L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha aperto il 23 ottobre 2026 un’inchiesta formale nei confronti di PK Softech. Questo fornitore di software lavora per diverse casse pensioni svizzere, tra cui la Cassa pensioni della Confederazione Publica. Dopo l’attacco informatico che ha colpito la sua infrastruttura informatica, l’Incaricato vuole sapere quali dati le casse gli avevano affidato e che cosa è stato rubato.
Che cosa ha annunciato l’Incaricato il 24 ottobre 2026
L’inchiesta riguarda direttamente l’azienda, poiché vi sono indizi di una possibile violazione delle norme sulla protezione dei dati. È quanto indica un comunicato dell’Incaricato pubblicato il 24 ottobre 2026, ripreso dall’agenzia Keystone-ATS e da SWI swissinfo.ch.
PK Softech aveva essa stessa segnalato l’attacco all’Incaricato l’8 ottobre 2026. Parlava allora di un attacco contro la sua infrastruttura informatica e di possibili violazioni della sicurezza dei dati. L’Incaricato aveva dapprima aperto, il 14 ottobre, un’indagine preliminare informale presso Publica.
| Data | Tappa |
|---|---|
| 8 ottobre 2026 | PK Softech informa l’Incaricato dell’attacco informatico |
| 14 ottobre 2026 | Indagine preliminare informale presso Publica |
| 23 ottobre 2026 | Apertura dell’inchiesta formale nei confronti di PK Softech |
| 24 ottobre 2026 | Comunicato dell’Incaricato |
Quali casse pensioni sono colpite?
Durante l’attacco informatico sono stati sottratti dati di diverse casse pensioni clienti di PK Softech. Tra queste figura Publica, come si sa da diversi giorni, e 2clics aveva già riferito della fuga di dati presso Publica.
Sono interessate anche due istituzioni bernesi: la Cassa pensioni bernese (BPK) e la Cassa d’assicurazione del corpo insegnante bernese (BLVK). Il loro caso era stato oggetto di un articolo su due casse pensioni bernesi. Secondo swissinfo.ch, le casse colpite hanno sporto denuncia.
Il 16 ottobre 2026, 2clics riferiva che un attacco contro un fornitore esterno di software aveva permesso di rubare anche dati della cassa pensioni della Città di Zurigo. Anche la cassa della Posta si diceva colpita, senza sapere se i dati dei suoi assicurati fossero compromessi. Le fonti consultate non dicono se questo fornitore sia PK Softech.
Indagine preliminare o inchiesta formale: qual è la differenza?
L’Incaricato ha proceduto in due tempi, con due obiettivi diversi. L’indagine preliminare del 14 ottobre era informale e riguardava una cassa cliente, Publica. L’inchiesta formale del 23 ottobre è rivolta al fornitore stesso, PK Softech.
Secondo il comunicato, un’inchiesta formale è diretta contro l’azienda quando vi sono indizi di una possibile violazione delle norme sulla protezione dei dati. L’Incaricato se ne attende una visione d’insieme su tre punti:
- i dati personali che le casse pensioni avevano messo a disposizione di PK Softech;
- il quadro giuridico di questi trasferimenti di dati e il modo in cui è stato applicato nella pratica;
- l’entità delle informazioni rubate.
La nostra analisi: risalendo dalla cassa cliente al suo fornitore, l’Incaricato si interessa all’intera catena di trattamento dei dati. La questione non è soltanto sapere chi è stato attaccato, ma anche che cosa era stato trasmesso, e su quale base.
Che cosa cambia l’attacco informatico per gli assicurati del 2° pilastro
Per il momento, nessuna fonte dice quali dati precisi siano stati rubati presso PK Softech. L’inchiesta dell’Incaricato deve appunto stabilirlo. Gli assicurati di Publica, della BPK e della BLVK non hanno quindi ancora una risposta chiara.
Il caso zurighese dà un’idea di ciò che una cassa può affidare a un fornitore di software. Nello scenario più sfavorevole, la cassa della Città di Zurigo citava:
- il nome, l’indirizzo, l’e-mail e il numero di telefono;
- il numero d’assicurazione sociale e lo stato civile;
- informazioni sui partner e il numero IBAN;
- dati di previdenza, come il reddito assicurato e l’avere.
Le rendite, invece, non sembravano minacciate nei casi riportati il 16 ottobre. La Città di Zurigo indicava che la sua cassa e il versamento delle rendite restavano funzionanti. La cassa della Posta affermava che il patrimonio previdenziale e le prestazioni di rendita non erano minacciati.
Le fonti non illustrano passi raccomandati agli assicurati. Spetta alle casse informare le persone interessate una volta conclusa la loro analisi. La nostra analisi: dati di contatto combinati con un IBAN e con dati di previdenza possono rendere più credibile un messaggio fraudolento. Una richiesta insolita che si presenta a nome di una cassa pensioni merita quindi un’attenzione particolare.
Per una PMI che affida dati a un fornitore, il caso ricorda una domanda posta dall’Incaricato stesso: quale quadro giuridico disciplina questo trasferimento, ed è realmente applicato?
Che cosa non si sa ancora
- Il numero di assicurati colpiti e il tipo esatto di dati rubati presso PK Softech.
- L’elenco completo delle casse pensioni clienti interessate, oltre a Publica, alla BPK e alla BLVK.
- L’eventuale legame tra PK Softech e gli attacchi segnalati dalle casse della Città di Zurigo e della Posta.
- L’autore dell’attacco: le fonti consultate non lo identificano.
- La durata dell’inchiesta e i suoi possibili seguiti: il comunicato non li precisa.
Fonti
- SWI swissinfo.ch (Keystone-SDA), 24 ottobre 2026: «Data protection officer launches investigation into cyber attack»
- 2clics.com, 16 ottobre 2026: «Attacco informatico presso un fornitore: colpite le casse pensioni di Zurigo e della Posta»
