La cassa pensioni della Città di Zugo (Pensionskasse der Stadt Zug) segnala che dati dei suoi assicurati potrebbero figurare tra quelli rubati durante il ciberattacco contro PK Softech, fornitore di software di diverse casse pensioni svizzere con sede a Reinach. Secondo il suo comunicato, ripreso il 9 novembre 2026 dal sito specializzato Inside IT, il legame passa da Libera, la società di consulenza a cui ha affidato la propria amministrazione.
Che cosa ha annunciato la cassa di Zugo
I fatti riferiti da Inside IT si riassumono in pochi punti. L'attacco contro PK Softech risale alla fine di settembre 2026. La cassa zughese dice di esserne stata informata una prima volta a metà ottobre 2026.
Sulla base delle informazioni di allora, si riteneva risparmiata, spiega. Solo nel corso della settimana del 2 novembre 2026 ha appreso che dati dei suoi assicurati potevano essere coinvolti. Afferma di aver preso immediatamente le misure necessarie.
Secondo la cassa, PK Softech deteneva i seguenti dati dei suoi assicurati:
- nome, data di nascita e indirizzo;
- numero AVS (assicurazione vecchiaia e superstiti);
- dati salariali;
- in alcuni casi, numero di telefono e indirizzo e-mail.
La cassa ha notificato l'incidente all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e ha informato i suoi assicurati. Assicura che gli averi di vecchiaia sono al sicuro. Sempre secondo la cassa, nessun dato particolarmente sensibile, come gli incarti di incapacità al lavoro o di invalidità, è stato toccato.
Una catena di subappalto: cassa, amministratore, software
Il caso di Zugo mostra come dati della previdenza finiscano presso un fornitore che l'assicurato non conosce. La cassa ha esternalizzato la propria amministrazione a Libera. Libera, a sua volta, utilizza il software di PK Softech. È presso quest'ultima che erano archiviati i dati degli assicurati, secondo la cassa.
Un altro caso seguito da 2clics illustra una variante dello stesso schema. Il 16 ottobre 2026 la Città di Zurigo spiegava che i dati della sua cassa pensioni erano stati trasferiti presso un fornitore di software in vista del passaggio a un nuovo sistema di gestione. Il furto è avvenuto lì, e non nei sistemi della cassa. Avevamo allora riferito del ciberattacco che ha colpito le casse di Zurigo e della Posta, senza poter dire se quel fornitore fosse PK Softech. Inside IT annovera ormai la cassa pensioni della Città di Zurigo tra le casse che utilizzano questo software.
La nostra analisi: più anelli conta la catena, più lentamente circola l'informazione. A Zugo sono trascorse diverse settimane tra la prima informazione, a metà ottobre, e l'annuncio di una possibile esposizione.
PK Softech: quali casse pensioni indagano
Secondo Inside IT, diverse casse che utilizzano il software di PK Softech hanno avviato accertamenti su eventuali fughe di dati poco dopo l'attacco. Tra queste figurano la Cassa pensioni della Confederazione Publica, la Cassa pensioni bernese, la cassa pensioni di Migros, quella della Posta, quella di Syngenta e quella della Città di Zurigo.
Avviare un accertamento non significa essere colpiti. Il caso della fuga di dati presso Publica è accertato, come quello di due casse pensioni bernesi: la Cassa pensioni bernese e la Cassa assicurativa del corpo insegnante bernese. I dati annunciati variano da una cassa all'altra.
| Cassa | Dati indicati come possibilmente coinvolti | Che cosa dice la cassa sugli averi |
|---|---|---|
| Città di Zugo | Nome, data di nascita, indirizzo, numero AVS, salario, talvolta telefono ed e-mail | Averi di vecchiaia al sicuro |
| Città di Zurigo (scenario peggiore) | Nome, indirizzo, e-mail, telefono, numero AVS, stato civile, partner, IBAN, reddito assicurato, avere | Cassa e versamento delle rendite funzionanti |
| La Posta | Nome, indirizzo, data di nascita, numero AVS, recapiti, e-mail, informazioni sulla previdenza | Patrimonio previdenziale e rendite non minacciati |
Fonti: comunicato della cassa di Zugo ripreso da Inside IT; comunicazioni della Città di Zurigo e della cassa della Posta riferite da 2clics il 16 ottobre 2026.
Che cosa prevede la legge sulla protezione dei dati
La legge federale sulla protezione dei dati (LPD) disciplina la notifica di questo tipo di incidente al suo articolo 24. Il titolare del trattamento deve notificare «il più rapidamente possibile» all'IFPDT una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per le persone interessate.
Lo stesso articolo riguarda direttamente il subappalto. Il responsabile del trattamento deve notificare «il più rapidamente possibile» ogni violazione al titolare del trattamento, senza condizioni di gravità. Il titolare informa poi le persone interessate se è necessario per la loro protezione o se l'IFPDT lo esige.
L'Incaricato, dal canto suo, ha già preso in mano il dossier. PK Softech gli ha segnalato l'attacco l'8 ottobre 2026. Ha aperto un'inchiesta preliminare informale presso Publica il 14 ottobre, poi un'inchiesta formale contro PK Softech il 23 ottobre 2026. Vuole stabilire quali dati le casse avevano affidato all'azienda, su quale base giuridica e che cosa è stato rubato.
Che cosa può fare un assicurato o una PMI affiliata
Un assicurato può chiedere alla sua cassa quali dati tratta che lo riguardano. L'articolo 25 LPD gli conferisce questo diritto d'accesso. Le informazioni sono gratuite e fornite di regola entro 30 giorni. Comprendono in particolare i destinatari ai quali i dati sono stati comunicati.
Punto utile in questo dossier: secondo lo stesso articolo, il titolare che fa trattare dati da un responsabile del trattamento resta tenuto a rispondere. L'assicurato si rivolge quindi alla sua cassa, senza dover identificare da sé Libera o PK Softech.
La nostra analisi: dati d'identità combinati con il salario o l'IBAN possono rendere più credibile un messaggio fraudolento. Un'e-mail, un SMS o una chiamata inattesi che si richiamano a una cassa pensioni meritano quindi una verifica attraverso un canale conosciuto.
Per una PMI affiliata, i salari trasmessi per i suoi dipendenti fanno parte dei dati citati a Zugo. Come rilevava 2clics il 16 ottobre 2026, l'insegnamento è concreto: sapere quali fornitori detengono i propri dati. L'Incaricato stesso solleva la questione del quadro giuridico di questi trasferimenti e della sua applicazione effettiva.
Che cosa non si sa ancora
- Quanti assicurati della cassa zughese sono interessati, e se i loro dati sono stati effettivamente sottratti: la cassa parla di dati che «potrebbero» essere coinvolti.
- Quante casse pensioni, in totale, hanno assicurati colpiti dall'attacco contro PK Softech.
- Le conclusioni dell'inchiesta dell'IFPDT e il loro calendario, che l'Incaricato non ha comunicato.
Fonti
- Inside IT, 9 novembre 2026: «Auch Pensionskasse Zug von PK-Softech-Hack betroffen»
- Legge federale sulla protezione dei dati (RS 235.1), art. 24, notifica delle violazioni, testo ripreso da Fedlex da JuriUp
- Legge federale sulla protezione dei dati (RS 235.1), art. 25, diritto d'accesso, testo ripreso da Fedlex da JuriUp
- 2clics.com, 25 ottobre 2026: «Ciberattacco alla cassa pensioni: l'Incaricato indaga su PK Softech»
- 2clics.com, 16 ottobre 2026: «Ciberattacco presso un fornitore: colpite le casse pensioni di Zurigo e della Posta»
