Holcim, il gruppo di materiali da costruzione con sede a Zugo, ha confermato un ciberattacco e un furto di dati, secondo la rivista informatica ICTjournal del 4 novembre 2026. Il gruppo ransomware Emperador sostiene di aver sottratto 360 gigabyte (GB) di dati e minaccia di pubblicarli. Holcim assicura che la produzione e le consegne non sono state toccate. La natura dei dati rubati resta sconosciuta.

Ciberattacco a Holcim: che cosa è confermato, che cosa è rivendicato

Si esprimono due voci, e non hanno lo stesso peso. ICTjournal riprende le informazioni di Inside IT, un media specializzato che ha interpellato Holcim. Il gruppo vi conferma di aver rilevato un «accesso non autorizzato e limitato» ai suoi dati, nonché un furto di informazioni. Non dice quali.

Holcim afferma inoltre che l'attacco non ha toccato né i suoi sistemi di controllo industriale, né i suoi siti di produzione, né le sue reti logistiche. Le sue attività e le consegne ai clienti proseguono senza restrizioni, secondo il gruppo. Fin dalla scoperta dell'incidente, i suoi team di sicurezza hanno adottato misure per contenerlo e hanno avviato un'indagine.

Il volume di 360 GB e la minaccia di pubblicazione provengono invece dai pirati informatici. Nessuna delle fonti disponibili li ha verificati.

ElementoStatoChi lo afferma
Accesso non autorizzato e limitato ai datiConfermatoHolcim, interpellato da Inside IT
Furto di informazioniConfermato, senza dettagliHolcim, interpellato da Inside IT
Produzione, siti e logistica risparmiatiAffermatoHolcim
Furto di 360 GB di datiRivendicatoEmperador
Minaccia di pubblicazioneRivendicataEmperador
Circa 80 attacchi da agostoRiferito, non verificatoInside IT
Richiesta di riscattoSconosciutaNessuna informazione

L'attività che Holcim dice preservata pesa molto. Il gruppo diretto da Miljan Gutovic ha realizzato 4,66 miliardi di franchi di cifra d'affari nel solo terzo trimestre 2026, secondo i risultati pubblicati il 23 ottobre 2026 e ripresi dall'agenzia AWP.

Come funziona la doppia estorsione?

Emperador appartiene alla famiglia dei gruppi ransomware. Secondo Inside IT, citato da ICTjournal, i suoi operatori sarebbero attivi solo da agosto, ma avrebbero già condotto circa 80 attacchi. Queste cifre restano quelle del media, non di un'autorità.

Questi gruppi ricorrono spesso alla doppia estorsione, ricorda ICTjournal. Rubano dati e allo stesso tempo cifrano i sistemi della vittima. Esigono poi un riscatto, sia per decifrare i sistemi sia per non divulgare le informazioni sottratte.

La minaccia di pubblicazione è la leva principale. Il Ministero pubblico della Confederazione, l'Ufficio federale di polizia (fedpol) e l'Ufficio federale della cibersicurezza (UFCS) l'hanno descritta in un comunicato del 16 ottobre 2025, ripreso nella nostra guida sul ransomware in azienda. Se il riscatto non viene pagato entro il termine fissato, i dati vengono pubblicati su un sito di fuga di dati del darknet.

Holcim non parla di una cifratura dei suoi sistemi. Il gruppo parla di un accesso ai suoi dati e di un furto, non di un blocco delle sue attività. Secondo ICTjournal, nessuna informazione permette di dire se sia stato chiesto un riscatto.

Una rivendicazione di pirati informatici non costituisce una prova. Durante l'ondata di fughe di dati rivendicate in Francia il 17 ottobre 2026, la maggior parte delle cifre annunciate restava da confermare. La nostra analisi: un volume di 360 GB non dice nulla, da solo, del contenuto dei file né delle persone interessate.

Holcim deve segnalare il ciberattacco all'UFCS?

Dal 1° aprile 2025, i gestori di infrastrutture critiche devono notificare un ciberattacco all'UFCS entro 24 ore dalla sua scoperta. Lo ha deciso il Consiglio federale il 7 marzo 2025, secondo il suo comunicato. Queste notifiche devono permettere all'UFCS di aiutare la vittima e di allertare per tempo gli altri gestori.

