La sicurezza informatica di una PMI svizzera si basa anzitutto su alcuni gesti fondamentali: installare rapidamente gli aggiornamenti, proteggere gli accessi, formare il personale contro il phishing e sapere chi chiamare in caso di incidente. L'Ufficio federale della cibersicurezza (UFCS), centro di competenza della Confederazione, pubblica allerte e raccomandazioni per le imprese e ne riceve le segnalazioni. Queste misure contano, perché un terzo delle PMI elvetiche ha già subito un ciberattacco, secondo la rivista PME.
Questa pagina offre una panoramica del tema. Completa la rubrica dedicata a proteggere la propria impresa e distingue ciò che dicono le fonti dalla nostra analisi.
Cifre chiave
- Un terzo delle PMI elvetiche ha già subito un ciberattacco, secondo la rivista PME.
- Il Govcert dell'UFCS classifica gli incidenti secondo un modello a quattro livelli, da «basso» a «critico».
- Il servizio di picchetto dell'UFCS è attivo 24 ore su 24.
- Dal 1° aprile 2025 i gestori di infrastrutture critiche devono segnalare i loro ciberincidenti all'UFCS.
- Il 21 ottobre 2026 l'UFCS ha segnalato due vulnerabilità critiche in PHP, sfruttabili senza autenticazione.
Perché una piccola impresa viene presa di mira?
Una PMI non ha bisogno di essere scelta per essere colpita. Molti attacchi sono automatizzati: scandagliano Internet alla ricerca di software vulnerabili, a prescindere da chi ne sia il proprietario.
La rivista online Republik ne ha fatto l'esperienza nel 2026. Degli sconosciuti hanno sfruttato una falla di Metabase, uno strumento di analisi dei dati. Molti elementi fanno pensare a un'ondata ampia e automatizzata, rivolta a tutte le installazioni di questo strumento. Gli aggressori vi cercavano credenziali e chiavi di servizi di intelligenza artificiale da rivendere.
Il secondo rischio passa dai fornitori di servizi. A fine settembre 2026 un attacco contro un fornitore di software ha permesso di sottrarre dati della cassa pensioni della Città di Zurigo. Anche la Cassa pensioni bernese e la Cassa d'assicurazione del corpo insegnante bernese hanno perso dati attraverso un fornitore esterno. Questo meccanismo si chiama attacco alla catena di approvvigionamento.
La nostra analisi: per una PMI, la protezione non si ferma quindi ai propri computer. Presuppone di sapere quali fornitori detengono i suoi dati.
Perché gli aggiornamenti vengono prima di tutto?
Una falla nota diventa una porta d'ingresso non appena gli aggressori sanno sfruttarla. La correzione protegge solo se viene installata.
Il caso Republik lo illustra. «La falla di sicurezza era nota dal 6 agosto, ma non abbiamo adottato in tempo le contromisure necessarie», ha ammesso la rivista. Un accesso non autorizzato era in corso da agosto.
Un esempio datato: il 21 ottobre 2026 l'UFCS ha raccomandato di aggiornare immediatamente i sistemi che utilizzano PHP. Due vulnerabilità critiche potevano consentire di eseguire codice malevolo su un server, senza autenticazione. L'ufficio chiedeva di verificare i server web, ma anche le applicazioni e gli apparecchi che integrano PHP come componente.
Per una PMI, questo consiglio riguarda anche il sito internet, il negozio online e gli strumenti ospitati presso un fornitore. Roman Hüssy, corresponsabile del Govcert presso l'UFCS, cita un errore frequente: applicare solo una parte delle raccomandazioni, il che permette agli aggressori di propagarsi.
Password o autenticazione a due fattori: cosa scegliere?
L'autenticazione è il controllo che verifica l'identità di un utente prima di dargli accesso a un sistema. Le credenziali rubate sono un bersaglio in sé, come ha dimostrato la ricerca di chiavi d'accesso nel caso Republik.
Il 19 ottobre 2026 l'UFCS ha pubblicato «Cinque passi per un'autenticazione sicura». L'ufficio vi confronta diversi mezzi: password, passkey o smart card. Propone una classificazione dei mezzi, delle modalità e dei servizi di autenticazione in base alla sicurezza che offrono.
