Un ransomware (software di riscatto) cifra i dati di un'impresa, spesso dopo averli copiati, e poi esige un riscatto per restituirli. In Svizzera l'Ufficio federale della cibersicurezza (UFCS) ha ricevuto 57 segnalazioni di questo tipo nel secondo semestre 2025, secondo il suo rapporto semestrale del 30 marzo 2026. Di fronte a un attacco, l'Ufficio raccomanda di isolare subito i sistemi colpiti, di sporgere denuncia e di non pagare.
Come funziona un attacco ransomware?
Secondo la pagina «Ransomware» dell'UFCS, questo software dannoso cifra i file del computer infetto, ma anche quelli delle unità di rete a cui è collegato. Gli autori chiedono poi un riscatto per ripristinare l'accesso ai dati. I danni diventano considerevoli quando sono colpite anche le copie di backup, precisa l'Ufficio.
Il blocco si accompagna spesso a un ricatto con i dati rubati. Il comunicato congiunto del Ministero pubblico della Confederazione (MPC), dell'Ufficio federale di polizia (fedpol) e dell'UFCS del 16 ottobre 2025 descrive questa «doppia estorsione» a proposito del gruppo Akira. I pirati informatici copiano dapprima i dati della vittima, poi li cifrano. Se il riscatto non viene pagato entro il termine fissato, li pubblicano su un sito di fuga di dati ospitato nel darknet, chiamato DLS (Data Leak Site). Il pagamento è richiesto in criptovaluta, per lo più in bitcoin. Nel frattempo la rete dell'impresa resta bloccata in tutto o in parte.
Una rivendicazione pubblicata dai pirati informatici non costituisce tuttavia una prova: durante l'ondata di fughe di dati rivendicate in Francia il 17 ottobre 2026, la maggior parte delle cifre annunciate restava da confermare. Nemmeno tutti i ciberattacchi mirano a un riscatto. Il ciberattacco contro Beyond Gravity, l'impresa spaziale della Confederazione, è oggetto di un sospetto di spionaggio che nessuno conferma ufficialmente.
Da dove entrano gli aggressori nell'impresa?
Le porte d'ingresso più frequenti sono note. Secondo il comunicato del 16 ottobre 2025, si tratta per lo più di sistemi non aggiornati e di accessi remoti mal protetti. Sono presi di mira la rete privata virtuale (VPN) e il protocollo di desktop remoto (RDP) quando non richiedono l'autenticazione a due fattori. La pagina «Ransomware» dell'UFCS aggiunge le e-mail con allegati dannosi.
Le vulnerabilità note ma non corrette pesano molto. Il rapporto semestrale 2025/2 dell'UFCS rileva che una vulnerabilità scoperta nel 2024 negli apparecchi del produttore SonicWall ha aiutato Akira. Non tutti gli utenti interessati avevano seguito le istruzioni del produttore per proteggersi.
Il rischio passa anche dai fornitori, osserva lo stesso rapporto, che rileva attacchi contro la catena di approvvigionamento del software. Un esempio concreto, senza legame accertato con un ransomware: a fine settembre 2026 dati della cassa pensione di Zurigo sono stati rubati presso un fornitore di software. E non serve essere scelti per essere colpiti: la campagna Doorway contro i router, scoperta nell'ottobre 2026 dalla società CloudSEK, cercava automaticamente apparecchi vulnerabili.
Quante imprese svizzere sono colpite?
Le cifre ufficiali coprono soltanto i casi segnalati. Nel secondo semestre 2025 sono stati annunciati direttamente all'UFCS 57 incidenti legati a ransomware, su base volontaria o in virtù dell'obbligo di segnalazione, secondo il rapporto semestrale 2025/2. Akira, già numero uno in Svizzera nel primo semestre, vi ha ulteriormente rafforzato la sua posizione.
Il portale PMI della Confederazione, kmu.admin.ch, cita per lo stesso periodo 79 incidenti, contro 47 un anno prima. Attribuisce ad Akira 26 attacchi noti nel secondo semestre 2025, contro 7 nel primo. Le due pubblicazioni non spiegano la differenza tra i loro conteggi.
