Swiss Basketball, la federazione svizzera di pallacanestro, ha confermato il 31 ottobre 2026 un furto di dati che riguarda i suoi tesserati, tramite la sua piattaforma Basketplan. Un utente di un forum di pirati informatici afferma di aver esportato un extranet della federazione. Secondo il sito svizzero tedesco Inside IT, la piattaforma French Breaches vi ha contato 52'344 voci, descritte come riferite a collaboratori: nomi, date di nascita, indirizzi. È la seconda federazione sportiva svizzera colpita in una settimana.
Che cosa conferma Swiss Basketball
Il 31 ottobre 2026 la federazione ha pubblicato sul suo sito un'«informazione destinata ai tesserati di Swiss Basketball». Vi riconosce «un incidente di sicurezza che coinvolge dati personali dei suoi tesserati tramite Basketplan».
L'incidente si è verificato nonostante l'aggiunta di misure come l'autenticazione a due fattori, precisa il comunicato. La federazione afferma di non disporre ancora di tutte le informazioni sull'origine e sulla portata dell'incidente.
Sostiene che password, dati bancari e foto non sono stati sottratti. Collabora con i suoi fornitori informatici e con le autorità per chiarire le circostanze. Il furto di dati è stato comunicato all'autorità federale per la cibersicurezza, l'Ufficio federale della cibersicurezza (UFCS).
Secondo Inside IT, il 2 novembre 2026 non era noto alcun caso concreto di utilizzo abusivo dei dati.
Che cosa rivendica il pirata, secondo French Breaches
Il racconto dell'attacco proviene da un forum di pirati informatici. Un utente vi afferma di aver ottenuto l'accesso a un extranet della federazione e di averne esportato i dati. French Breaches, una piattaforma che censisce le fughe di dati, ha poi analizzato i file pubblicati, riferisce Inside IT.
Il suo conteggio dà un'idea del contenuto:
- 52'344 voci descritte da Inside IT come riferite a collaboratori, con nomi, date di nascita, indirizzi, numeri di telefono e indirizzi e-mail;
- oltre 6000 campi compilati con un numero AVS nel file dei tesserati;
- circa 36'000 altre voci legate alla contabilità e alla gestione delle licenze;
- 21'648 voci la cui data di nascita corrisponde a una persona di meno di 18 anni.
Quest'ultima cifra richiede una precisazione. French Breaches l'ha calcolata a partire dalle date di nascita utilizzabili. Non corrisponde necessariamente ad altrettanti minorenni diversi.
| Punto | Rivendicato o analizzato da terzi | Confermato da Swiss Basketball |
|---|---|---|
| Accesso | Esportazione di un extranet della federazione | Incidente di sicurezza tramite Basketplan |
| Volume | 52'344 voci, secondo French Breaches | Portata ancora sconosciuta |
| Dati | Identità, recapiti, numeri AVS | Nessuna password, nessun dato bancario né foto |
| Minorenni | 21'648 voci di meno di 18 anni | Non menzionato |
La nostra analisi: il comunicato della federazione dice che cosa non è stato sottratto. Non dice nulla delle date di nascita né dei numeri AVS che French Breaches afferma di aver trovato.
Dopo l'hockey, una seconda federazione sportiva colpita
Quattro giorni prima, la Swiss Ice Hockey Federation (SIHF) aveva scritto alle persone interessate dalla fuga di dati del portale MySIHF. Secondo Inside IT, vi sono stati sottratti 540'000 record e informazioni su circa 87'000 persone.
I due casi si somigliano su un punto. In entrambe le federazioni, i dati riguardano l'identità e i recapiti dei membri, senza password secondo le federazioni stesse. La SIHF aveva tuttavia notificato l'incidente all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), secondo l'agenzia Keystone-ATS citata da 2clics.
