In breve: Il 16 ottobre 2025 il Ministero pubblico della Confederazione (MPC), l’Ufficio federale di polizia (fedpol) e l’Ufficio federale della cibersicurezza (UFCS) hanno messo in guardia congiuntamente dal gruppo ransomware Akira. Secondo le autorità circa 200 aziende in Svizzera ne sono state vittime, e il danno in Svizzera ammonta a diversi milioni di franchi. Con quattro-cinque casi a settimana, le autorità parlano di un record per la Svizzera.
I punti essenziali
- Data: comunicato congiunto del 16 ottobre 2025; gli attacchi oggetto del procedimento penale sono avvenuti tra maggio 2023 e settembre 2025 (fonte: comunicato dell’UFCS).
- Vittime: circa 200 aziende in Svizzera; le autorità non le nominano (fonte: comunicato dell’UFCS).
- Tipo di attacco: ransomware con doppia estorsione: i dati vengono prima rubati e poi cifrati (fonte: comunicato dell’UFCS).
- Danno: diversi milioni di franchi in Svizzera, diverse centinaia di milioni di dollari nel mondo (fonte: comunicato dell’UFCS).
- Frequenza: quattro-cinque casi a settimana, un record per la Svizzera (fonte: comunicato dell’UFCS).
- Procedimento penale: il MPC indaga contro ignoti da aprile 2024 (fonte: comunicato dell’UFCS).
Che cosa è confermato?
Secondo le autorità, Akira è comparso per la prima volta nel marzo 2023. Il gruppo utilizza software sviluppato appositamente e un’infrastruttura informatica distribuita in diversi Paesi. Pratica la cosiddetta doppia estorsione: prima ruba i dati, poi li cifra. Se il riscatto non viene pagato entro i termini, pubblica i dati sul proprio sito nel darknet (data leak site). Il pagamento avviene per lo più in bitcoin.
Da aprile 2024 il MPC conduce un procedimento penale contro ignoti per acquisizione illecita di dati (art. 143 CP), danneggiamento di dati (art. 144bis CP) nonché per estorsione e, in via sussidiaria, tentata estorsione (art. 156 CP, art. 22 in combinato disposto con l’art. 156 CP). Ha assunto diversi procedimenti cantonali relativi ad attacchi analoghi. fedpol coordina le indagini con l’UFCS e con le autorità di altri Paesi colpiti.
Le autorità presumono un numero elevato di casi non denunciati, perché le vittime pagano il riscatto o rinunciano a sporgere denuncia per timore per la propria reputazione. Secondo il comunicato, molti attacchi si possono evitare aggiornando i sistemi obsoleti e proteggendo gli accessi remoti come VPN e RDP con l’autenticazione a due fattori.
Che cosa non è noto?
- Chi è colpito: le autorità non nominano aziende e non forniscono una ripartizione per settore o dimensione. Quante delle circa 200 vittime siano PMI non è stato pubblicato.
- Danno per caso: non esistono dati ufficiali su danni, richieste di riscatto o tempi di inattività delle singole aziende.
- Pagamenti: non è noto quante vittime abbiano pagato un riscatto.
- Assicurazione: non è documentato se e come le cyberassicurazioni abbiano fornito prestazioni in questi casi.
- Stato attuale: questo caso studio si basa sul comunicato del 16 ottobre 2025. Gli sviluppi successivi del procedimento penale non sono considerati.
Che cosa significa per la cyberassicurazione
Da questa ondata di attacchi non si può dedurre alcuna garanzia di copertura. A seconda del contratto, i moduli rilevanti possono comprendere tra l’altro la risposta agli incidenti e la forensica informatica, la consulenza legale e in materia di protezione dei dati, il ripristino dei dati, l’interruzione dell’attività, i costi di notifica alle persone interessate o la comunicazione di crisi. Se e in quale misura sussista una prestazione dipende in particolare dal testo contrattuale, dai sottolimiti e dalle esclusioni, dagli obblighi di sicurezza concordati e dalla concreta gestione del sinistro.
Le autorità sconsigliano espressamente di pagare riscatti. Come un contratto tratti i casi di estorsione va verificato nel testo contrattuale. Inoltre, requisiti di sicurezza come l’autenticazione a due fattori per gli accessi remoti o aggiornamenti regolari possono far parte degli obblighi contrattuali.
Lezioni per le PMI svizzere
- Proteggere gli accessi remoti: utilizzare gli accessi VPN e RDP solo con autenticazione a due fattori e chiudere quelli non necessari.
- Mantenere aggiornati i sistemi: installare tempestivamente gli aggiornamenti di firewall, dispositivi VPN, server e client; sostituire o isolare i sistemi obsoleti.
- Testare i backup: ripristinare regolarmente i backup e conservarne almeno una copia separata dalla rete.
- Definire le misure immediate: stabilire nel piano d’emergenza chi interrompe tutte le connessioni Internet (web, e-mail, accesso remoto, VPN site-to-site), mette al sicuro i backup e scollega fisicamente i sistemi infetti.
- Contattare le autorità: contattare le autorità prima di reagire a qualsiasi richiesta di riscatto e sporgere denuncia in ogni caso.
- Prevedere il furto di dati: con la doppia estorsione un backup non impedisce la pubblicazione dei dati rubati. Sappiate dove si trovano i dati dei clienti e i dati personali.
- Verificare la polizza: chiarite quali moduli comprende la vostra cyberassicurazione, quali obblighi valgono e chi chiamare per primo in caso di sinistro.