Ondata di attacchi informatici in Svizzera: Publica, Ricardo, hotel e il record di segnalazioni. Cosa fare se i vostri dati sono coinvolti
Nota. Questo articolo si basa sulle comunicazioni ufficiali e sulle notizie pubblicate fino al 12 ottobre 2026. Diverse indagini sono ancora in corso: alcuni dettagli potrebbero cambiare. Dove un'informazione non è stata confermata, lo indico.
Venerdì 9 ottobre ho ricevuto anch'io la mail di Ricardo che annunciava l'esposizione dei miei dati (comunicato di SMG Swiss Marketplace Group). Lo stesso giorno si è saputo che l'Ufficio federale della cibersicurezza aveva battuto il proprio record di segnalazioni settimanali (tvsvizzera.it/Keystone-ATS, Ticinonline). Il giorno prima era stata resa nota la fuga di dati dalla Cassa pensioni della Confederazione (RSI). Pochi giorni prima ancora, un'azienda aerospaziale di proprietà della Confederazione aveva confermato di essere stata colpita da un attacco mirato (swissinfo.ch).
Visti uno per uno, sono episodi di cronaca. Messi in fila, come si fa in un'indagine, raccontano qualcosa di più preciso: come vengono attaccate oggi le organizzazioni svizzere, e perché le conseguenze arrivano fino alle persone comuni.
Il fascicolo: i casi di settembre e ottobre 2026
| Data della comunicazione | Organizzazione | Che cosa è successo | Che cosa sappiamo dei dati |
|---|---|---|---|
| 6 settembre | Hotel Schweizerhof, Lenzerheide (GR) | Violazione dei sistemi di prenotazione; circa 10.000 destinatari ricevono un avviso di sicurezza | Non ancora chiaro quali dati siano stati sottratti; i clienti ricevono messaggi WhatsApp truffaldini (Ticinonline) |
| 8 settembre | CHUV, Losanna | Incidente informatico presso un laboratorio esterno specializzato nella diagnosi oncologica, probabilmente partito da una telefonata truffaldina (vishing) a un dipendente del fornitore; i sistemi del CHUV non sono stati toccati | Nome, data di nascita, dati dell'assicurazione malattia e nome del medico curante di 11 pazienti del CHUV pubblicati nel dark web; secondo l'ospedale nessun dato sanitario (comunicato del CHUV) |
| 3 ottobre | Beyond Gravity | "Attacco mirato" all'ambiente informatico; primi segnali di attività malevola il 12 agosto | Non comunicato se siano stati sottratti dati (swissinfo.ch) |
| 8 ottobre | Publica, Cassa pensioni della Confederazione | Attacco a un fornitore esterno di software, scoperto a fine settembre; fuga di dati | Numero di persone e tipo di dati non ancora noti al momento della comunicazione (RSI, tvsvizzera.it) |
| 9 ottobre | Ricardo (SMG Swiss Marketplace Group) | Una falla ha permesso l'accesso non autorizzato a dati personali; attività sospetta rilevata il 7 ottobre | Nomi, indirizzi postali e numeri di telefono di circa 890.000 account; email e password non coinvolte secondo l'azienda (comunicato SMG, bluewin.ch) |
| 9 ottobre | Ufficio federale della cibersicurezza (UFCS) | Record di 1.587 segnalazioni in una settimana | In maggioranza tentativi di phishing, truffe e messaggi indesiderati (tvsvizzera.it/Keystone-ATS, Ticinonline) |
A questi si aggiungono alcuni episodi dei mesi precedenti:
- Stadler Rail (luglio 2026): attraverso credenziali rubate, gli attaccanti sono entrati in una piattaforma di scambio dati condivisa con un fornitore. Il gruppo Everest ha chiesto un riscatto di 10 milioni di franchi; Stadler ha rifiutato di pagare, ha presentato denuncia e ha precisato che i propri sistemi non sono stati coinvolti e che non sono state sottratte informazioni sensibili (RSI).
