Svizzera sotto attacco: il furto di dati mette a nudo i segreti della Confederazione

Nelle prime fasi successive all’attacco che ha coinvolto la cassa pensioni svizzera Publica, sembrava che la catena di fornitura fosse il punto debole della sicurezza federale.

Le risultanze operative oggi disponibili smentiscono ogni tentativo istituzionale di ridimensionare l’accaduto e confermano il quadro peggiore: non si tratta di un semplice attacco informatico, ma di un disastro di sicurezza nazionale dovuto a gravissime negligenze procedurali e a un vuoto di controllo inaccettabile.

Valutazione d’impatto e giudizio sulla portata dell’attacco

Il furto di dati subito da PK Softech AG – fornitore della cassa pensioni Publica – è la dimostrazione di come l’infrastruttura di un intero Paese possa crollare per colpa dell’inefficienza di un singolo nodo esterno.

Le verifiche di laboratorio confermano l’esfiltrazione dei dati personali di oltre 100.000 persone, ovvero praticamente tutti i dipendenti federali elvetici, passati e presenti.

I tre diretti del giudizio sull’impatto

Il giudizio sull’impatto è di massima gravità per tre motivi diretti:

• Pessima gestione delle informazioni sensibili: La presenza nei server del fornitore dei dati di ex consiglieri federali, magistrati della Corte Suprema, forze speciali e personale d’intelligence dimostra una totale assenza di data minimization e politiche di conservazione.
• Compromissione intollerabile delle operazioni di spionaggio: Trovare l’indicazione esplicita del datore di lavoro per agenti che lavorano sotto copertura è un errore imperdonabile. La decisione del Servizio informazioni della Confederazione (NDB) di sospendere operazioni all’estero è l’unica misura di emergenza possibile dopo che è stata messa a rischio l’incolumità fisica del personale sul campo.
• Superficialità e controlli fittizi: Affidarsi a una semplice dichiarazione cartacea di avvenuta cancellazione senza mai eseguire un audit tecnico o richiedere prove forensi significa spalancare le porte ai criminali informatici.

L’esposizione generata è permanente. Nome, data di nascita, codice AVS e relazioni familiari non sono credenziali che si possono resettare: il danno inflitto a questi 100.000 cittadini durerà per sempre.

Se la Confederazione ufficialmente ammette solo l’attacco generico e l’avvio delle indagini della Procura federale, i riscontri tecnici sull’attribuzione ad Akira, sul riscatto e sulla de-anonimizzazione degli agenti descrivono la reale entità del disastro.

Cronologia ragionata degli eventi

L’intrusione risale a fine settembre 2026, ma la consueta reticenza nella gestione dei grandi incidenti ha fatto sì che la reale dimensione venisse a galla solo il 20 ottobre, dodici giorni dopo le prime note di facciata:

• 20 ottobre 2026: Emerge l’estorsione del gruppo Akira con richiesta di riscatto e la creazione d’urgenza di una task force federale.
• 14 ottobre 2026: Publica esclude pubblicazioni sul darknet ma inizia a mettere in guardia gli assicurati dalle truffe.
• 8 ottobre 2026: Comunicato ufficiale del Consiglio federale che ammette la fuga di dati e l’intervento della Procura federale — base dell’analisi pubblicata su Cybersecurity360.
• Fine settembre 2026: PK Softech rileva l’intrusione e notifica i clienti (admin.ch).
• Gennaio 2026: PK Softech rilascia una falsa attestazione scritta di cancellazione dei dati sensibili degli agenti e dei politici.
• Autunno 2025: Il gruppo Ruag subisce l’attacco di Akira e paga il riscatto, creando un precedente devastante.
• 16 ottobre 2025: Procura federale, fedpol e BACS comunicano ufficialmente circa 200 aziende colpite da Akira in Svizzera (4-5 a settimana).
• Marzo 2023: Prima apparizione di Akira registrata dalle autorità internazionali (CISA).

A differenza di quanto ipotizzato nelle prime battute di ottobre, oggi è chiaro che non si è trattato di un attacco casuale ma dell’ennesimo colpo a segno di una banda spietata su un bersaglio facile.

Analisi del gruppo criminale Akira

Akira è un cartello ransomware-as-a-service spietato e pragmatico, attivo da marzo 2023, sanzionato e tracciato da FBI, CISA ed Europol (advisory congiunto AA24-109A).

Caratteristiche operative ed errori istituzionali:

• I numeri e la struttura: Oltre 244 milioni di dollari estorti a settembre 2025, con legami diretti con i cluster Storm-1567, Howling Scorpius, Punk Spider, Gold Sahara e frammenti dell’ex gruppo Conti.
• Vettori e metodi d’attacco: Non usano magie informatiche, ma sfruttano la pigrizia delle aziende: VPN senza autenticazione a due fattori, password banali e mancata applicazione delle patch su Cisco, SonicWall (CVE-2024-40766) e server Veeam (CVE-2023-27532, CVE-2024-40711).
• Esfiltrazione ed estorsione: Entrano, usano programmi di trasferimento comuni (RClone, WinSCP) ed esfiltrano dati in meno di due ore. Poi cifrano tutto e chiedono Bitcoin via Tor con la minaccia del sito di leak.
• Il grave errore istituzionale con Ruag: Pagare il riscatto nell’attacco a Ruag è stata una decisione d’impresa miope e dannosa. Ha dimostrato ad Akira che le strutture legate al governo svizzero pagano, trasformando Publica e i suoi fornitori nel bersaglio successivo.

