Cerca Ho subito un attacco Consulenza Menu
Ho subito un attacco
Per me Panoramica: Per me
Per le aziende Panoramica: Per le aziende
Costi e confronto Panoramica: Costi e confronto
Situazione in Svizzera Panoramica: Situazione in Svizzera

Associazione e fondazione: cosa può succedere, e chi paga?

limitato 7 posizioni di costo su 11 di regola coperte

5 casi tipici con scontrino: quanto costano e quale posizione paga di solito l’assicurazione cyber. Secondo le nostre ricerche, va considerato in particolare «Il cassiere paga su e-mail del «presidente»» (probabilità alta).

Stato al

Associazione1. Il cassiere paga su e-mail del «presidente»13. Fattura per le maglie intercettata34. Lista dei soci con date di nascita pubblicata42. Account Instagram dell’associazione violato25. Fondazione cifrata, dati nel darknet5

Il cassiere paga su e-mail del «presidente»

Fattura per le maglie intercettata

Lista dei soci con date di nascita pubblicata

Account Instagram dell’associazione violato

Fondazione cifrata, dati nel darknet

Tocchi un numero: porta allo scenario.

In questa pagina
  1. Scenari
  2. Un giorno chiuso
  3. In rete
  4. Casi reali

5 scenari, 5 scontrini

  1. Il cassiere paga su e-mail del «presidente»
  2. Account Instagram dell’associazione violato
  3. Fattura per le maglie intercettata
  4. Lista dei soci con date di nascita pubblicata
  5. Fondazione cifrata, dati nel darknet

1Il cassiere paga su e-mail del «presidente»

Scontrino

Associazione e fondazione

Tocchi una riga per la motivazione

  • Importo bonificato CHF 500–5'000 opzionale

    Molte associazioni non hanno una polizza cyber; i prodotti per PMI sono orientati alle imprese. In Germania ha pagato un’assicurazione di responsabilità civile per danni patrimoniali dell’associazione. Calcolo: Casi di confronto DE: EUR 1'900–3'850.

Pagato di solito dalla polizza cyber
niente
Incerto o solo con un complemento
CHF 500–5'000
Resta di solito all’azienda
niente

Probabilità alta

Il cassiere riceve dal presunto presidente la richiesta di pagare una fattura per scarpe sportive. Bonifica CHF 2'800.

Come si svolge

Punto d’ingresso: E-mail falsificata con nomi presi dal sito web dell’associazione

Cosa cambia l’IA: L’IA scrive e-mail di phishing senza errori, su misura per la persona, in un tedesco vicino al dialetto; il vecchio segnale d’allarme «tedesco scorretto» viene meno. Secondo IBM nel 2025 gli aggressori hanno usato l’IA nel 16 % delle violazioni dei dati, per lo più per il phishing.

Perché alta? UFCS: numerose segnalazioni contro chiese, scuole, associazioni e partiti (dicembre 2024); caso di un’associazione sportiva 2022.

Cosa previene

  • Pagamenti solo con giustificativo e autorizzazione di due membri del comitato.
  • Sul sito web solo indirizzi di funzione invece di nomi di persone.
  • Richiamata al presidente.
Insidie nelle condizioni

Moduli: Truffa con istruzioni false

2Account Instagram dell’associazione violato

Scontrino

Associazione e fondazione

Tocchi una riga per la motivazione

  • Recuperare l’account CHF 360–1'400 coperto

    Ripristino di dati, software e sistemi nella copertura di base; collettiva Sunrise/AXA solo fino a CHF 20'000 per danni propri. Calcolo: 2–6 h × CHF 180–225/h (supporto IT PMI, orario d’ufficio)

  • Danno d’immagine nessuna cifra affidabile non coperto

    Perdita di guadagno per danno d’immagine: Helvetia la esclude espressamente, AXA, Mobiliare e Zurich non la prevedono; solo Chubb come complemento. I costi PR li paga g.soforthilfe. Calcolo: Non quantificabile.

Pagato di solito dalla polizza cyber
CHF 360–1'400
Incerto o solo con un complemento
niente
Resta di solito all’azienda
1 voce senza importo

Probabilità alta

Dopo un phishing gli autori prendono il controllo dell’account Instagram e pubblicano pubblicità di criptovalute.

Come si svolge

Punto d’ingresso: Phishing

Cosa cambia l’IA: L’IA genera testi pubblicitari e immagini.

Perché alta? Casi UFCS di account violati.

Cosa previene

  • Autenticazione a due fattori.
  • Almeno due admin.
  • Dati di recupero aggiornati.
Insidie nelle condizioni

Moduli: Ripristinare dati e sistemi, Danno d’immagine

3Fattura per le maglie intercettata

Scontrino

Associazione e fondazione

Tocchi una riga per la motivazione

  • Pagamento anticipato CHF 1'000–5'000 opzionale

    Solo come complemento (AXA A6, Mobiliare B8, Zurich Premium) o con sottolimite (Helvetia CHF 30'000–100'000); quasi sempre obbligo di richiamata in caso di nuove coordinate bancarie. Calcolo: Caso di confronto: EUR 2'848.