La nostra analisi: a una PMI conviene fare l'inventario dei suoi accessi sensibili, come la posta elettronica, l'e-banking o l'amministrazione del sito. In seguito può scegliere per ciascuno un mezzo più solido di una semplice password.
Come preparare il personale al phishing?
Il phishing consiste nell'ingannare una persona con un falso messaggio per ottenerne i dati o gli accessi. I truffatori adattano continuamente i loro scenari, il che rende utile una sensibilizzazione regolare.
L'UFCS pubblica ogni settimana esempi concreti. Il 20 ottobre 2026 descriveva false prenotazioni alberghiere usate per prendere il controllo di conti TWINT e di e-banking. Il 13 ottobre 2026 metteva in guardia contro negozi online che espongono un dominio .ch ma hanno sede all'estero.
La nostra analisi: le fughe di dati rendono questi messaggi più credibili. Una combinazione di recapiti, IBAN e dati personali permette di scrivere un'e-mail molto mirata. Il Cyber Security Month 2026 dell'UFCS era del resto dedicato all'«oversharing», la condivisione eccessiva di informazioni.
Questa condivisione riguarda anche gli strumenti di intelligenza artificiale (IA). Il 16 ottobre 2026 l'UFCS ricordava che inserire senza precauzioni informazioni confidenziali o commerciali in un'IA può esporre questi dati.
Cosa fare se l'impresa subisce un ciberattacco?
In Svizzera l'impresa colpita resta responsabile della gestione del proprio incidente. «L'UFCS agisce in modo sussidiario», spiega Roman Hüssy. Il Govcert funziona, secondo lui, «come un servizio antincendio»: primo soccorso e prima valutazione tecnica.
Il percorso è semplice. L'impresa contatta l'UFCS tramite un modulo o il servizio di picchetto. L'incidente viene poi classificato in base alla sua gravità. L'ufficio non ha alcun potere di impartire istruzioni: è l'impresa a scegliere tra un'analisi forense e misure immediate.
Un piano di reazione preparato in anticipo risponde al secondo errore citato da Roman Hüssy: dati di contatto obsoleti, che rallentano le allerte. L'elenco delle persone da contattare, internamente e presso i fornitori, merita quindi un aggiornamento regolare.
Possono seguire altri passi. La cassa pensioni della Città di Zurigo ha sporto denuncia penale. Republik ha segnalato la sua fuga di dati all'Incaricato federale della protezione dei dati e della trasparenza. Per i software malevoli, il 6 ottobre 2026 l'UFCS ha pubblicato le misure da adottare in caso di sospetta infezione.
Quali strumenti offre l'UFCS alle imprese?
L'UFCS è il primo interlocutore delle imprese per la cibersicurezza in Svizzera. Il suo sito propone un profilo «Imprese e autorità» e un profilo «Specialisti IT».
| Strumento dell'UFCS | A cosa serve per una PMI |
|---|---|
| Segnalazione volontaria | Annunciare un ciberincidente e ottenere aiuto per i passi da compiere |
| Servizio di picchetto 24 ore su 24 | Contattare il Govcert durante un incidente in corso |
| Notifica di vulnerabilità | Segnalare una falla; l'UFCS le attribuisce un numero CVE |
| Allerte e rassegne settimanali | Seguire le falle da correggere e le truffe del momento |
| Statistiche delle segnalazioni | Misurare le minacce segnalate in Svizzera |
La segnalazione resta facoltativa per una PMI. L'obbligo di notifica, in vigore dal 1° aprile 2025, riguarda i gestori di infrastrutture critiche.
Cosa non precisano le nostre fonti
Le pagine dell'UFCS e gli articoli consultati per questa pagina non illustrano regole sui backup offline. Non indicano nemmeno un budget tipo né una lista di controllo specifica per le PMI.
Fonti
- Ufficio federale della cibersicurezza
- Ciberattacco contro le casse pensioni (2clics.com, 16 ottobre 2026)