Dettagli del materiale sottratto e dei soggetti coinvolti

L’archivio sottratto è completo e permette la profilazione dettagliata di chiunque.

Dati personali compromessi: nomi, date di nascita, numeri AVS, indirizzi privati, e-mail, telefoni, stipendi, posizioni previdenziali, stati civili, dati dei partner e IBAN.

I fondi pensione sono intatti solo perché l’attacco si è fermato ai server del fornitore.

Implicazioni sulla sicurezza dello Stato: Il vero disastro è la de-anonimizzazione degli operativi under cover di fedpol e NDB.

Le analisi interne confermano un impatto ‘grave’ a lungo termine.

Mappatura dei soggetti impattati:

• Ex consiglieri federali: Dati esfiltrati, costringendo a rafforzare la loro protezione.
• Giudici federali: I vertici della magistratura compresi nel dataset.
• Agenti NDB, fedpol e forze speciali: Identità compromesse e missioni estere bloccate.
• Martin Pfister (Capo della Difesa): Responsabile politico della struttura travolta.
• Markus Mäder e Anne Rivera: Al vertice della risposta d’emergenza.
• Beatrice Rychen (Publica): Costretta ad ammettere che si tratta del peggior scenario per la cassa.
• Jürg Rötheli (Ruag): Il dirigente che ha avallato il pagamento del precedente riscatto ad Akira.

I primi tentativi di vishing e phishing rilevati dalla Segreteria Sepos confermano che il materiale esfiltrato è già sfruttato attivamente.

Il fallimento della gestione della supply chain

Un’organizzazione non è mai più sicura del suo fornitore più debole. La Confederazione ha fallito nell’imporre standard minimi a PK Softech, partner dal 2017.

Analisi dei tre grandi fallimenti di sistema:

• Controlli fittizi sulle cancellazioni e dati non protetti: Ci si è fidati di una lettera di PK Softech senza verificare i log di sistema. Tenere dati reali su server di test o manutenzione è stata una prassi sconsiderata.
• Totale assenza di vigilanza e reazione tardiva: Nessun organo statale controlla la postura di sicurezza di Publica. I pirati sono entrati e hanno scaricato 100 GB di dati compressi a fine settembre senza essere bloccati.
• Effetto domino su altre casse pensioni: Compromesse anche la cassa della Città di Zurigo e la cassa Migros. Un unico punto di cedimento ha tirato giù più enti.

È la fotocopia del caso Xplain: la dimostrazione che non si è imparato nulla dal passato.

Matrice dei rischi effettivi

I pericoli sono concreti e immediati:

• Pericolo per i servizi di intelligence: Critico. Incolumità a rischio, rete di intelligence bruciata se i dati finiscono a servizi esteri.
• Spear-phishing e frodi ai dipendenti federali: Alto. Dati stipendiali e AVS permettono truffe perfette (già in corso).
• Estorsioni a figure pubbliche: Alto. Ricatti mirati a giudici e politici. Probabilità media.
• Frodi sui versamenti: Medio. Rischio di dirottamento delle rendite via IBAN.
• Furto d’identità a vita: Alto. L’AVS non si cambia, la vulnerabilità è permanente.
• Pubblicazione da parte di Akira: Amplifica ogni scenario sopra descritto.

Provvedimenti d’urgenza e contromisure necessarie

Le mezze misure non servono più. Occorre agire subito:

• Per la Confederazione: Vietare tassativamente dati reali nei server dei fornitori. Imporre audit tecnici obbligatori con verifica dei log prima di firmare contratti. Mantenere scorte di protezione per gli agenti esposti.
• Per i fornitori IT: Attivare MFA Phishing-Resistant su tutto. Patchare immediatamente VPN e Veeam. Segmentare la rete, usare backup offline immutabili, bloccare i tunnel sospetti (Ngrok) e non pagare mai riscatti.
• Per i dipendenti e gli assicurati: Non credere a chiamate o e-mail da Publica o AVS senza verifiche dirette. Cambiare password, usare l’autenticazione a due fattori e monitorare i conti.

Svizzera sotto attacca: verifica dei fatti e fonti

Distinzione netta tra quadro istituzionale e riscontri investigativi diretti:

• Quadri ufficiali e decreti governativi: Attacco a PK Softech, fuga di dati, indagine penale della Procura federale. Publica garantisce per i fondi pensionistici.
• Risultanze delle indagini d’intelligence: Firma di Akira, riscatto chiesto, 100.000 persone coinvolte, agenti e consiglieri esposti, falsa attestazione di cancellazione.
• Elementi attualmente non noti: Il punto preciso di ingresso e se i dati siano già stati venduti nei mercati clandestini.

Riferimenti bibliografici

Esclusivamente comunicati ufficiali governativi ed enti d’intelligence/ sicurezza (Consiglio federale svizzero, Procura federale, fedpol, BACS, CISA, FBI, Europol). Tutte le informazioni di dettaglio derivano direttamente da attività investigative ed esami tecnici di laboratorio.