- Ufficio federale dell'informatica (agosto 2026): circa 200 account compromessi sui server SharePoint gestiti dall'Ufficio nei centri di calcolo federali; le password sono state reimpostate e, al momento della comunicazione, non era stata rilevata alcuna fuga di dati (comunicato dell'UFIT).
- RUAG (giugno-agosto 2026): dopo un attacco ransomware dell'ottobre 2025 contro una filiale americana di RUAG MRO, l'azienda ha pagato un riscatto al gruppo Akira per recuperare i dati rubati (RSI). Il 4 agosto il Dipartimento della difesa ha concluso che il pagamento non era illegale, ma ha criticato la valutazione dei rischi politici e d'immagine e il ritardo nell'informare la Confederazione (RSI).
E una buona notizia: il 30 settembre un'operazione internazionale, a cui hanno partecipato la polizia federale (fedpol) e il Ministero pubblico della Confederazione, ha portato a tre arresti e al sequestro di cinque server del gruppo di ransomware KillSec, responsabile tra l'altro di attacchi contro diverse aziende svizzere. Sono stati recuperati almeno 110 terabyte di dati rubati (fonte: comunicato del Consiglio federale del 1° ottobre 2026). Le indagini, a volte, arrivano al bersaglio.
Che cosa hanno in comune: tre schemi ricorrenti
Schema 1: si entra dalla porta del fornitore
Il dato più evidente, guardando il fascicolo, è questo: in diversi casi l'organizzazione colpita non è stata violata direttamente.
| Organizzazione | Punto d'ingresso |
|---|---|
| Publica | Un fornitore esterno di software |
| CHUV | Un laboratorio esterno, attaccato con ogni probabilità attraverso una telefonata truffaldina a un dipendente |
| Stadler Rail | Una piattaforma di scambio dati condivisa con un fornitore, violata con credenziali rubate; i sistemi di Stadler non sono stati coinvolti |
È ciò che gli specialisti chiamano attacco alla catena di fornitura (supply chain). Un fornitore di software o di servizi lavora spesso per decine di clienti, ha accesso ai loro dati, ma raramente ha le stesse difese di una grande organizzazione pubblica o di un'azienda quotata. Per un attaccante è il punto debole ideale: un solo attacco, molte vittime.
La lezione dell'investigatore. In un'indagine patrimoniale non si guarda solo il conto principale, ma tutte le persone e le società collegate. Nella sicurezza informatica vale lo stesso principio: la vostra protezione è forte quanto quella del più debole dei vostri fornitori.
Schema 2: i dati rubati diventano truffe mirate
Il caso dell'hotel di Lenzerheide è esemplare. Dopo la violazione, i clienti hanno iniziato a ricevere messaggi WhatsApp che li invitavano a fornire dati personali e numeri di carta di credito, con l'esca di un credito di 250 franchi. L'hotel ha raccomandato di non rispondere e di non cliccare su alcun link (Ticinonline).
È lo schema che ho descritto nell'articolo sulla violazione dei dati di Ricardo: anche dati apparentemente innocui, come nome, indirizzo, telefono e il fatto di essere cliente di una certa azienda, permettono di costruire un messaggio personalizzato e credibile. Il truffatore non deve più indovinare: sa chi siete, dove abitate e con chi avete un rapporto.
Schema 3: tempi lunghi tra attacco e comunicazione
Beyond Gravity ha rilevato i primi segnali di attività malevola il 12 agosto e lo ha comunicato pubblicamente all'inizio di ottobre. L'azienda ha spiegato che, negli incidenti informatici, la precisione viene prima della velocità, e che una comunicazione anticipata avrebbe compromesso le analisi forensi in corso (swissinfo.ch).
È un dilemma reale, che conosco bene anche dalle indagini tradizionali: parlare troppo presto può avvertire chi si sta cercando e rovinare le prove; parlare troppo tardi lascia le persone esposte senza saperlo. Non esiste una regola valida per tutti i casi, ma esistono obblighi di legge (vedi più avanti) e un principio: quando i dati delle persone sono a rischio, le persone devono poter difendersi.
