La petite principauté du Liechtenstein est confrontée à la pire épreuve de son histoire tricentenaire : la cyberattaque dont elle a été victime au cœur de l’été met en péril sa réputation de havre financier pour les super riches. Révélée début août, l’incursion informatique a permis à des hackers non identifiés de dérober les identités réelles de dizaines de milliers de personnes ayant placé leur fortune dans des établissements locaux de manière anonyme, sous couvert de fondations ou de fiduciaires.
La fête nationale du mini-État montagneux pris en sandwich entre la Suisse et l’Autriche, qui ne compte qu’à peine plus de 40 000 habitants, s’est pourtant déroulée le 15 août comme si de rien n’était dans la capitale, Vaduz. Depuis le château médiéval qui surplombe la vallée, la maison princière a même saisi l’occasion pour annoncer une petite révolution dans la succession au trône, qui sera désormais ouverte aux femmes. L’abolition de la primogéniture masculine n’aura pas d’impact à court terme puisque après le prince régnant Hans Adam II, non seulement le prince héritier Aloïs mais aussi le fils aîné de celui-ci, Wenzel, sont des mâles.
La cyberattaque, en revanche, risque d’avoir des conséquences beaucoup plus immédiates. Pour une place financière comme le Liechtenstein, qui attire les capitaux privés en quête de fiscalité douce, la confidentialité des données des clients est le bien le plus précieux. De nombreux Européens aisés y font gérer leur fortune et la transmettent à la génération suivante par le biais de fondations privées. Ils doivent constater aujourd’hui que même au Liechtenstein, l’anonymat absolu est devenu un mythe à l’ère numérique.
Selon un communiqué du gouvernement local, les pirates informatiques ont accédé pendant plusieurs heures, dans la nuit du 30 juillet, au registre central des ayants droit économiques. Ils ont pu télécharger les noms, dates de naissance, nationalités et lieux de résidence des personnes qui contrôlent réellement quelque 31 000 sociétés, fondations et fiduciaires qui sont enregistrées dans la principauté.
Qui sont les agresseurs ?
Potentiellement, environ 100 000 personnes physiques seraient concernées. Le registre ciblé, mis en place par le Liechtenstein en 2021 sous la pression de l’Union européenne et de l’Organisation de coopération et de développement économiques (OCDE), vise à lutter contre le blanchiment d’argent et le financement du terrorisme. Mais ses données ne sont pas censées être publiques.
Qui sont les agresseurs ? Les autorités sont dans le noir. "Nous ne connaissons pour l’instant ni les auteurs, ni leurs mobiles", a déclaré aux journalistes la Première ministre, Brigitte Haas. Apparemment, aucune rançon n’a encore été exigée et aucune donnée n’a fuité sur le dark net. Le spectre des soupçons est large. Les pirates peuvent avoir des motivations financières, pour faire chanter des personnes qui ne souhaitent pas que leur nom soit révélé. Mais ils pourraient aussi vouloir discréditer le Liechtenstein, ou encore simplement tester les systèmes de sécurité. Il est possible aussi que derrière eux se dissimule un Etat étranger. Savoir qui sont les personnes qui peuvent disposer de sommes considérables logées dans des fondations est en effet hautement intéressant pour des autorités fiscales nationales de pays voisins du Liechtenstein.
En 2008, un scandale avait éclaboussé la principauté après que le service de renseignement extérieur allemand, le Bundesnachrichtendienst (BND), avait mis la main sur une liste de clients de la banque Liechtenstein Global Trust (LGT Group), elle-même entièrement contrôlée par la famille princière par le biais d’une fondation. Le BND avait acheté le fichier pour 4 millions d’euros à un ancien informaticien de LGT Group, ce qui lui avait permis de révéler un vaste réseau d’évasion fiscale. Plus d’un millier de citoyens allemands suspects s’étaient retrouvés sous le feu des projecteurs. Parmi eux, le PDG de Deutsche Post, Klaus Zumwinkel, a dû démissionner. Il a depuis été condamné à 1 million d’euros d’amende et à deux ans de prison avec sursis. Quant à l’informaticien peu scrupuleux, Heinrich Kieber, il a été exfiltré par le BND, qui lui a procuré une nouvelle identité.
A la suite de cette affaire, la principauté a entrepris de réformer de fond en comble son système financier. En 2009, elle a restreint la définition légale des fondations privées, ce qui a conduit à une diminution de leur nombre. Elle a depuis mis fin au secret bancaire total pour les non-résidents et elle applique désormais l’échange automatique d’informations financières avec l’Union européenne et avec d’autres Etats. Le registre des ayants droit économiques, visé par l’attaque, a justement été créé à cette fin, en application de la cinquième directive antiblanchiment de l’Union européenne.
Des conséquences politiques
Ce n’est qu’en 2018 que l’UE a rayé le Liechtenstein de sa "liste grise" de havres fiscaux. Plus récemment, des avoirs détenus par des Russes dans la principauté ont attiré l’attention après l’invasion de l’Ukraine en 2022. Beaucoup ont été gelés par les autorités locales.
Malgré ces tribulations, des sommes considérables restent placées dans la principauté. Selon l’agence Bloomberg, Vaduz abrite au total quelque 572 milliards d’euros d’avoirs sous gestion dans ses banques et 125 milliards d’euros dans des fonds. La famille princière elle-même est l’une des plus riches d’Europe. Selon Bloomberg, la fortune du prince Hans Adam II s’élèverait à quelque 12 milliards d’euros et sa collection d'art est l'une des plus belles du continent.
"Le vol des données devrait causer un tort considérable à la réputation de la principauté comme place financière", a estimé l’avocat zurichois Thomas Sprecher, spécialiste de la fiscalité des fondations, dans une interview au quotidien Neue Zürcher Zeitung. "D’autres places qui offrent des services comparables, par exemple les places offshore ou (l’Etat américain du) Delaware, devraient en profiter. Les personnes fortunées doivent désormais se demander si elles ont envie de se retrouver sur la place publique. Même quelqu’un qui est transparent avec le fisc ne souhaite pas pour autant que son nom et sa présence au Liechtenstein via une fondation soient livrés en pâture à la collectivité".
Au-delà des suites financières, la cyberattaque aura-t-elle des conséquences politiques ? Pour le savoir, il faut cependant attendre que l’enquête sur les pirates progresse. La police du Liechtenstein affirme que de premières indications ont déjà été transmises à la justice locale.
