Attacco informatico a PK Softech: coinvolti anche i dati dei test
La Cassa pensione della città di Zurigo ha trasmesso dati in vista di un futuro cambio di sistema. Publica e la Bernische Pensionskasse stanno ancora verificando quali dati dei loro assicurati siano fuoriusciti.
L'attacco informatico a PK Softech mostra quanto lontano possa arrivare un rischio legato ai dati già prima dell'avvio di un nuovo software. La Cassa pensione della città di Zurigo (PKZH) aveva trasmesso al fornitore dati personali per i test. Nelle sue attuali domande e risposte parla di dati sottratti anche ad assicurati e beneficiari di rendita della PKZH. Secondo il suo aggiornamento del 20 ottobre 2026 non è ancora chiarito in modo definitivo quali informazioni e quali persone siano concretamente interessate.
Restano quindi due questioni affiancate: dall'infrastruttura del fornitore sono fuoriusciti dati. Ciò non significa però che siano stati rubati tutti i dossier di tutti i clienti collegati o futuri. Proprio questa distinzione è decisiva per valutare il numero crescente di casse pensione menzionate.
L'attacco ha colpito il fornitore
PK Softech ha comunicato che, alla fine di settembre, ignoti si sono procurati con un software malevolo l'accesso a una parte della sua infrastruttura IT. L'azienda ha isolato dalla rete l'ambiente interessato, ha chiamato specialisti esterni e ha sporto denuncia penale. Dal 2 ottobre è di nuovo a piena disposizione dei suoi clienti. Il tipo e l'entità della fuga di dati sono oggetto di indagine.
L'8 ottobre la Confederazione ha confermato una fuga di dati presso il fornitore di software esterno di Publica. Il Ministero pubblico della Confederazione sta indagando. La comunicazione non indica però né un numero definitivo di persone interessate né l'insieme dei dati sottratti. Il ripristino dell'operatività non risponde a queste domande.
Perché i dati di test non sono un dettaglio
La PKZH utilizza attualmente un altro sistema di gestione. Il passaggio a PK Softech è previsto per l'inizio del 2027. I dati trasmessi dovevano servire a verificare se il futuro portafoglio viene ripreso in modo completo e corretto.
La cassa giustifica il test con la necessità di riprodurre fedelmente i rapporti previdenziali e rinvia a misure contrattuali di protezione dei dati e di riservatezza. È in corso di verifica se il fornitore abbia rispettato i suoi obblighi di protezione. Il solo episodio non consente ancora un giudizio in merito. Esso rende però evidente che anche le copie di dati al di fuori del sistema in esercizio necessitano di protezione. Guardare solo all'esercizio produttivo è quindi troppo riduttivo.
Oltre 100'000 persone potenzialmente interessate non sono un conteggio dei casi
Secondo le proprie indicazioni, Publica segue circa 70'000 persone assicurate e circa 42'000 beneficiari di rendita. Queste cifre di portafoglio illustrano la possibile portata. Non sono il numero di furti di dati comprovati. Nell'aggiornamento del 20 ottobre Publica precisa che si continua a verificare se e da parte di chi siano effettivamente fuoriusciti dei dati. Non vi sarebbero indizi di una pubblicazione nel Darkweb. L'assenza di una pubblicazione non significa che non sia avvenuto un furto.
Rapporti dei media più recenti vanno oltre: il 20 ottobre Watson ha riferito, citando ricerche del «Tages-Anzeiger», che sarebbero potenzialmente interessati i dati personali di praticamente tutti i dipendenti federali. Secondo tali informazioni i dati si troverebbero presso il gruppo di estorsione Akira. La portavoce di Publica Beatrice Rychen ha dichiarato a Watson che la cassa al momento non può confermare la portata descritta. Le indicazioni ulteriori vanno quindi classificate come rapporto dei media, non come bilancio complessivo confermato pubblicamente.
Anche la Bernische Pensionskasse (BPK) ha comunicato il 20 ottobre che il suo coinvolgimento concreto non è chiaro. Il giorno prima aveva inoltre sporto denuncia penale. Già il 15 ottobre la BPK aveva annunciato una correzione di precedenti informazioni del fornitore: secondo PK Softech bisogna ora partire dal presupposto che siano fuoriusciti dati personali; il fornitore non è in grado di indicare quali clienti siano interessati.
Riguardo al fornitore di servizi Libera, la NZZ ha riferito il 17 ottobre, citando il suo direttore Benno Ambrosini, che PK Softech ha informato Libera il 14 ottobre di una fuga di dati personali. Non è possibile né confermare né escludere che siano interessate determinate casse gestite da Libera o singoli assicurati. Anche da ciò non si può ricavare un totale affidabile.
I dati personali possono rendere credibile una truffa
Tra i dati potenzialmente interessati Publica indica nomi, numeri AVS, dati su salario e previdenza, dati del partner e IBAN. Allo stesso tempo la cassa dichiara che i suoi sistemi per la gestione degli averi e il pagamento delle rendite non sono interessati; le rendite verrebbero pagate normalmente. Pagamenti delle rendite sicuri e un rischio per i dati personali non si escludono quindi a vicenda.
L'Ufficio federale per la sicurezza informatica descrive come i truffatori sfruttino fiducia e pressione temporale per ottenere credenziali di accesso o denaro. Chi conosce dettagli personali non è per questo un mittente affidabile. Publica consiglia, in caso di chiamate inattese, di riagganciare nel dubbio e di contattare direttamente l'organizzazione tramite i suoi recapiti ufficiali. Password o codici di sicurezza non vanno comunicati in simili conversazioni.
Per gli assicurati resta importante seguire le comunicazioni della propria cassa e verificare i tentativi di contatto insoliti. Per le casse l'allarme rientrato sul fronte dei pagamenti non basta: devono chiarire quali copie di dati si trovavano presso il fornitore e quali persone sono effettivamente interessate. Solo questi risultati trasformano una possibile portata in un bilancio affidabile.
Fonti
- PK Softech: comunicazione sull'attacco informatico
- Confederazione: fuga di dati presso il fornitore di software di Publica, 8 ottobre 2026
- Cassa pensione della città di Zurigo: informazioni e domande attuali sull'attacco informatico, stato al 20 ottobre 2026
- Publica: informazioni e domande sull'attacco informatico, stato al 20 ottobre 2026
- Bernische Pensionskasse: aggiornamenti informativi sull'incidente informatico, ultimo aggiornamento 20 ottobre 2026
- Publica: cifre di portafoglio delle persone assicurate e beneficiarie di rendita
- Ufficio federale per la sicurezza informatica: riconoscere tentativi di inganno e social engineering
- Watson: rapporto su Akira e presa di posizione di Publica, aggiornato il 21 ottobre 2026
- NZZ: altre casse pensione potenzialmente interessate e presa di posizione di Libera, 17 ottobre 2026
