In Svizzera aumentano le violazioni dei dati, sotto inchiesta un attacco informatico contro casse pensioni

Dall’inizio dell’anno sono stati registrati 455 incidenti, già più dei 343 segnalati nell’intero 2025. Le cifre, comunicate dall’Incaricato federale della protezione dei dati e della trasparenza Adrian Lobsiger in un’intervista a Sonntagsblick, mettono in evidenza l’entità del lavoro legato alla sicurezza dei dati in Svizzera, mentre l’anno è ancora in corso.

Lobsiger ha avvertito che il totale registrato probabilmente sottostima la portata del problema. Molti incidenti non vengono segnalati, ha affermato, per cui il conteggio ufficiale comprende soltanto i casi portati all’attenzione dell’Incaricato. Le cifre riguardano gli incidenti di sicurezza in senso ampio; i dati pubblicati non indicano quanti siano dovuti ad attacchi informatici né quanti coinvolgano dati personali.

L’aumento si verifica mentre l’Incaricato esamina un attacco informatico contro PK Softech, un fornitore di software utilizzato da diverse casse pensioni svizzere. L’inchiesta formale mira a stabilire quali dati personali le casse abbiano condiviso con l’azienda, come fossero disciplinati questi trasferimenti e quali informazioni siano state rubate. L’indagine collega il conteggio nazionale degli incidenti a una preoccupazione concreta per gli istituti di previdenza: proteggere i dati sensibili trattati tramite servizi tecnologici condivisi.

L’inchiesta formale dell’Incaricato si concentra su PK Softech, dopo che l’azienda ha segnalato un attacco informatico alla propria infrastruttura informatica l’8 ottobre. L’attacco ha comportato il furto di dati di diverse casse pensioni che utilizzavano il software del fornitore. L’Incaricato ha dichiarato che viene avviata un’inchiesta contro un’azienda quando vi sono indizi di una possibile violazione delle norme sulla protezione dei dati.

L’inchiesta è stata preceduta da un’indagine preliminare informale presso Publica, avviata il 14 ottobre. Il 23 ottobre, l’Incaricato ha aperto il procedimento formale contro PK Softech. Anche le casse pensioni interessate hanno sporto denuncia in relazione all’incidente.

L’Incaricato si aspetta che l’inchiesta stabilisca quali dati personali le casse abbiano messo a disposizione dell’azienda di software, quale fosse il quadro giuridico dei trasferimenti e come tale quadro sia stato applicato nella pratica. Gli inquirenti stanno inoltre esaminando la quantità di informazioni sottratte. Lobsiger ha affermato che il procedimento potrebbe in seguito estendersi a organi federali e casse pensioni. Nell’intervista ha rifiutato di commentare i dettagli specifici del caso, richiamandosi alla riservatezza dell’inchiesta.

Publica, la Cassa pensioni bernese e la Cassa assicurativa degli insegnanti bernesi figurano tra le organizzazioni interessate. L’attacco ha portato sotto esame gli accordi sul trattamento dei dati tra le casse pensioni e il loro fornitore di software, mentre l’Incaricato cerca di ricostruire nel dettaglio quali informazioni personali siano state condivise e quali dati siano stati rubati.

L’Incaricato ha avvertito che collegare i dati e smantellare i silos informativi può aumentare il rischio di violazioni della sicurezza. I sistemi integrati possono comportare il trasferimento di informazioni tra organizzazioni e servizi, rendendo importante controllare quali dati vengono trasmessi. Lobsiger ha affermato che dovrebbe essere trasmesso soltanto ciò che è strettamente necessario.

Ha inoltre raccomandato di utilizzare, ove possibile, dati di test anonimizzati. Questo approccio limita l’esposizione di informazioni personali identificabili durante i test, mantenendo al contempo l’attenzione sulle questioni essenziali di protezione dei dati nel caso PK Softech: quali informazioni sono state trasferite, su quale base giuridica e con quali modalità. Si prevede che i risultati dell’inchiesta chiariscano i flussi di dati tra le casse interessate e il fornitore.

Lobsiger ha definito «reale» la minaccia rappresentata dall’intelligenza artificiale, indicando al contempo l’errore umano come punto debole nella stragrande maggioranza degli attacchi segnalati. La sua valutazione affianca le prassi del personale alle difese tecniche nel quadro dei rischi per la sicurezza dei dati delineato dall’Incaricato.

L’Incaricato ha inoltre sottolineato alcune misure di protezione pratiche per le organizzazioni che trattano dati interconnessi. Dovrebbero trasmettere soltanto le informazioni strettamente necessarie e, ove possibile, utilizzare dati di test anonimizzati. Queste misure sono pertinenti per le casse pensioni e i loro fornitori tecnologici, mentre gli inquirenti esaminano i trasferimenti coinvolti nel caso PK Softech.

Per gli istituti svizzeri, le due questioni convergono: l’aumento degli incidenti di sicurezza segnalati e un’inchiesta formale sui dati sottratti alle casse pensioni. L’indagine dell’Incaricato potrebbe in seguito includere organi federali e le casse stesse. Si prevede che chiarisca quali dati siano stati messi a disposizione di PK Softech, quali regole disciplinassero i trasferimenti e l’entità del furto. Nel frattempo, le osservazioni di Lobsiger sottolineano che la gestione dei rischi deve considerare sia il modo in cui le persone trattano i dati sia i sistemi attraverso cui questi circolano.