Lo schema ricorda anche il caso di TCS Camping. Dopo il furto di dati presso TCS Camping, alcuni truffatori hanno scritto a clienti su WhatsApp con vere informazioni di prenotazione.
Che cosa fare se si è tesserati di Swiss Basketball?
Il rischio principale è il phishing mirato. La federazione invita i suoi tesserati a diffidare dei messaggi che chiedono informazioni personali o contengono link insoliti.
L'UFCS descrive sul suo sito tre forme di queste truffe:
- via e-mail, il phishing porta a un sito falso, spesso a nome di un'azienda nota: non cliccate mai sul link;
- per telefono, il vishing spinge la vittima ad agire nel suo «proprio interesse», con numeri spesso nascosti o falsificati: interrompete la chiamata;
- via SMS, lo smishing può comparire nella cronologia dei messaggi autentici di un'azienda, perché il numero del mittente è falsificato.
La nostra analisi: un messaggio fraudolento potrà citare il vostro nome, la vostra data di nascita o il vostro club. Questi dettagli non provano che provenga dalla federazione. Una richiesta di pagamento o di dati merita una verifica presso il club, a un numero conosciuto.
Una parte delle voci riguarderebbe minorenni. I genitori di giovani tesserati hanno quindi interesse a trasmettere loro queste raccomandazioni. Un messaggio sospetto può essere segnalato all'UFCS, che riceve le segnalazioni volontarie della popolazione.
Per i club, il caso ricorda l'utilità della sensibilizzazione al phishing dei volontari e di un piano di risposta agli attacchi informatici redatto in anticipo.
Fuga di dati in Svizzera: che cosa impone la nLPD
L'obbligo di notificare le violazioni della sicurezza dei dati è una novità della legge federale sulla protezione dei dati (LPD, o nLPD), secondo l'IFPDT. Figura al suo articolo 24.
L'art. 5 lett. h della legge definisce la violazione. Vi è violazione, in particolare, quando dati personali sono divulgati o resi accessibili a persone non autorizzate. L'art. 24 stabilisce due obblighi per il titolare del trattamento:
- notificare la violazione all'IFPDT se comporta un «rischio presumibilmente elevato» per le persone interessate (cpv. 1);
- informare le persone interessate nei casi previsti dal cpv. 4.
Il 7 febbraio 2025 l'IFPDT ha pubblicato una guida che precisa queste nozioni. Propone anche un modulo online, «DataBreach», per trasmettere le notifiche.
Coesistono due sportelli federali. L'IFPDT vigila sui dati personali; l'UFCS tratta l'incidente sotto il profilo tecnico. Dal 1° aprile 2025 i gestori di infrastrutture critiche devono segnalare i loro ciberincidenti all'UFCS; per una PMI, la segnalazione resta volontaria.
Il comunicato di Swiss Basketball menziona l'autorità per la cibersicurezza, ma non l'IFPDT. L'Incaricato, Adrian Lobsiger, aveva contato 455 notifiche di violazione dall'inizio del 2026, contro 343 in tutto il 2025. Il 23 ottobre 2026 ha aperto un'inchiesta su PK Softech, fornitore di software per casse pensioni.
Che cosa non si sa ancora
- Se Swiss Basketball abbia notificato l'incidente all'IFPDT: il suo comunicato del 31 ottobre 2026 non lo dice.
- Il numero reale di persone colpite e la quota di minorenni, che la federazione non ha quantificato.
- Il legame tra l'extranet citato dal pirata e Basketplan, nonché il modo in cui l'autenticazione a due fattori è stata aggirata.
Fonti
- Inside IT, «Datenleck bei Swiss Basketball», 2 novembre 2026
- Swiss Basketball, «Information destinée aux licenciés de Swiss Basketball», 31 ottobre 2026
- Ufficio federale della cibersicurezza, «Hameçonnage (Phishing), Vishing, Smishing»
- IFPDT, «La nouvelle loi fédérale sur la protection des données du point de vue du PFPDT»
