In breve: Un attacco informatico contro PK Softech AG, che fornisce software alle casse pensioni, ha probabilmente causato la fuoriuscita di dati personali di assicurati della Cassa pensioni della Confederazione PUBLICA. Il Ministero pubblico della Confederazione sta indagando. Secondo PUBLICA gli averi di previdenza sono al sicuro; il caso mostra però quanto le aziende dipendano dalla sicurezza dei loro fornitori.
L’essenziale in breve
- Attacco: a fine settembre 2026 un fornitore esterno di software di PUBLICA ha rilevato un attacco informatico; PUBLICA lo indica come PK Softech AG
- Comunicato della Confederazione: 8 ottobre 2026, «fuoriuscita di dati confermata»; il Ministero pubblico della Confederazione ha avviato un’indagine
- Dati possibilmente coinvolti (stato all’8 ottobre): nome, data di nascita, numero AVS, indirizzo, numeri di telefono e indirizzi e-mail, dati previdenziali (p. es. salario, salario assicurato, avere di previdenza), stato civile, informazioni sul coniuge o partner, IBAN
- Darkweb: secondo PUBLICA, finora nessun indizio di una pubblicazione (aggiornamenti del 14 e del 20 ottobre)
- Altri interessati: anche altre casse pensioni sono clienti di PK Softech, tra cui la cassa pensioni della Città di Zurigo (Pensionskasse Stadt Zürich, PKZH)
- Fonti: comunicato stampa della Confederazione, pagine informative di PUBLICA e PKZH
Che cosa si sa
Secondo il comunicato della Confederazione, l’azienda ha informato i servizi federali competenti, PUBLICA e altri clienti e ha sporto immediatamente denuncia penale. Secondo la Confederazione, gli altri servizi federali non intrattengono rapporti commerciali con l’azienda. Alla data delle fonti (dal 20 al 22 ottobre 2026) non era ancora stato stabilito quali persone fossero concretamente interessate; né la Confederazione né PUBLICA indicano un numero di persone coinvolte.
Secondo PUBLICA, l’incidente riguarda l’ambiente di test del fornitore, separato dal sistema previdenziale produttivo. Le rendite vengono versate normalmente e gli averi di previdenza sono al sicuro. Il 15 ottobre 2026 PUBLICA ha sporto denuncia penale contro ignoti presso il Ministero pubblico della Confederazione e ha segnalato l’incidente all’IFPDT.
Secondo le proprie indicazioni, la PKZH è stata informata il 13 ottobre 2026. I dati sarebbero stati utilizzati per test in vista di un previsto cambio di sistema; il sistema di gestione attualmente impiegato dalla PKZH non è interessato. Anche la PKZH ha sporto denuncia penale e ha segnalato l’incidente al proprio servizio per la protezione dei dati.
Che cosa dovrebbero fare le persone interessate
PUBLICA e PKZH raccomandano maggiore prudenza con chiamate, e-mail e messaggi inattesi, soprattutto se riguardano previdenza, salario o banca. Non bisogna mai comunicare le proprie credenziali, né aprire link e allegati sospetti; eventuali addebiti sconosciuti vanno segnalati subito alla banca.
Che cosa significa per le PMI svizzere?
Il caso non riguarda solo le casse pensioni. Molte PMI trasmettono dati del personale a fiduciari, fornitori di servizi salariali o di software.
- Verificare i fornitori: chi detiene quali dei vostri dati, anche in ambienti di test o di migrazione? Stabilire contrattualmente che per i test non si usino, per quanto possibile, dati reali.
- Conoscere gli obblighi di segnalazione: in caso di rischio elevato per le persone interessate occorre una segnalazione all’IFPDT il più rapidamente possibile, vedi Obbligo di segnalazione degli attacchi informatici.
- Preparare la procedura d’emergenza: guida Attacco informatico: che cosa fare? e check rischio cyber.
- Chiarire la copertura: se gli incidenti presso fornitori di servizi siano assicurati dipende dal contratto. Verificatelo nel confronto; le basi si trovano in Assicurazione cyber per PMI e Costi.