Il record di segnalazioni: come leggerlo correttamente
Il 9 ottobre l'Ufficio federale della cibersicurezza ha comunicato di aver ricevuto 1.587 segnalazioni volontarie in una settimana, il valore settimanale più alto almeno dall'inizio del 2025, superando il record precedente di 1.353, registrato circa un mese prima. Chi vuole verificare l'andamento settimana per settimana può consultare le statistiche ufficiali dell'UFCS, aggiornate ogni martedì (tvsvizzera.it/Keystone-ATS, Ticinonline).
Un dato del genere va letto con attenzione:
| Che cosa significa | Che cosa non significa |
|---|---|
| La pressione dei tentativi di truffa e phishing è molto alta | Che ci siano stati 1.587 attacchi riusciti |
| Più persone riconoscono i messaggi sospetti e li segnalano | Che la Svizzera sia "sotto attacco" in senso militare |
| Le notizie sulle violazioni di dati spingono le persone a fare attenzione | Che ogni segnalazione corrisponda a un danno economico |
La maggior parte delle segnalazioni riguarda tentativi di phishing, truffe e messaggi indesiderati. In altre parole: molte persone hanno riconosciuto il trucco prima di cascarci. È una buona notizia, ma anche un segnale di quanto il volume dei tentativi sia cresciuto. Diversi esperti citati dalla stampa avvertono che l'intelligenza artificiale rende sempre più facile produrre messaggi convincenti, in qualsiasi lingua e senza errori (tvsvizzera.it/Keystone-ATS, Ticinonline).
Che cosa fare se i vostri dati sono coinvolti: la guida pratica
Nelle prime 24 ore
- Verificate la comunicazione dal canale ufficiale. Se ricevete una mail o un SMS che annuncia una violazione, non cliccate sui link: aprite voi il sito o l'app dell'azienda digitando l'indirizzo, oppure chiamate il numero che trovate sul sito ufficiale.
- Capite quali dati sono coinvolti. Nome e indirizzo non sono la stessa cosa di password o dati della carta. La risposta cambia a seconda dei dati.
- Se sono coinvolte password, cambiatele subito, sul servizio colpito e su ogni altro servizio dove le avete riutilizzate.
- Se sono coinvolti dati di pagamento, contattate subito la vostra banca o l'emittente della carta.
Nelle settimane successive
| Rischio | Come si presenta | Che cosa fare |
|---|---|---|
| Phishing mirato | Email o SMS che citano l'azienda colpita, a volte con i vostri dati veri | Non cliccare; verificare sempre dal sito ufficiale |
| Truffa via WhatsApp | Offerte di "crediti", "rimborsi", "verifiche" in cambio di dati della carta | Non rispondere; bloccare e segnalare |
| Falsa telefonata | Qualcuno si presenta come banca, polizia, supporto tecnico o l'azienda colpita | Riagganciare. Non richiamare il numero da cui vi hanno chiamato e non usare numeri forniti durante la telefonata: cercate voi il numero ufficiale dell'ente che dicevano di rappresentare, sul suo sito o su un documento in vostro possesso (carta bancaria, estratto conto, contratto), e chiamate quello. Nessuno ha il diritto di chiedervi codici di accesso |
| Lettere false | Fatture o richieste di pagamento all'indirizzo di casa | Verificare con l'azienda prima di pagare |
| Furto d'identità | Account aperti a vostro nome, ordini che non avete fatto | Controllare regolarmente estratti conto e notifiche; segnalare subito anomalie |
Le difese di base, che valgono sempre
- Una password diversa per ogni servizio, conservata in un password manager.
- Autenticazione a due fattori sugli account importanti, preferendo app, chiavi di sicurezza o passkey agli SMS.
- Diffidenza verso l'urgenza. Quasi tutte le truffe vi mettono fretta: "entro 24 ore", "ultimo avviso", "il conto verrà bloccato".
Ho raccolto queste regole, passo per passo, nella guida su come creare una password sicura e attivare l'autenticazione a due fattori.
I vostri diritti
- Diritto d'accesso. La legge federale sulla protezione dei dati (art. 25) vi permette di chiedere a un'azienda quali dati personali tratta su di voi.