Pagato di solito dalla polizza cyber
niente
Incerto o solo con un complemento
CHF 1'000–5'000
Resta di solito all’azienda
niente

Probabilità media

La fattura del fornitore viene intercettata durante l’invio e le coordinate bancarie modificate; l’associazione paga in anticipo, le maglie non arrivano mai.

Come si svolge

Punto d’ingresso: Fattura manipolata

Cosa cambia l’IA: L’IA scrive e-mail di phishing senza errori, su misura per la persona, in un tedesco vicino al dialetto; il vecchio segnale d’allarme «tedesco scorretto» viene meno. Secondo IBM nel 2025 gli aggressori hanno usato l’IA nel 16 % delle violazioni dei dati, per lo più per il phishing.

Perché media? Documentato in Germania (2024), l’assicurazione ha pagato.

Cosa previene

  • Confermare l’IBAN per telefono.
  • Nessun pagamento anticipato con nuovi fornitori.
  • Due firme.
Insidie nelle condizioni

Moduli: Truffa con istruzioni false

4Lista dei soci con date di nascita pubblicata

Scontrino

Associazione e fondazione

Tocchi una riga per la motivazione

  • Avvocato: obblighi di notifica secondo la LPD, informazione delle persone interessate, difesa contro le pretese CHF 500–2'800 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 2–8 h × CHF 250–350/h (tariffa d’avvocato in Svizzera)

  • Notifica ai soci per lettera (solo affrancatura) CHF 100–2'400 coperto

    Informazione delle persone interessate nella copertura di base; per lo più è necessario il consenso preventivo dell’assicuratore. Calcolo: 100–2'000 lettere × CHF 1.00–1.20 (posta B/A 2026); stampa, busta e preparazione degli indirizzi non trovate, si aggiungerebbero

Pagato di solito dalla polizza cyber
CHF 600–5'200
Incerto o solo con un complemento
niente
Resta di solito all’azienda
niente

Probabilità media

Una lista dei soci con indirizzi e date di nascita si trova in una cartella cloud aperta e viene trovata.

Come si svolge

Punto d’ingresso: Cartella condivisa in modo errato

Cosa cambia l’IA: La ricerca con IA trova più rapidamente i documenti aperti.

Perché media? Errore di utilizzo frequente (ipotesi).

Cosa previene

  • Verificare ogni anno le condivisioni.
  • Solo i dati necessari.
  • Designare una persona responsabile dei dati.
Insidie nelle condizioni
  • Errori di utilizzo senza attacco: AXA assicura solo attacchi intenzionali; Mobiliare (interruzione dell’attività solo con complemento), Zurich (Optimum/Premium) e Helvetia (elenco esaustivo) coprono gli errori per negligenza del personale.
    Dove sta scritto?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. E2, S. 16

    «Ein Cyber-Eigenschaden-Ereignis ist ein vorsätzlicher, schädigender Angriff durch Dritte oder durch versicherte Personen»

    Aprire il documento: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (si apre in una nuova finestra), consultato il 06.11.2026

  • Obbligo di notifica: una violazione della sicurezza dei dati che comporta presumibilmente un rischio elevato va notificata all’IFPDT il più rapidamente possibile (art. 24 LPD). Concordare prima con l’assicuratore l’informazione delle persone interessate e le PR (AXA, Helvetia), altrimenti nascono controversie sui costi.
    Dove sta scritto?

    Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)

    Aprire il documento: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (si apre in una nuova finestra), consultato il 06.11.2026

Moduli: Aiuto immediato in caso di emergenza, Informare le persone interessate

5Fondazione cifrata, dati nel darknet

Scontrino

Associazione e fondazione

Tocchi una riga per la motivazione

  • Forensica IT e incident response (analisi, contenimento, conservazione delle prove) CHF 5'000–24'000 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 20–60 h × CHF 250–400/h (fascia di mercato incident response)

  • Fornitore IT: pulizia, ricostruzione, ripristino del backup CHF 3'600–13'500 coperto

    Ripristino di dati, software e sistemi nella copertura di base; collettiva Sunrise/AXA solo fino a CHF 20'000 per danni propri. Calcolo: 20–60 h × CHF 180–225/h (supporto IT PMI, orario d’ufficio)

  • Avvocato: obblighi di notifica secondo la LPD, informazione delle persone interessate, difesa contro le pretese CHF 2'500–10'500 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 10–30 h × CHF 250–350/h (tariffa d’avvocato in Svizzera)

  • Notifica alle persone interessate per lettera (solo affrancatura) CHF 500–6'000 coperto

    Informazione delle persone interessate nella copertura di base; per lo più è necessario il consenso preventivo dell’assicuratore. Calcolo: 500–5'000 lettere × CHF 1.00–1.20 (posta B/A 2026); stampa, busta e preparazione degli indirizzi non trovate, si aggiungerebbero

  • Interruzione CHF 7'100–23'800 limitato

    Valore AFC per le associazioni poco significativo. Calcolo: 3–10 giorni × circa CHF 11'900 di fatturato/giorno × 20 % (statistica IVA AFC 2024, media delle imprese assoggettate all’IVA; le piccole imprese si situano più in basso)

Pagato di solito dalla polizza cyber
CHF 11'600–54'000
Incerto o solo con un complemento
CHF 7'100–23'800
Resta di solito all’azienda
niente

Probabilità media

Una fondazione non profit è vittima di un ransomware; dati di partner, tra cui uffici federali, finiscono nel darknet.

