dont le risque est encore sous-estimé. Et le sujet est loin de concerner les seuls établissements financiers: derrière ces centaines de milliers d’inscriptions se trouveront aussi bien les acteurs de l’économie réelle, allant de la boulangerie de quartier à l’entreprise industrielle familiale, que des sociétés immobilières, des holdings et d’autres structures de détention. Certes, contrairement à un registre ouvert à tous, TranspaReg ne sera pas accessible au public: sa consultation sera réservée à certaines autorités et entités habilitées. Si cette restriction réduit l’exposition des données, elle ne dispense évidemment pas d’établir une protection technique à la hauteur de leur sensibilité.
L’Office fédéral de la justice, chargé de la gestion du registre, doit donc prendre toute la mesure de sa responsabilité. Exiger la transparence des entreprises implique, en retour, une obligation tout aussi forte: garantir la confidentialité et la sécurité des informations collectées. L’expérience liechtensteinoise constitue un avertissement que la Suisse ne peut se permettre d’ignorer. Avant de demander à plus d’un demi-million d’entreprises de confier ces données à la Confédération, la protection de celles-ci doit être assurée.