- Obbligo di notifica. Chi tratta i dati deve notificare all'Incaricato federale della protezione dei dati e della trasparenza le violazioni che comportano verosimilmente un rischio elevato, e informare le persone interessate quando serve a proteggerle (art. 24 LPD; si veda la guida dell'IFPDT).
- Segnalazione e denuncia. I tentativi di truffa si possono segnalare all'Ufficio federale della cibersicurezza attraverso il modulo disponibile sul suo sito. Se avete subito un danno, la competenza è della polizia: presentate denuncia e conservate messaggi, numeri e ricevute.
Per aziende e studi professionali: cinque domande da porsi oggi
| Domanda | Perché conta |
|---|---|
| Quali fornitori hanno accesso ai nostri dati, e a quali? | Molti attacchi passano da lì. Senza un inventario, non sapete nemmeno chi avvisare |
| I contratti con i fornitori prevedono obblighi di sicurezza e di notifica immediata? | In caso di incidente, ogni ora conta |
| Abbiamo l'autenticazione a più fattori su email, accessi remoti e amministrazione? | È una delle difese più efficaci contro l'uso di credenziali rubate |
| Abbiamo un piano scritto per un incidente? | Chi decide, chi comunica, chi avvisa le autorità, chi informa i clienti. Improvvisare durante una crisi costa caro |
| Il personale sa riconoscere una truffa mirata? | La maggior parte degli attacchi inizia con un messaggio ben scritto e una persona che si fida |
Ricordo inoltre che dal 1° aprile 2025 i gestori di infrastrutture critiche (tra cui autorità, energia, finanza, sanità, telecomunicazioni e trasporti) sono tenuti a segnalare gli attacchi informatici all'Ufficio federale della cibersicurezza entro 24 ore dalla scoperta, con possibili multe dal 1° ottobre 2025; sono esentate le realtà più piccole, sotto i 50 dipendenti e i 10 milioni di franchi di fatturato o di bilancio (Portale PMI della Confederazione; UFCS, obbligo di segnalazione). Le violazioni di dati personali con rischio elevato vanno inoltre notificate all'Incaricato federale della protezione dei dati.
Valutare quante informazioni sulla vostra organizzazione e sui vostri collaboratori sono pubbliche, e quanto sarebbe facile usarle per un attacco mirato, è uno dei servizi che descrivo nell'articolo su che cosa fa un analista OSINT. Per la formazione del personale sul riconoscimento delle truffe, trovate i dettagli tra i miei servizi.
In sintesi
| Domanda | Risposta |
|---|---|
| Che cosa è successo? | In poche settimane: fuga di dati da Publica attraverso un fornitore, 890.000 account Ricardo esposti, attacco mirato a Beyond Gravity, clienti di un hotel grigionese bersagliati da truffatori, record di segnalazioni all'UFCS |
| Qual è lo schema comune? | Accesso attraverso i fornitori, uso dei dati rubati per truffe mirate, tempi lunghi tra attacco e comunicazione |
| Il record di segnalazioni è un allarme? | Indica una pressione molto alta, non 1.587 attacchi riusciti |
| Che cosa devo fare se sono coinvolto? | Verificare dai canali ufficiali, non cliccare, cambiare le password riutilizzate, attivare il secondo fattore, diffidare di chi chiede dati o codici |
| E se ho subito un danno, per esempio un pagamento a un truffatore? | Prima chiamate la vostra banca o l'emittente della carta per bloccare la carta e, se possibile, il pagamento: è la cosa più urgente, perché ogni ora conta. Subito dopo presentate denuncia alla polizia, portando messaggi, numeri e ricevute |
La sicurezza informatica riguarda ormai un po' tutti, non solo gli specialisti. Questi casi mostrano che anche organizzazioni serie possono subire un incidente, spesso attraverso un fornitore. Non c'è motivo di farsi prendere dal panico: nella maggior parte dei casi bastano poche abitudini, come verificare sempre dai canali ufficiali, non avere fretta e usare password diverse con il secondo fattore, per rendere inutili i tentativi di truffa che seguono una fuga di dati.