Un solo gruppo dà la misura del fenomeno. Secondo il comunicato del 16 ottobre 2025, circa 200 imprese in Svizzera sono state vittime di Akira, per un danno di diversi milioni di franchi. Le autorità presumono casi non segnalati: per timore per la propria reputazione, alcune vittime pagano o rinunciano a sporgere denuncia.
Le PMI sono interessate. Secondo lo studio «Cibersicurezza delle PMI 2026», condotto dalla Mobiliare con digitalswitzerland e sostenuto dall'UFCS, il 7% delle PMI svizzere è già stato vittima di estorsione, ossia circa 45'000 imprese. Alcune hanno pagato un riscatto. L'estorsione colpisce soprattutto le PMI più grandi, nonché l'industria e l'edilizia.
Cifre chiave
- 57 incidenti legati a ransomware annunciati direttamente all'UFCS nel secondo semestre 2025.
- Circa 200 imprese svizzere vittime del gruppo Akira, secondo il comunicato del 16 ottobre 2025.
- Da 4 a 5 casi legati ad Akira alla settimana, un record in Svizzera secondo le autorità.
- Il 7% delle PMI svizzere già vittima di estorsione, ossia circa 45'000 imprese.
- Il 9% dei ciberattacchi segnalati dalle infrastrutture critiche nel secondo semestre 2025 era costituito da ransomware.
- 24 ore per segnalare un ciberattacco all'UFCS, per i gestori di infrastrutture critiche.
Che cosa fare nelle prime ore?
La prima urgenza è isolare l'attacco dal resto della rete. La pagina «Ransomware – che cosa fare?» dell'UFCS chiede di scollegare immediatamente i sistemi infetti: staccare il cavo di rete e disattivare gli adattatori senza fili. Il comunicato del 16 ottobre 2025 aggiunge di bloccare tutte le connessioni Internet, compresi la posta elettronica, gli accessi remoti e le VPN tra le sedi.
Le fasi successive mirano a limitare le perdite e a capire l'intrusione:
- verificare e mettere al sicuro i backup senza attendere;
- individuare i sistemi colpiti grazie ai file di registro (log) e ai metadati dei file cifrati, poi conservare questi registri;
- bloccare sul firewall o sul server proxy gli indirizzi URL e IP degli aggressori, trovati nei registri;
- decidere presto se svolgere un'analisi forense e copiare le memorie e i dischi rigidi prima di qualsiasi riavvio;
- reinstallare i sistemi da un supporto affidabile, e solo dopo ripristinare i dati.
Lo scopo primario, secondo l'UFCS, è trovare la via d'infezione per evitare una nuova infezione. In assenza di competenze interne, consiglia di rivolgersi a un'impresa specializzata. L'Ufficio interviene solo a supporto: la gestione di un incidente spetta all'organizzazione colpita, spiegava Roman Hüssy, corresponsabile del suo Govcert, alla rivista PME. Lo si raggiunge tramite un modulo o tramite la sua linea di picchetto 24 ore su 24.
Bisogna pagare il riscatto?
L'UFCS sconsiglia di pagare. Non esiste alcuna garanzia che i criminali non pubblichino i dati o non ne traggano un altro profitto dopo il pagamento, ricorda la sua pagina «che cosa fare». Ogni ricatto riuscito incoraggia inoltre gli autori e finanzia lo sviluppo degli attacchi. Un'impresa che, nonostante tutto, valuta di pagare dovrebbe prima discuterne con la polizia cantonale, raccomanda l'Ufficio.
Chi avvisare, ed entro quale termine?
