Secondo l’agenzia Keystone-ATS, ripresa da SWI swissinfo.ch, un attacco informatico contro un fornitore esterno di software ha permesso di sottrarre dati personali della cassa pensioni della Città di Zurigo. Anche la cassa pensioni della Posta indica di essere stata colpita da questo attacco, senza sapere ancora se i dati dei suoi assicurati siano stati compromessi. Lo stesso giorno, la rivista online Republik annunciava un furto di dati di utenti avvenuto per un’altra via, uno strumento di analisi mal protetto.

Come l’attacco ha raggiunto le casse pensioni

Il meccanismo è quello di un attacco alla catena di approvvigionamento: non sono stati violati in primo luogo i sistemi delle casse stesse, bensì quelli di un fornitore di software con cui collaborano. Secondo la Città di Zurigo, l’attacco è avvenuto a fine settembre. In vista del passaggio a un nuovo sistema di gestione, i dati della cassa erano stati trasferiti in precedenza presso questo fornitore.

La cassa zurighese ha sporto denuncia penale e cerca di stabilire con precisione quali informazioni siano state rubate e quante persone siano coinvolte. La Città afferma che la cassa e il versamento delle rendite restano operativi. Il sistema amministrativo utilizzato per gestire il patrimonio e versare le rendite non sarebbe stato colpito, secondo gli elementi comunicati.

Il caso non è isolato. La settimana scorsa era emerso che erano stati sottratti dati anche alla Cassa pensioni bernese e alla Cassa d’assicurazione del corpo insegnante bernese, anche in questo caso tramite un fornitore esterno di software, secondo swissinfo.ch.

Quali dati sono interessati

Per la cassa della Città di Zurigo, lo scenario più sfavorevole comprende i dati personali (nome, indirizzo, e-mail, numero di telefono), il numero d’assicurazione sociale, lo stato civile, informazioni sui partner, il numero IBAN nonché dati previdenziali come il reddito assicurato e l’avere.

Sul fronte della Posta, la cassa pensioni precisa in un comunicato che il patrimonio previdenziale e le prestazioni di rendita non sono minacciati. Ammette tuttavia che dati come nome, indirizzo, data di nascita, numero d’assicurazione sociale, recapiti, indirizzo e-mail e informazioni previdenziali potrebbero essere stati colpiti.

Le fonti consultate non descrivono nel dettaglio le misure raccomandate agli assicurati. Spetta quindi alle casse informare le persone interessate una volta conclusa l’analisi. La nostra analisi: la combinazione di recapiti, di un IBAN e di dati previdenziali è il tipo di informazione che può rendere più credibile un messaggio fraudolento, il che giustifica un’attenzione particolare alle richieste insolite che si presentassero a nome di una cassa pensioni.

Republik: una falla nota ma non corretta

Il caso di Republik, riferito da Keystone-ATS lo stesso giorno, rientra in un altro scenario, pur condividendo un punto in comune: la dipendenza da uno strumento di terzi. Ignoti hanno sfruttato una falla di sicurezza in Metabase, uno strumento di analisi. Secondo la rivista, un accesso non autorizzato era in corso da agosto. «La falla di sicurezza era nota dal 6 agosto, ma non abbiamo adottato in tempo le contromisure necessarie», riconosce Republik.

La rivista non sa chi ci sia dietro l’attacco. Molti elementi suggeriscono un’ondata di attacchi ampia e automatizzata, rivolta a tutte le installazioni Metabase alla ricerca di credenziali e chiavi per servizi di IA rivendibili. Nulla indica per ora che Republik sia stata presa di mira in modo specifico. Sono stati comunque consultati i dati di editori attivi, abbonati, destinatari della newsletter e di tutti gli ex utenti: indirizzi e-mail, nomi e, se del caso, numeri di telefono, anno di nascita e genere. Nessun dato di carte di credito è trapelato, secondo la rivista, che ha segnalato l’incidente all’Incaricato federale della protezione dei dati e della trasparenza.

Cibersicurezza PMI: cosa ricorda l’UFCS

Questi incidenti fanno eco a un’intervista pubblicata da PME con Roman Hüssy, corresponsabile del Govcert presso l’Ufficio federale della cibersicurezza (UFCS). Secondo la rivista, un terzo delle PMI svizzere ha già subito un attacco informatico. «In Svizzera la gestione degli incidenti rientra nella responsabilità propria dell’organizzazione colpita, l’UFCS interviene in modo sussidiario», spiega Roman Hüssy. Il Govcert funziona, secondo lui, «come un servizio antincendio» che fornisce il primo soccorso e una prima valutazione tecnica.

Il percorso è descritto così: l’organizzazione colpita contatta l’UFCS tramite un modulo o la linea di picchetto 24 ore su 24, poi l’incidente viene classificato secondo un modello a quattro livelli, da «basso» a «critico». I gestori di infrastrutture critiche sono invece soggetti all’obbligo legale di segnalare senza indugio qualsiasi incidente all’UFCS. L’ufficio non ha alcun potere di impartire direttive: la scelta tra analisi forense e mitigazione immediata spetta all’azienda.

Roman Hüssy indica due errori frequenti: l’attuazione parziale delle raccomandazioni, che lascia agli aggressori la possibilità di propagarsi, e dati di contatto obsoleti, che rallentano gli allarmi. Il caso Republik illustra il primo punto: una falla nota, ma trattata troppo tardi. Per una PMI, l’insegnamento tratto da queste vicende è concreto: sapere quali fornitori detengono i propri dati, tenere aggiornati i contatti d’emergenza e applicare fino in fondo le correzioni raccomandate.

Fonti