Un attacco informatico sottrae i dati di centinaia di dipendenti dell’emittente svizzera

Circa 340 dipendenti attuali ed ex della SRF hanno visto esposti i propri dati personali relativi al lavoro in seguito a un attacco informatico contro la Società svizzera di radiotelevisione, la società madre dei media pubblici svizzeri, tra cui l’emittente di lingua tedesca SRF.

I dati sottratti contengono nomi, funzioni e recapiti professionali. Erano inclusi anche alcuni recapiti privati. La SSR ha dichiarato che i dati riguardano principalmente il personale dell’attuale dipartimento Informazione della SRF e risalgono al 2020.

L’incidente è rilevante perché l’emittente gestisce attività sensibili nelle redazioni, nei team di produzione e nei servizi amministrativi. Gli elenchi del personale possono aiutare gli aggressori a mappare un’istituzione, individuare obiettivi e preparare messaggi convincenti, anche quando i sistemi più sensibili restano protetti.

La SSR ha segnalato la violazione il 28 settembre 2026. Ha dichiarato che non vi erano indicazioni che le informazioni fossero state pubblicate o utilizzate in modo illecito. La società ha inoltre affermato di non aver trovato prove del coinvolgimento di altre unità della SRF.

La comunicazione offre al pubblico un quadro limitato ma importante dell’attacco. Gli inquirenti devono ancora stabilire in che modo gli aggressori siano entrati nel sistema, per quanto tempo vi abbiano avuto accesso e se abbiano copiato dati oltre a quelli identificati nei registri del personale.

Sono stati sottratti nomi, funzioni e recapiti, mentre le categorie più sensibili individuate dall’emittente sono rimaste intatte.

Le informazioni compromesse comprendevano recapiti professionali, come indirizzi di lavoro e altri dati organizzativi, oltre ad alcuni recapiti privati. Questi dati possono rivelare le strutture gerarchiche e i rapporti di lavoro all’interno di una grande organizzazione mediatica. Possono inoltre esporre ex dipendenti che non si aspettano più di trovare i propri dati nei sistemi istituzionali attivi.

La SSR ha dichiarato che al momento non vi sono indicazioni di un coinvolgimento delle password o dei dati finanziari e bancari. Ha inoltre riferito che non vi sono prove di accessi a fonti giornalistiche, dati di ricerca o contenuti delle comunicazioni.

Questa distinzione è importante per il lavoro redazionale della SRF. La protezione delle fonti e delle comunicazioni confidenziali è fondamentale per il giornalismo di interesse pubblico, in particolare quando i giornalisti si occupano di temi politicamente sensibili o di cronaca criminale e sicurezza. Le informazioni disponibili non indicano che, in questo caso, tali materiali siano stati raggiunti.

L’emittente ha limitato le proprie comunicazioni pubbliche ai risultati accertati. Non ha identificato gli aggressori, reso noto il metodo d’attacco né indicato se i dati siano apparsi online. Questi aspetti restano oggetto dell’indagine, condotta con la collaborazione di specialisti interni ed esterni.

La SSR ha adottato misure per contenere l’incidente non appena ha scoperto l’accesso non autorizzato. L’emittente ha dichiarato di aver disattivato i punti di accesso interessati e introdotto ulteriori misure di sicurezza.

Ha inoltre sporto denuncia penale, affidando il caso alle autorità inquirenti mentre queste cercano di determinare la causa e l’intera portata dell’intrusione. Nell’indagine collaborano specialisti interni ed esterni. La società non ha attribuito pubblicamente la responsabilità dell’attacco.

L’emittente ha dichiarato che, secondo le informazioni attualmente disponibili, non si sono verificati ulteriori accessi non autorizzati e che la situazione è sotto controllo. Ha inoltre affermato che le altre unità non sembrano essere state coinvolte.

Queste misure riducono il rischio immediato, ma non risolvono tutte le questioni sollevate dalla violazione. Gli inquirenti devono verificare i limiti del sistema interessato, accertare se i dati sottratti siano stati copiati o trasferiti e valutare quali dipendenti attuali ed ex siano esposti a un rischio maggiore di phishing mirato o di furto d’identità.

La risposta della società illustra anche gli aspetti pratici della gestione di una violazione. Le istituzioni pubbliche devono proteggere i sistemi, conservare le prove, informare le persone coinvolte e garantire al contempo i servizi essenziali. La denuncia penale presentata dalla SSR e l’indagine in corso inquadrano l’incidente come una questione di sicurezza, non soltanto come un problema interno di protezione dei dati.

Un elenco del personale può fornire agli aggressori una mappa di un’istituzione. I nomi e le funzioni indicano chi lavora dove, mentre i dati organizzativi possono rivelare le linee gerarchiche, i team specializzati e i probabili interlocutori.

Per un’emittente, queste informazioni hanno un valore particolare. Le organizzazioni dei media dipendono da una comunicazione rapida tra reporter, redattori, produttori, team tecnici e dirigenti. Gli aggressori possono sfruttare nomi familiari e funzioni plausibili per inviare messaggi mirati, chiedere documenti o spacciarsi per colleghi. La documentazione disponibile non afferma che nel caso della SRF si sia verificato un uso illecito di questo tipo, ma il rischio deriva direttamente dalla natura delle informazioni esposte.

La violazione mostra anche perché la protezione dei dati riguarda pure gli ex dipendenti. I dati creati o conservati nel tempo possono continuare a identificare le persone anche dopo la loro partenza da un’organizzazione. La SSR ha dichiarato che le informazioni interessate risalgono al 2020, sottolineando l’importanza di rivedere i vecchi elenchi e le autorizzazioni di accesso.

Le istituzioni pubbliche svizzere sono sottoposte alle stesse pressioni delle altre grandi organizzazioni. Detengono grandi quantità di dati personali e operativi, si affidano a sistemi interconnessi e devono restare accessibili al pubblico. Le misure di sicurezza devono quindi riguardare sia i normali dati amministrativi sia i materiali altamente confidenziali.

Le conclusioni immediate sono limitate e l’indagine è ancora in corso. La SSR ha dichiarato di non aver trovato prove che i dati sottratti siano stati pubblicati o utilizzati in modo illecito e di non aver rilevato indicazioni di una compromissione di password, informazioni finanziarie, fonti, dati di ricerca o contenuti delle comunicazioni.

Questi risultati rassicurano il personale e il pubblico svizzero, ma non rispondono a tutte le domande. L’indagine deve stabilire il punto d’accesso degli aggressori, quali dati siano stati consultati con precisione e se l’incidente abbia interessato altri sistemi oltre a quelli identificati finora.

Per i dipendenti della SRF, l’esposizione dei recapiti può giustificare maggiore prudenza di fronte a e-mail, telefonate e richieste inattese che fanno riferimento a funzioni interne o a colleghi. Le ulteriori misure di sicurezza dell’emittente e le verifiche in corso saranno importanti per stabilire se il rischio sia stato contenuto.

Il caso mette inoltre un’istituzione pubblica sotto esame in un momento in cui gli attacchi informatici sono diventati una sfida ricorrente per le aziende e le autorità svizzere. Le organizzazioni dei media hanno una doppia responsabilità: proteggere i dati personali raccolti per le attività ordinarie e salvaguardare il lavoro confidenziale a sostegno del giornalismo indipendente.

Il prossimo aggiornamento significativo sarà il resoconto dell’indagine su quanto accaduto e sull’eventuale estensione della violazione oltre i circa 340 registri del personale già resi noti.