Possono rendersi necessarie più segnalazioni in parallelo. La tabella riprende quelle elencate dall'UFCS.
| Destinatario | Chi è interessato | Termine |
|---|---|---|
| Polizia cantonale della sede | Ogni impresa vittima: denuncia penale raccomandata in tutti i casi | Fin dall'inizio, soprattutto se è prevista un'analisi forense |
| Ufficio federale della cibersicurezza | Gestori di infrastrutture critiche, obbligo in vigore dal 1° aprile 2025 | 24 ore dopo il rilevamento, 14 giorni per completare |
| Ufficio federale della cibersicurezza | Altre imprese, segnalazione volontaria | Nessun termine imposto |
| Incaricato federale della protezione dei dati e della trasparenza | Violazione della sicurezza dei dati con rischio elevato per le persone interessate (art. 24 della legge sulla protezione dei dati) | Il più rapidamente possibile |
L'obbligo di segnalazione è stato deciso dal Consiglio federale il 7 marzo 2025. Dalla sua entrata in vigore, l'UFCS ha ricevuto 325 segnalazioni obbligatorie, di cui 145 nel secondo semestre 2025, secondo il comunicato della Confederazione del 30 marzo 2026. Quanto alla denuncia, l'MPC, fedpol e l'UFCS ricordano che moltiplica le piste d'indagine.
Si possono recuperare i dati senza pagare?
A volte sì. Secondo l'UFCS, un ripristino totale o parziale resta possibile anche senza backup in diversi casi:
- il ransomware non ha cancellato le copie istantanee (shadow copies) di Windows;
- esistono istantanee di macchine virtuali o versioni precedenti dei file in un servizio cloud;
- i file cancellati possono essere ripristinati con un'analisi forense;
- la cifratura presenta errori, oppure la chiave di decifrazione è già nota.
Il sito NoMoreRansom.org, progetto della polizia olandese e di Europol a cui partecipa la Confederazione, propone chiavi già note. L'UFCS consiglia inoltre di conservare i dati cifrati, nel caso in cui una soluzione di decifrazione comparisse più tardi.
Come può una PMI ridurre il rischio?
La maggior parte di questi attacchi può essere evitata, ritengono l'MPC, fedpol e l'UFCS. Il loro comunicato cita due misure: installare gli aggiornamenti e proteggere gli accessi remoti con un'autenticazione a due fattori. Nella sua pagina «Protezione di base», l'UFCS completa l'elenco tecnico:
- censire l'ambiente informatico;
- salvare i dati;
- installare gli aggiornamenti di sicurezza;
- utilizzare un antivirus e dei firewall;
- proteggere gli accessi remoti;
- segmentare le reti.
Per l'Ufficio, la cibersicurezza è un compito della direzione, non del solo servizio informatico. Aggiunge la sensibilizzazione del personale, la gestione della continuità operativa e responsabilità chiare nei confronti dei fornitori di servizi.
Il backup resta il punto debole più concreto. Secondo lo studio «Cibersicurezza delle PMI 2026», nove PMI su dieci salvano i propri dati, ma solo un quarto verifica regolarmente il loro ripristino. La nostra analisi: di fronte a un ransomware che cerca di raggiungere anche le copie, un backup mai ripristinato resta una promessa non verificata. Altri casi svizzeri figurano nella nostra rubrica minacce e attacchi informatici.
Ciò che non si sa ancora
- Il numero reale di attacchi: al di fuori delle infrastrutture critiche la segnalazione resta volontaria, e le autorità presumono casi non annunciati.
- L'importo dei riscatti pagati in Svizzera: né il comunicato dell'UFCS del 30 marzo 2026 né lo studio sulle PMI lo quantificano.
Fonti
- Ufficio federale della cibersicurezza: «Ransomware – che cosa fare?»
- Ufficio federale della cibersicurezza: «Ransomware»
- Ufficio federale della cibersicurezza: «Rapporto semestrale 2025/2», 30 marzo 2026
- Confederazione: «Le ciberminacce restano elevate: gli attacchi sono più mirati e più complessi», comunicato del 30 marzo 2026
- MPC, fedpol e UFCS: «Cibercriminalità: il gruppo AKIRA intensifica le sue attività», comunicato del 16 ottobre 2025
- Ufficio federale della cibersicurezza: «Protezione di base: proteggete la vostra impresa o la vostra autorità»
- Portale PMI della Confederazione: «Recrudescenza dei ciberattacchi con ransomware e «phishing»», 6 maggio 2026
- 2clics.com: «Cibersicurezza PMI: il 6% delle imprese svizzere colpito in tre anni», 23 ottobre 2026
