Le registre de transparence de la Suisse devait entrer en vigueur le 1er octobre 2026, répertoriant les bénéficiaires effectifs derrière environ 600 000 entités juridiques. Mais une cyberattaque sur le système presque identique du Liechtenstein voisin pousse les gestionnaires de patrimoine suisses à se poser une question raisonnable : peut-être ne devrions-nous pas précipiter cela.
Des pirates ont violé le Registre des bénéficiaires effectifs du Liechtenstein, connu sous le nom de VwbP, pendant la nuit du 29 au 30 juillet, en extrayant des données personnelles liées à environ 31 000 entités juridiques. Les informations compromise incluaient les noms, les dates de naissance, les nationalités et les pays de résidence des personnes se trouvant derrière des entreprises, fondations et trusts. Aucune donnée financière n'a été accédée.
Qu'est-ce qui s'est passé au Liechtenstein
Le Liechtenstein a lancé son VwbP en 2021 pour se conformer aux directives anti-blanchiment de l'UE. Cette série s'est terminée le 30 juillet, lorsque les autorités ont détecté des irrégularités dans le registre. Le gouvernement liechtensteinois a agi rapidement, en mettant la base de données hors ligne et en créant une unité de crise dirigée par le Premier ministre Brigitte Haas et le ministre de la Justice Emanuel Schädler. Les responsables ont été formellement notifiés d'ici le 31 juillet ou le 1er août. Des déclarations publiques confirmant l'étendue de la violation ont suivi entre le 2 et le 4 août.
Pourquoi les gestionnaires de patrimoine suisses sont inquiets
La Suisse et le Liechtenstein sont profondément liés en matière de gestion de patrimoine. De nombreux clients suisses utilisent des entités domiciliées au Liechtenstein, notamment des fondations et des trusts, dans le cadre de leur structuration patrimoniale. La violation ne touche pas seulement les personnes à Vaduz. Ses répercussions se propagent à travers la frontière jusqu'à Zurich, Genève et tous les bureaux de banque privée intermédiaires.
Le Registre de transparence suisse fonctionnerait de manière similaire au VwbP du Liechtenstein, en collectant les données de propriété bénéficiaire des entités juridiques du pays. L’échelle est considérablement plus importante, couvrant environ 600 000 entités contre 31 000 au Liechtenstein. Cela représente environ 20 fois la surface d’attaque, un point que les intermédiaires financiers suisses soulignent désormais avec une urgence considérable.
L'argument des gestionnaires de patrimoine n'est pas que la transparence soit mauvaise. Il est que lancer une base de données centralisée massive contenant des informations personnelles sensibles sans cybersécurité inébranlable est imprudent. La violation au Liechtenstein est, à leurs yeux, une preuve de concept de précisément le type d'attaque qui pourrait cibler le registre suisse à une échelle bien plus importante.
La tension entre transparence et sécurité
Les registres de bénéficiaires effectifs existent en raison d'un objectif politique simple : rendre plus difficile le blanchiment d'argent en imposant la divulgation de qui contrôle réellement les entités corporatives. Le Liechtenstein, bien qu'ayant quitté l'UE, a adopté ce cadre grâce à son adhésion à l'Espace économique européen.
Les données volées du Liechtenstein, bien qu'elles ne contiennent pas de soldes de comptes ni d'historiques de transactions, sont loin d'être inoffensives. Les noms et les dates de naissance des bénéficiaires effectifs, combinés à leurs nationalités et pays de résidence, fournissent suffisamment d'informations pour des attaques sophistiquées d'ingénierie sociale, du vol d'identité ou même des menaces à la sécurité physique contre des individus fortunés.