Swiss Life

Summary

A cyberattack on an external SMS authentication provider compromised user data affecting approximately 60 pension funds and around 13,000 insured members using the SMS-based two-factor authentication service. The breach occurred between mid- and late February, exposing mobile phone numbers and potentially surnames of registered users, though the company confirmed that no further sensitive information such as residential addresses, salary details, or other pension data was affected. The incident was reported to the Federal Office of Cyber Security by the SMS provider, and a separate notification was submitted to the Federal Data Protection and Information Commissioner. No signs of unauthorized access to user accounts were detected as the provider actively monitored for suspicious activity following the incident. Affected customers were notified by postal mail and advised to remain vigilant regarding unexpected SMS messages and to avoid opening links or attachments of unclear origin.

Motives

Detailed motive labels are available to members.

TTPs

Detailed technique labels are available to members.

Description

Tausende Kundinnen und Kunden des Schweizer Finanzkonzerns Swiss Life wurden am Freitag, den 21. März 2025, per Briefpost über einen Sicherheitsvorfall informiert, bei dem unbekannte Cyberkriminelle über einen externen technischen Partner an Nutzerdaten gelangen konnten. Betroffen war die Swiss Life Pension Services (SLPS), eine Tochtergesellschaft, die berufliche Vorsorgelösungen für Pensionskassen betreibt. Bei dem Angriff wurde nicht direkt in die Systeme von Swiss Life eingedrungen, sondern in die eines externen SMS-Providers, der die Zwei-Faktor-Identifizierung für das Kundenportal der beruflichen Vorsorge bereitstellt. Dieser Provider ist für den Versand der SMS-Codes verantwortlich, die bei der Anmeldung im Portal verwendet werden, und informiert die Nutzerinnen und Nutzer zudem per SMS, wenn ein neues Dokument im Portal veröffentlicht wird.

Laut Angaben des Swiss-Life-Sprechers Marin Good ereignete sich der Hackerangriff bei dem externen SMS-Authentifizierungs-Provider zwischen dem 15. und dem 21. Februar 2025. In diesem Zeitraum erlangten unberechtigte Täter Zugriff auf die Mobilfunknummern von registrierten Nutzerinnen und Nutzern sowie möglicherweise auch auf deren Nachnamen. Nach umfassenden Abklärungen durch den Provider, ob und in welchem Umfang Kundinnen und Kunden von Swiss Life Pension Services betroffen waren, sowie einer Überprüfung durch die internen Spezialisten von Swiss Life wurden die Betroffenen schriftlich informiert. Das Unternehmen geht davon aus, dass rund 60 Pensionskassen mit etwa 13'000 Destinatären betroffen sind, wobei als Destinatäre die versicherten Mitglieder einer Vorsorgeeinrichtung bezeichnet werden.

Die Swiss Life betonte in dem Schreiben an die Betroffenen sowie gegenüber den Medien, dass keine weiteren sensiblen Informationen wie Wohnadresse, Lohnangaben oder andere Vorsorgedaten von dem Vorfall betroffen seien. Es handle sich ausschliesslich um Mobilfunknummern und allenfalls Nachnamen, die im Rahmen der Zwei-Faktor-Identifizierung beim externen SMS-Provider gespeichert waren. Der Provider habe zudem seit dem Vorfall «proaktiv mögliche Zugriffe» überwacht und bis zum Zeitpunkt der Information keine Anzeichen dafür erkannt, dass ein unberechtigter Zugriff auf Nutzerkonten stattgefunden habe. Ob es sich um eine Ransomware-Attacke handelte, wurde laut den Recherchen von watson als fraglich bezeichnet; diesbezügliche Details zum genauen Angriffsweg wurden nicht veröffentlicht.

Der externe SMS-Provider meldete den Sicherheitsvorfall gemäss Swiss Life dem Bundesamt für Cybersicherheit (BACS). Swiss Life selbst erstattete zusätzlich eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Das Unternehmen bedauerte den Vorfall öffentlich und kündigte an, Massnahmen zu ergreifen, um künftige Vorfälle dieser Art zu vermeiden. Den betroffenen Kundinnen und Kunden wurde im Anschreiben mitgeteilt, dass sie ihre bestehenden Logindaten für das Versichertenportal weiterhin nutzen könnten und ihre Daten vor unberechtigten Zugriffen geschützt seien.

Dennoch wies Swiss Life die Betroffenen darauf hin, wachsam zu bleiben gegenüber unerwartet erhaltenen SMS und keine Links oder Anhänge zu öffnen, die nicht eindeutig zugeordnet werden könnten. Das Unternehmen warnte explizit vor möglichen Gefahren wie Datendiebstahl, Diebstahl von Identifikationsmerkmalen sowie der Einspeisung schädlicher Software und sogenannter Viren. Bei Zweifeln an der Herkunft eines Links oder Anhangs solle weder der Link angewählt noch der Anhang geöffnet werden. Unter den betroffenen Pensionskassen befand sich laut dem Artikel auch die Pensionskasse CH Media, das Medienunternehmen, zu dem auch watson News gehört.

Sources

Sources available to members: 1 source.