La Swiss Ice Hockey Federation (SIHF), la federazione svizzera di hockey su ghiaccio, ha subito una fuga di dati sul suo portale MySIHF. Tra il 17 e il 19 ottobre 2026, una persona non autorizzata si è collegata con le credenziali di un utente e ha consultato dati personali. Il 26 ottobre, la federazione ha constatato che questi dati erano messi in vendita su un forum online. Ha corretto la falla lo stesso giorno, secondo ICTjournal.
Swiss Ice Hockey: che cosa è successo su MySIHF
MySIHF è il portale centrale della federazione per l'amministrazione e l'organizzazione delle partite, secondo il sito specializzato Netzwoche. È da lì che è entrato l'intruso, con un account esistente. La SIHF ha fornito i dettagli in un messaggio alle persone potenzialmente coinvolte, citato dall'agenzia Keystone-ATS in un dispaccio pubblicato da Plattform J il 27 ottobre 2026.
| Data | Che cosa è successo |
|---|---|
| Dal 17 al 19 ottobre 2026 | Una persona non autorizzata utilizza le credenziali di un utente per accedere ai dati di MySIHF. |
| 26 ottobre 2026 | La SIHF scopre che informazioni di MySIHF sono in vendita su un forum. Blocca l'accesso illecito e corregge la falla. |
| 27 ottobre 2026 | La federazione scrive alle persone potenzialmente coinvolte. |
Il nostro calcolo: sette giorni separano la fine dell'accesso, il 19 ottobre, dalla sua scoperta, il 26 ottobre. La scoperta non è arrivata da un allarme interno noto, ma dalla messa in vendita dei dati.
La federazione ha informato anche l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Ha annunciato l'intenzione di sporgere denuncia penale, secondo Keystone-ATS.
Quali dati personali sono coinvolti?
Secondo il messaggio della SIHF, i dati sottratti possono comprendere:
- nomi e date di nascita;
- indirizzi postali e indirizzi e-mail;
- numeri di telefono;
- foto del profilo;
- l'appartenenza a club e squadre.
Le password non fanno parte del lotto, precisa la federazione. Sottolinea invece che i dati circolano ormai su internet e non possono più essere recuperati.
La nostra analisi: questo lotto non contiene né dati bancari né password. Ma riunisce, per una stessa persona, la sua identità, i suoi recapiti e il suo club. È esattamente la materia prima di un messaggio fraudolento credibile.
Che cosa esige la legge sulla protezione dei dati
La legge federale sulla protezione dei dati (LPD, spesso chiamata nLPD dopo la sua revisione) definisce la violazione della sicurezza dei dati all'art. 5 lett. h. Vi è violazione, in particolare, quando dati personali sono divulgati o resi accessibili a persone non autorizzate. Il caso descritto dalla SIHF corrisponde a questa definizione.
L'art. 24 LPD fissa poi due obblighi per il titolare del trattamento:
- notificare la violazione all'IFPDT quando comporta un «rischio verosimilmente elevato» per le persone interessate (art. 24 cpv. 1);
- informare le persone interessate nei casi previsti dall'art. 24 cpv. 4.
Il 7 febbraio 2025 l'IFPDT ha pubblicato una guida che precisa queste due nozioni. Mette inoltre a disposizione un modulo online, «DataBreach», per trasmettere le notifiche in modo sicuro. La SIHF ha seguito entrambe le vie: ha informato l'Incaricato e ha scritto alle persone potenzialmente coinvolte.
Queste notifiche si moltiplicano. L'Incaricato Adrian Lobsiger ha ricevuto 455 notifiche di violazione dall'inizio del 2026, contro 343 per tutto il 2025. Ha inoltre aperto un'inchiesta formale sul fornitore PK Softech, dopo l'attacco che ha colpito la cassa pensioni di Zurigo. Secondo lui, il punto debole è raramente la tecnologia: nella grande maggioranza dei casi si tratta di un errore umano.
La nostra analisi: l'accesso a MySIHF è passato dalle credenziali di un utente, il che concorda con questa constatazione. La federazione parla tuttavia anche di una falla di sicurezza, che ha corretto senza descriverla pubblicamente.
Quali accorgimenti per le persone coinvolte?
La SIHF mette in guardia contro tentativi di phishing via e-mail, SMS o telefono. È il rischio principale che cita.
La nostra analisi: un messaggio fraudolento potrà citare il vostro nome, la vostra data di nascita, il vostro club o la vostra squadra. Questi dettagli non provano quindi più che provenga dalla federazione o dal club. Una richiesta insolita ricevuta tramite questi canali merita una verifica con un altro mezzo, per esempio una chiamata al club a un numero conosciuto.
I club, dal canto loro, gestiscono account sul portale. È bastato un solo account sottratto per aprire l'accesso ai dati. Possono approfittare dell'incidente per ricordare ai loro volontari le basi della sensibilizzazione al phishing.
Che cosa non si sa ancora
- Il numero di persone coinvolte: il messaggio della SIHF ripreso dalla stampa non lo quantifica, né indica la loro ripartizione tra giocatori, allenatori, arbitri e dirigenti di club.
- Come sono state ottenute le credenziali dell'utente, e la natura della falla corretta il 26 ottobre 2026.
- Gli sviluppi: l'effettivo deposito della denuncia penale annunciata e la reazione dell'IFPDT.
Fonti
- ICTjournal, «En bref : le hockey suisse face à une fuite», 30 ottobre 2026
- Plattform J (Keystone-ATS), «Hacker greifen Schweizer Eishockeyverband an», 27 ottobre 2026
- Netzwoche, «Hacker klauen Daten des Schweizer Eishockeyverbands», 28 ottobre 2026
- IFPDT, guida sulla notifica delle violazioni della sicurezza dei dati, 7 febbraio 2025
