Il Touring Club Svizzero (TCS) ha confermato all'agenzia Keystone-ATS e alla trasmissione Espresso della radiotelevisione svizzera di lingua tedesca SRF un furto di dati di clienti di TCS Camping, il suo ramo dedicato al campeggio. I dati sono stati sottratti presso Camping.care, il fornitore esterno che gestisce le prenotazioni di TCS Camping, in relazione alle falle critiche del linguaggio di programmazione PHP. Secondo la rivista informatica ICTjournal, il 27 ottobre 2026 circa 15'000 clienti sono stati avvisati di tentativi di truffa sulla messaggeria WhatsApp.
I truffatori si servono di vere informazioni di prenotazione per sembrare credibili. Secondo la lettera inviata dal TCS ai suoi clienti, citata da ICTjournal e dal sito svizzero tedesco Inside IT, i messaggi fraudolenti riprendono nomi, numeri di telefono e numeri di prenotazione esistenti. I dati bancari e gli IBAN non sono interessati, secondo il TCS.
Truffa WhatsApp: cosa deve fare un cliente di TCS Camping
La regola più utile viene dal TCS stesso: TCS Camping non invia né dettagli di prenotazione automatizzati, né link, né richieste di pagamento tramite WhatsApp. Un messaggio di questo tipo che si presenta come proveniente da TCS Camping è quindi sospetto, anche se cita una prenotazione reale.
Il TCS invita alla prudenza al di là di questa prima ondata. Avverte che i dati rubati possono servire a nuovi tentativi di adescamento, o phishing. La nostra analisi: da questi avvertimenti derivano tre gesti.
- non seguire il link e non pagare nulla in seguito a un messaggio WhatsApp che menziona una prenotazione TCS Camping;
- diffidare anche delle chiamate, degli SMS o delle e-mail che citano un numero di prenotazione: conoscere questo numero non prova che il mittente sia il TCS;
- segnalare il messaggio all'Ufficio federale della cibersicurezza (UFCS), che riceve le notifiche volontarie di ciberincidenti da parte della popolazione, come ricordava 2clics nel suo articolo sulla falla PHP PHP2Shell.
Lo scenario non è nuovo. Il 20 ottobre 2026, l'UFCS descriveva una truffa legata alle prenotazioni di alberghi, che prendeva di mira soprattutto le carte di credito. Nelle loro nuove varianti, i truffatori cercavano anche di prendere il controllo di conti TWINT e di e-banking, come rilevava 2clics in un articolo sulla sensibilizzazione dei dipendenti al phishing.
TCS Camping non è l'unico interessato. Secondo ICTjournal, anche il campeggio Hüttenberg, nel Cantone Turgovia, mette in guardia sul proprio sito web contro messaggi WhatsApp fraudolenti contenenti vere informazioni di prenotazione. Il suo gestore suppone che dei dati di prenotazione siano stati utilizzati senza autorizzazione.
Quale legame con la falla PHP2Shell?
Secondo Inside IT, le falle di PHP erano state rese pubbliche la settimana precedente. Battezzate PHP2Shell, permettono di eseguire codice su un server web senza autenticazione. Registrate come CVE-2026-109618 e CVE-2026-109619, hanno un punteggio di 9,2 su 10. Le correzioni sono disponibili dal 21 ottobre 2026, e l'UFCS ha raccomandato di installarle immediatamente.
Gli aggressori non hanno aspettato le correzioni. Secondo Bleeping Computer, sito d'informazione specializzato in sicurezza informatica citato da 2clics, i tentativi di sfruttamento sono iniziati quattro giorni prima della loro pubblicazione. Il 22 ottobre 2026, l'azienda Risikomonitor contava poco più di 23'000 server ancora esposti su quasi 690'000 server legati alla Svizzera.
La nostra analisi: finora le fonti di 2clics non riferivano di alcuna intrusione riuscita in Svizzera. Il caso di TCS Camping è il primo furto di dati svizzero legato alle falle di PHP di cui 2clics riferisce. Secondo il TCS, la falla è stata nel frattempo corretta.
Un fornitore attaccato, diversi clienti esposti
Lo schema ricorda i ciberattacchi contro le casse pensioni. In entrambi i casi, sono stati presi di mira i sistemi di un fornitore, e non in primo luogo quelli dell'organizzazione i cui clienti sono colpiti.
| Organizzazione colpita | Fornitore attaccato | Dati interessati secondo le fonti |
|---|---|---|
| TCS Camping e campeggio Hüttenberg | Camping.care, prenotazioni | Secondo il TCS: nomi, numeri di telefono, numeri di prenotazione; nessun IBAN |
| Cassa pensioni della Città di Zurigo | Fornitore di software non nominato | Nel peggiore dei casi: dati di contatto, numero d'assicurazione sociale, IBAN, dati previdenziali |
| Cassa pensioni della Confederazione Publica, Cassa pensioni bernese (BPK), Cassa d'assicurazione del corpo insegnante bernese (BLVK) | PK Softech, software per casse pensioni | Non ancora accertati; inchiesta dell'Incaricato in corso |
Il caso zurighese, riportato il 16 ottobre 2026 nell'articolo sulla cassa pensioni di Zurigo, poteva toccare dati ben più sensibili. Per PK Softech, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha aperto il 23 ottobre 2026 un'inchiesta su PK Softech. Intende accertare quali dati le casse avessero affidato al fornitore.
Fuga di dati: cosa prevede il quadro svizzero
In Svizzera, due sportelli federali ricevono le segnalazioni, con ruoli distinti. L'Incaricato si occupa della protezione dei dati personali. L'UFCS tratta l'incidente sotto il profilo tecnico. Per una PMI, la segnalazione all'UFCS rimane volontaria; solo i gestori di infrastrutture critiche vi sono tenuti dal 1° aprile 2025.
Le notifiche all'Incaricato aumentano. Il suo titolare, Adrian Lobsiger, ha ricevuto 455 notifiche di violazione della sicurezza dei dati dall'inizio del 2026, contro 343 in tutto il 2025. Lo ha indicato il 25 ottobre 2026, ritenendo che molte violazioni di dati in Svizzera non gli giungano mai.
I precedenti mostrano la prassi. PK Softech ha essa stessa segnalato l'attacco all'Incaricato l'8 ottobre 2026, e la rivista online Republik gli ha notificato il furto dei dati dei suoi utenti. Le fonti consultate non precisano i criteri né il termine che la legge sulla protezione dei dati (nLPD) fissa per una tale notifica.
Per una PMI che affida le sue prenotazioni o il suo schedario clienti a un fornitore, dalle fonti di 2clics emergono due consigli. Si tratta di chiedere al fornitore se ha applicato la correzione PHP2Shell, e di trasmettergli solo i dati strettamente necessari, come raccomanda l'Incaricato.
Cosa non si sa ancora
- Il numero di clienti i cui dati sono stati realmente rubati: i 15'000 clienti sono stati avvisati a titolo preventivo, secondo ICTjournal.
- La data dell'intrusione presso Camping.care e la falla esatta utilizzata.
- Il numero di altri campeggi, in Svizzera o altrove, che lavorano con Camping.care e potrebbero essere interessati.
- Se il TCS o Camping.care abbiano notificato l'incidente all'Incaricato o all'UFCS: le fonti consultate non lo dicono.
- L'identità degli autori dei messaggi WhatsApp.