Fonti principali: RSI e tvsvizzera.it, sulla fuga di dati da Publica e sugli altri incidenti federali (8 ottobre 2026); swissinfo.ch, su Beyond Gravity (3 ottobre 2026); bluewin.ch e comunicato di SMG Swiss Marketplace Group, su Ricardo (9 ottobre 2026); RSI, su Stadler Rail (21 luglio 2026) e su RUAG (6 giugno e 4 agosto 2026); comunicato dell'Ufficio federale dell'informatica sui server SharePoint (4 agosto 2026); comunicato del CHUV, sull'incidente presso il laboratorio esterno (8 settembre 2026); Ticinonline, sull'hotel Schweizerhof di Lenzerheide (6 settembre 2026); tvsvizzera.it (Keystone-ATS) e Ticinonline, sul record di segnalazioni all'Ufficio federale della cibersicurezza (9 ottobre 2026); comunicato del Consiglio federale sull'operazione contro KillSec (1° ottobre 2026); statistiche ufficiali delle segnalazioni volontarie dell'UFCS; legge federale sulla protezione dei dati; Portale PMI della Confederazione, sull'obbligo di segnalare i ciberattacchi alle infrastrutture critiche.
Domande frequenti
Che cosa è successo alla Cassa pensioni della Confederazione Publica?
A fine settembre 2026 un fornitore esterno di software di Publica ha subito un attacco informatico che ha causato una fuga di dati. Il fornitore ha presentato denuncia e il Ministero pubblico della Confederazione ha aperto un procedimento. Al momento delle prime comunicazioni non erano ancora noti né il numero di persone coinvolte né il tipo di dati sottratti; Publica ha informato i propri assicurati.
Ho ricevuto una comunicazione di violazione dei dati: che cosa devo fare?
Verificate la comunicazione solo attraverso i canali ufficiali dell'azienda, senza cliccare sui link ricevuti. Aspettatevi tentativi di truffa mirati via email, SMS, WhatsApp o telefono. Cambiate le password eventualmente riutilizzate, attivate l'autenticazione a due fattori, controllate gli estratti conto e non fornite mai codici o dati di pagamento a chi vi contatta.
Perché tanti attacchi colpiscono i fornitori invece delle aziende principali?
Perché un fornitore di software o di servizi ha spesso accesso ai dati di molti clienti, ma difese meno robuste di una grande organizzazione. Colpire un solo fornitore permette di raggiungere più vittime con un unico attacco. Nei casi di Publica, del CHUV e di Stadler Rail l'accesso è avvenuto proprio attraverso un fornitore esterno.
Dove si segnala un attacco informatico o un tentativo di truffa in Svizzera?
I tentativi di truffa, i messaggi sospetti e gli incidenti informatici si possono segnalare all'Ufficio federale della cibersicurezza attraverso il suo modulo online. Se avete subito un danno, per esempio un pagamento fraudolento, chiamate prima di tutto la vostra banca per bloccare la carta e, se possibile, il pagamento; subito dopo presentate denuncia alla polizia.
Il record di segnalazioni significa che gli attacchi riusciti sono aumentati?
Non necessariamente. Le 1.587 segnalazioni ricevute dall'Ufficio federale della cibersicurezza in una settimana riguardano in gran parte tentativi di phishing, truffe e messaggi indesiderati, non attacchi andati a segno. Il dato indica però una pressione molto alta e una maggiore attenzione da parte della popolazione.
Le aziende sono obbligate a comunicare una violazione dei dati?
La legge federale sulla protezione dei dati obbliga chi tratta i dati a notificare all'Incaricato federale della protezione dei dati le violazioni che comportano verosimilmente un rischio elevato per le persone interessate, e a informare queste ultime quando è necessario per proteggerle. Dal 1° aprile 2025 i gestori di infrastrutture critiche devono inoltre segnalare gli attacchi informatici all'Ufficio federale della cibersicurezza entro 24 ore dalla scoperta.