La pagina «Chi deve segnalare?» dell'UFCS cita diverse categorie assoggettate. Si tratta in particolare delle imprese di approvvigionamento di energia e di acqua potabile, delle imprese di trasporto e delle autorità cantonali o comunali. L'elenco completo figura all'articolo 74b della legge sulla sicurezza delle informazioni (LSIn). L'ordinanza sulla cibersicurezza (OCiber) ne disciplina le eccezioni.

I materiali da costruzione non figurano tra gli esempi citati dall'UFCS. Holcim non ha detto se una delle sue società sia soggetta all'obbligo, né se abbia notificato l'attacco all'ufficio. La nostra analisi: senza queste precisazioni, non si può affermare né che il gruppo fosse tenuto a segnalare, né che non lo fosse.

Esistono altre notifiche al di fuori di questo obbligo. Un'impresa che non gestisce infrastrutture critiche può segnalare un attacco all'UFCS in modo volontario, senza un termine imposto. Una violazione della sicurezza dei dati che presenta un rischio elevato per le persone interessate va notificata all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), secondo l'articolo 24 della legge sulla protezione dei dati. La nostra guida per costruire un piano di risposta ai ciberattacchi illustra nel dettaglio questi passi.

Ransomware in azienda: la situazione in Svizzera nel 2026

Il numero di attacchi ransomware resta stabile in Svizzera. Secondo il comunicato dell'UFCS del 24 agosto 2026 sul suo rapporto semestrale, è rimasto fermo a 79 nel primo semestre 2026. L'ufficio osserva una netta diversificazione e una frammentazione delle famiglie di ransomware.

L'obbligo di segnalazione produce ormai cifre regolari. Nel primo semestre 2026, l'UFCS ha ricevuto 200 notifiche da infrastrutture critiche. Il settore pubblico (19,4 %) e quello dell'informatica e delle telecomunicazioni (18,6 %) ne forniscono la quota maggiore. Le fughe di dati rappresentano il 12,7 % degli attacchi notificati, quanto gli attacchi contro la disponibilità dei servizi (DDoS).

Il dispositivo ha preso ampiezza fin dal primo anno. Il comunicato della Confederazione del 30 marzo 2026 contava 325 notifiche obbligatorie dall'entrata in vigore, di cui 145 nel secondo semestre 2025.

Holcim si aggiunge a una serie di furti di dati in Svizzera quest'autunno. A fine settembre 2026, dati della cassa pensioni della Città di Zurigo sono stati rubati presso un fornitore di software esterno. Il 23 ottobre 2026, l'Incaricato federale ha aperto un'inchiesta contro PK Softech, fornitore di software di diverse casse pensioni. L'attacco contro la sua infrastruttura ha causato in particolare una fuga di dati presso Publica, la Cassa pensioni della Confederazione. Questi casi non sono stati attribuiti a un gruppo ransomware.

Il Canton Vaud ha invece reso pubbliche le sue notifiche. Dopo il ciberattacco al Canton Vaud, annunciato il 31 ottobre 2026, ha segnalato l'incidente all'UFCS e alla sua autorità di protezione dei dati. Altri casi svizzeri figurano nella nostra rubrica minacce e attacchi informatici.

Che cosa devono tenere d'occhio i clienti e i fornitori di Holcim?

Finché Holcim non precisa la natura dei dati, nessuno sa chi sia interessato. I casi svizzeri recenti mostrano tuttavia un rischio ricorrente. Dopo i furti di dati delle casse pensioni e del Canton Vaud, 2clics rilevava già che una fuga di dati può rendere più credibile un messaggio fraudolento.

La nostra analisi: un cliente o un fornitore di Holcim fa bene a trattare con prudenza un messaggio insolito che si presenti a nome del gruppo. Il Canton Vaud dava istruzioni semplici ai suoi utenti: non comunicare mai la propria password, diffidare dei messaggi urgenti o insoliti, segnalare ogni messaggio sospetto.

Che cosa non si sa ancora

  • La natura dei dati rubati: Holcim non l'ha precisata, e il volume di 360 GB non è confermato da nessun altro che Emperador.
  • Un'eventuale richiesta di riscatto: nessuna informazione permette di dire se sia stata formulata.
  • Le notifiche alle autorità: Holcim non ha detto se abbia segnalato l'attacco all'UFCS o all'Incaricato federale.

Fonti