Come si svolge

Punto d’ingresso: Ransomware

Cosa cambia l’IA: L’IA accelera la scoperta di lacune aperte (router, VPN, manutenzione remota) e la redazione di e-mail di estorsione; il tempo tra la pubblicazione di una lacuna e l’attacco si accorcia, il termine per le patch degli assicuratori (14 o 30 giorni) diventa stretto.

Perché media? Caso reale Fondazione Radix (2025).

Cosa previene

  • Backup offline.
  • Autenticazione a due fattori.
  • Dati dei partner separati.
Insidie nelle condizioni
  • Obbligo di backup: AXA e Mobiliare richiedono almeno settimanalmente una copia separata dalla rete, Zurich ogni 7 giorni, Helvetia quotidianamente con controllo del funzionamento. Se manca, l’assicuratore riduce la prestazione; per AXA, senza backup utilizzabile, solo i costi dell’accertamento.
    Dove sta scritto?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. C3 und C5, S. 14

    «keine verwendbare Datensicherung vorhanden ist, so sind nur die Kosten zur Feststellung dieses Sachverhalts gedeckt»

    Aprire il documento: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (si apre in una nuova finestra), consultato il 06.11.2026

  • Obbligo di notifica: una violazione della sicurezza dei dati che comporta presumibilmente un rischio elevato va notificata all’IFPDT il più rapidamente possibile (art. 24 LPD). Concordare prima con l’assicuratore l’informazione delle persone interessate e le PR (AXA, Helvetia), altrimenti nascono controversie sui costi.
    Dove sta scritto?

    Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)

    Aprire il documento: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (si apre in una nuova finestra), consultato il 06.11.2026

Moduli: Aiuto immediato in caso di emergenza, Ripristinare dati e sistemi, Informare le persone interessate, Perdita di guadagno dopo un attacco

Fasce per una piccola o media azienda, non una prestazione assicurativa. Si aggiungono franchigia, somme e sottolimiti. Le barre di tutti gli scontrini hanno la stessa scala.

Panoramica secondo le condizioni pubbliche, stato al 06.11.2026. Fanno fede soltanto la sua polizza e le relative condizioni generali di assicurazione (CGA). Nessuna promessa di copertura.

Quanto costa un giorno di fermo

CHF 11'900 Fatturato medio al giorno; la sua azienda può essere più piccola.

Da dove vengono le cifre

Media delle imprese assoggettate all’IVA (AFC 2024); le piccole imprese si situano più in basso. È assicurata solo la perdita di guadagno dopo il periodo di attesa (fatturato meno costi risparmiati o EBITDA). Affidabilità: debole.

Periodo di attesa: perdita di guadagno solo dopo 12 ore (AXA; Mobiliare solo con complemento B4) o 24 ore (Helvetia); per Zurich solo in Optimum/Premium, periodo di attesa secondo la polizza. Un’interruzione inferiore al periodo di attesa resta a carico dell’impresa.

Cosa è collegato in rete in azienda

Casi reali

  • Svizzera · 01.2022

    Associazione sportiva (anonima)

    I truffatori si sono informati in anticipo su un’associazione sportiva e hanno scritto al cassiere a nome del presidente.

  • Svizzera · 12.2024

    Chiese, scuole, associazioni e partiti (anonimi)

    Nel dicembre 2024 l’UFCS ha ricevuto numerose segnalazioni di truffa del CEO contro chiese, scuole, associazioni e partiti, i cui siti web mostrano molti nomi e funzioni.

  • Svizzera · 04.2022

    Museo (anonimo)

    Tramite il Facebook Business Manager un museo ha ricevuto un presunto messaggio dell’«Instagram Copyright Help Center» per una violazione del diritto d’autore.

Altri 4 casi e casi esemplari

  • Svizzera · 06.2025

    Fondazione Radix

    Nel giugno 2025 la fondazione non profit per la promozione della salute è stata vittima di un attacco ransomware: i dati sono stati sottratti, cifrati e poi pubblicati nel darknet.

  • GermaniaEstero: Germania

    Associazione sportiva con gruppo di corsa (anonima)

    L’associazione ha ordinato delle maglie e ha pagato la fattura in anticipo.

  • GermaniaEstero: Germania

    Associazione sportiva (anonima)

    Tramite l’account e-mail violato del presidente la cassiera ha ricevuto una fattura falsificata per attrezzi fitness.

  • GermaniaEstero: Germania

    Associazione (anonima)

    Un presunto collaboratore della Sparkasse ha chiamato il cassiere e lo ha indotto a rivelare numeri TAN.

Tre strade per proseguire