eAutoIndex: Dati dei detentori di veicoli consultati in cinque Cantoni
Falla di sicurezza nel servizio online – Le autorità indagano in cinque Cantoni
A metà agosto, sul portale online «eAutoIndex», sono stati consultati automaticamente grandi volumi di dati dei detentori di veicoli da cinque Cantoni. Sono interessati Argovia, Lucerna, Sciaffusa, Vaud e Zugo. I Cantoni avvertono di possibili tentativi di frode e hanno sporto denuncia o annunciato misure pertinenti.
Le informazioni consultate riguardano dati in linea di principio pubblicamente accessibili: numero di targa, nome e indirizzo dei detentori di veicoli. Le persone che avevano bloccato la divulgazione pubblica dei propri dati non sono state interessate, secondo le conoscenze attuali.
Meccanismi di protezione elusi
Particolarmente sensibile non è solo la quantità di dati interrogati, ma anche la modalità di accesso. Secondo le conoscenze attuali, la consultazione è avvenuta tramite un'interfaccia tecnica. Sono stati elusi meccanismi di protezione che limitano il numero di interrogazioni tramite eAutoIndex.
L'azienda responsabile del funzionamento ha introdotto ulteriori restrizioni tecniche di accesso dopo la scoperta dell'incidente e sta valutando ulteriori misure. Chi sia dietro alle consultazioni automatizzate e con quale obiettivo i dati siano stati raccolti è oggetto di ulteriori indagini.
I Cantoni finora non hanno quantificato pubblicamente l'entità dei dati consultati. È chiaro, tuttavia: non si trattava di singole interrogazioni, ma di una raccolta automatizzata di dati dei detentori da cinque Cantoni.
Tentativi di estorsione dopo la consultazione dei dati
L'incidente ha già raggiunto un'ulteriore dimensione. Si sono verificati tentativi di estorsione nei confronti del gestore di eAutoIndex e del Cantone di Vaud. I cinque Cantoni interessati hanno pertanto già sporto denuncia o intendono farlo.
I Cantoni avvertono in particolare che le informazioni raccolte potrebbero essere utilizzate per tentativi di frode. Sono ipotizzabili, ad esempio, richieste di pagamento apparentemente autentiche per presunte multe, tasse, controlli dei veicoli a motore o pedaggi stranieri.
Le autorità raccomandano pertanto di esaminare con particolare attenzione lettere, e-mail o SMS inattesi. La prudenza è d'obbligo soprattutto quando viene richiesto un pagamento sotto pressione temporale o si è invitati a inserire dati personali o finanziari tramite un link.
I dati erano fondamentalmente pubblici
Il caso è speciale anche perché non sono stati sottratti dati segreti di registro. Le informazioni interessate possono, secondo la legge vigente, essere fondamentalmente accessibili al pubblico. La legge sulla circolazione stradale consente ai Cantoni di divulgare nome e indirizzo dei detentori di veicoli, a condizione che non vi sia un blocco delle informazioni.
Ciò non significa, tuttavia, che una raccolta automatizzata di massa di queste informazioni sia priva di problemi. Una singola informazione sul detentore e la compilazione sistematica di grandi banche dati sono processi diversi. È proprio qui che i Cantoni vedono un possibile rischio di abuso.
I registri dei veicoli sono organizzati a livello cantonale
La responsabilità per i registri dei veicoli in Svizzera spetta ai Cantoni. La consultazione online avviene tramite sistemi diversi a seconda del Cantone. eAutoIndex funge da piattaforma per le informazioni elettroniche sui detentori; ad esempio, il Cantone di Berna rimanda direttamente a eAutoIndex per la sua interrogazione online.
L'incidente attuale mostra quindi anche una particolarità del sistema svizzero: i dati e i requisiti legali per la loro pubblicazione sono organizzati a livello cantonale, mentre le piattaforme digitali possono collegare più Cantoni tra loro.
Cosa possono fare ora gli interessati
Chi non desidera che nome e indirizzo siano interrogabili pubblicamente tramite l'indice automobilistico può, in linea di principio, far bloccare gratuitamente la divulgazione dei dati del detentore presso l'Ufficio della circolazione competente. I cinque Cantoni interessati sottolineano espressamente questa possibilità.
Un blocco già in atto protegge i dati da un'interrogazione pubblica. Nel caso attuale, secondo le autorità cantonali, non sono state interessate proprio quelle informazioni che erano già state bloccate per la divulgazione pubblica.
Per tutti gli altri, è attualmente richiesta maggiore attenzione. Chi riceve una fattura o una richiesta di pagamento inaspettata non dovrebbe rispondere tramite il link in essa contenuto. È più sicuro contattare l'autorità competente direttamente tramite il suo sito web ufficiale o il numero di telefono.
Le autorità per la protezione dei dati osservano il caso
L'incidente solleva anche questioni relative alla protezione dei dati. La Legge svizzera sulla protezione dei dati obbliga i responsabili, in determinate circostanze, a segnalare le violazioni della sicurezza dei dati all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Tale segnalazione è prescritta in particolare quando una violazione può presumibilmente comportare un rischio elevato per la personalità o i diritti fondamentali delle persone interessate.
Non è possibile valutare in modo conclusivo, in base alle informazioni finora pubblicate, se e in quale misura una tale segnalazione sia stata effettuata in relazione all'eAutoIndex.
La questione cruciale è l'abuso
Il caso attuale evidenzia un problema fondamentale dei registri digitali: i dati possono essere legalmente accessibili al pubblico e, ciononostante, essere raccolti su vasta scala per uno scopo che le persone interessate difficilmente si aspettano.
È ancora aperto chi sia dietro le consultazioni automatizzate e cosa sia successo ai dati raccolti. I tentativi di estorsione dimostrano tuttavia già che esiste un rischio di abuso.
Per i Cantoni, pertanto, non dovrebbe essere solo la questione di chi abbia consultato i dati al centro dell'attenzione. Devono anche chiarire se i meccanismi di protezione tecnici fossero sufficienti e come si possano prevenire futuri accessi di massa automatizzati simili.
Il caso è quindi più di un semplice guasto tecnico. Pone la questione di quanto i dati pubblici dovrebbero effettivamente rimanere pubblici quando i sistemi moderni consentono di creare in breve tempo ampie raccolte di dati.
Fonti
- SRF: «eAutoIndex» – Consultazione dati: Detentori di veicoli coinvolti in cinque Cantoni, 28 agosto 2026
- Cantone di Zugo / Comunicato congiunto dei cinque Cantoni: Flusso di dati dei detentori di veicoli, 28 agosto 2026
- IFPDT: Guida Data Breach
- IFPDT: Segnalazione di violazioni della sicurezza dei dati
- Cantone di Berna: Informazioni sui detentori di veicoli
- Cantone di Argovia: Dati dei detentori e blocco delle informazioni
