Ciberattacco potrebbe esporre i dati delle casse pensioni di Zurigo e della Posta Svizzera

Una violazione presso un fornitore di software ha portato sotto indagine dati pensionistici sensibili di Zurigo e, forse, della Posta Svizzera. L’attacco è avvenuto a fine settembre, mentre Zurigo si preparava a trasferire la propria cassa pensioni su un nuovo sistema di gestione. I dati erano già stati trasferiti quando gli aggressori hanno colpito il fornitore esterno.

Zurigo ha sporto denuncia penale e sta cercando di stabilire a quali dati gli aggressori abbiano avuto accesso o quali abbiano sottratto, oltre a determinare quante persone potrebbero essere coinvolte. La città ha dichiarato che le casse pensioni continuano a funzionare e che i pagamenti delle rendite restano operativi.

L’incidente riguarda anche altre istituzioni. La Posta Svizzera ha confermato che la sua cassa pensioni si serviva dello stesso fornitore ed è stata colpita dall’attacco. Non è ancora stato stabilito se i dati delle persone assicurate siano stati compromessi. La notizia fa seguito a segnalazioni secondo cui anche la Cassa pensioni di Berna e la Cassa assicurativa degli insegnanti bernesi hanno perso dati nella stessa campagna.

La possibile esposizione riguarda informazioni personali e finanziarie custodite da istituti di previdenza, perciò l’indagine interessa dipendenti, pensionati e beneficiari di diverse regioni della Svizzera. Le informazioni disponibili non permettono di stabilire la portata definitiva della violazione né di identificare gli aggressori.

Nello scenario peggiore, i dati potrebbero tracciare un quadro dettagliato dell’identità, delle relazioni e delle finanze delle persone. La cassa pensioni di Zurigo ha dichiarato che le informazioni potenzialmente interessate potrebbero comprendere nomi, indirizzi postali, indirizzi e-mail e numeri di telefono. Potrebbero essere coinvolti anche i numeri AVS e lo stato civile.

L’elenco comprende inoltre informazioni sui partner, numeri di conto IBAN, reddito assicurato e averi previdenziali. Gli investigatori non hanno confermato che sia stato effettuato l’accesso a tutte queste categorie di dati. Zurigo sta ancora esaminando i sistemi del fornitore per determinare il contenuto preciso del materiale sottratto.

Per gli affiliati alle casse pensioni svizzere, questi dati sono strettamente legati alla propria identità finanziaria quotidiana. Un IBAN può collegare una persona ai suoi pagamenti, mentre un numero AVS e i dati pensionistici possono contribuire a identificarla nei sistemi amministrativi. Anche le informazioni di contatto possono essere utilizzate per tentativi mirati di phishing, benché la notizia originale non riferisca che simili tentativi siano avvenuti.

La Posta Svizzera ha indicato categorie potenzialmente interessate simili, fra cui nomi, indirizzi, date di nascita, numeri AVS, recapiti, indirizzi e-mail e informazioni pensionistiche. Le due istituzioni non hanno ancora reso noto un numero confermato di persone coinvolte.

I pagamenti delle rendite e l’attività delle casse proseguono mentre sono in corso le indagini forensi. Zurigo ha dichiarato che il sistema amministrativo utilizzato per gestire gli averi e versare le rendite non sarebbe stato interessato. La città ha inoltre affermato che le casse pensioni e i pagamenti continuano a funzionare.

La Posta Svizzera ha dichiarato che gli averi previdenziali e le prestazioni pensionistiche non sono a rischio. Questa distinzione è importante per gli affiliati che cercano di capire le conseguenze concrete della violazione. L’incidente segnalato riguarda dati custoditi da un fornitore esterno di software. Non è stato descritto come un attacco che abbia interrotto il versamento delle prestazioni o trasferito gli averi previdenziali.

Le casse devono comunque affrontare un importante lavoro amministrativo. Devono determinare a quali file abbiano avuto accesso gli aggressori, se i dati siano stati copiati o sottratti e quanti affiliati attuali o passati figurino negli archivi interessati. Prima di inviare una comunicazione completa, devono inoltre coordinarsi con il fornitore e con gli investigatori.

Zurigo ha sporto denuncia penale. La Posta Svizzera ha riconosciuto l’incidente e ha dichiarato di stare valutando se le informazioni delle persone assicurate siano state compromesse. Secondo la notizia originale, nessuna delle due istituzioni ha fornito un conteggio definitivo delle persone coinvolte.

L’attacco ha già raggiunto istituti di previdenza in almeno tre parti della Svizzera. Le casse pensioni della città di Zurigo e la Posta Svizzera sono le organizzazioni più recenti menzionate in relazione all’incidente. Anche la Cassa pensioni di Berna e la Cassa assicurativa degli insegnanti bernesi si servivano dello stesso fornitore di software; la sottrazione di dati in questi due istituti era stata resa pubblica la settimana precedente.

Questo schema mostra come un unico fornitore possa collegare istituzioni che altrimenti operano separatamente. Un fornitore che gestisce i dati di più casse pensioni può diventare un punto di accesso di grande valore, in particolare durante i cambiamenti di sistema, quando le informazioni vengono trasferite o accorpate. La notizia originale non identifica il fornitore, gli aggressori o il metodo tecnico utilizzato nella violazione.

Le organizzazioni interessate servono gruppi diversi, fra cui dipendenti della città, personale della Posta Svizzera e persone assicurate tramite gli istituti previdenziali del settore pubblico bernese. La portata definitiva dipenderà dai dati custoditi dal fornitore e dai sistemi a cui gli aggressori hanno avuto accesso.

Le casse pensioni svizzere sono ora chiamate a fornire agli affiliati informazioni chiare e specifiche per ciascun istituto. Devono distinguere i fatti confermati dalla possibile esposizione, preservando al contempo le prove per l’indagine penale e garantendo la continuità delle attività.

Le prossime comunicazioni dipenderanno da ciò che gli investigatori scopriranno nei sistemi del fornitore. Zurigo sta cercando di identificare le informazioni sottratte e di determinare quante persone siano coinvolte. La Posta Svizzera sta svolgendo una propria valutazione e non ha confermato se i dati delle persone assicurate siano stati compromessi.

Gli affiliati dovrebbero aspettarsi ulteriori aggiornamenti dalla propria cassa pensioni man mano che l’indagine procede. Le informazioni disponibili permettono di distinguere chiaramente due aspetti: gli averi previdenziali e il versamento delle prestazioni continuano a essere operativi, mentre i dati personali e pensionistici potrebbero essere stati esposti. La portata esatta resta da chiarire.

Il caso richiama inoltre l’attenzione sulla gestione dei fornitori esterni da parte degli istituti previdenziali svizzeri durante i cambiamenti tecnologici. Zurigo aveva trasferito i dati in vista del passaggio pianificato a un nuovo sistema di gestione. Questa tempistica non dimostra una causa, ma spiega perché i dati si trovassero presso il fornitore al momento dell’attacco.

Le istituzioni menzionate nella notizia dovranno comunicare i risultati confermati, illustrare le eventuali misure di protezione e indicare alle persone coinvolte quali azioni intraprendere. Nel frattempo, gli affiliati dovrebbero fare riferimento alle comunicazioni ufficiali della propria cassa pensioni e diffidare dei messaggi inattesi che chiedono informazioni personali o bancarie.