«Nessun attacco ai nostri sistemi dopo le falle di sicurezza in PHP»

«Appena ricevuto l’avviso dell’Ufficio federale della cibersicurezza relativo alle due vulnerabilità critiche nel linguaggio di programmazione PHP, abbiamo subito monitorato i tentativi di accesso ai server cantonali legati a questa criticità: fortunatamente non se ne sono registrati». A rassicurare tutti dopo che nel pomeriggio di ieri migliaia di siti web in tutto il mondo sono stati messi precauzionalmente offline a seguito delle due falle di sicurezza è, da noi contattato, il direttore del Centro sistemi informativi (CSI) del Cantone Silvano Petrini. Anche il Cantone, ieri, ha provveduto a disattivare, in via precauzionale, alcuni servizi, rimasti poi irraggiungibili anche oggi. «Entro il fine settimana, però, tutto dovrebbe tornare a funzionare correttamente», chiarisce sempre Petrini.

A preoccupare gli esperti è il fatto che gli hacker potrebbero sfruttare le falle per prendere il totale controllo di un sito web, accedere a dati sensibili o utilizzare l’infrastruttura per ulteriori attacchi informatici. Proprio per evitare questo rischio, nella serata di ieri è stato rilasciato un aggiornamento volto a risolvere le due vulnerabilità e tutti i gestori di siti web sono stati invitati a installarlo.

Ma come mai, allora, alcuni dei servizi online disattivati dal Cantone sono rimasti inaccessibili anche per l’intera giornata di oggi? «Si tratta di tempistiche del tutto normali considerando che le patch di sicurezza sono state rilasciate verso le 20.30/21.00 di ieri», precisa il direttore del CSI. «Una mezz’oretta dopo aver ricevuto tutte le informazioni del caso, avevamo già istituito un gruppo di lavoro. Bisogna però capire che lavorare su sistemi complessi garantendo che la qualità del servizio erogato rimanga elevata richiede tempo. Anche perché il Cantone ha un migliaio di server. Va poi sottolineato che, a differenza di altri gestori che hanno messo offline l’intero sito internet, noi abbiamo mantenuto online il maggior numero di pagine e servizi possibile, procedendo con la disattivazione solo dove necessario».

Non è comunque la prima volta che i sistemi informatici del Cantone finiscono sotto pressione. Solo nel recente, anzi recentissimo passato si possono segnalare la potenziale sottrazione, a opera del gruppo ransomware Akira, di dati dell’Istituto di previdenza del Cantone Ticino (IPCT) – per la quale è stata sporta denuncia al Ministero pubblico della Confederazione – e la sottrazione automatizzata di dati pubblici relativi ai detentori di veicoli – per la quale è stata sporta denuncia penale contro ignoti al Ministero pubblico. Segno forse che la sicurezza dei sistemi informatici cantonali andrebbe ripensata o, quantomeno, rafforzata? «No, non va ripensata; i sistemi devono però essere costantemente aggiornati», spiega Petrini. «Quello che bisogna capire è che oggi abbiamo reti molto complesse che richiedono uno sforzo continuo per essere difese. Per dare un’idea: registriamo dai 50.000 ai 70.000 attacchi al mese».

Non è poi raro che a essere vittime di attacchi informatici o di falle di sicurezza non siano i fornitori di servizi a cui molte persone si affidano quotidianamente, bensì aziende terze a cui i fornitori si appoggiano. È il caso, per esempio, dei dati previdenziali sottratti dal gruppo Akira: nel mirino degli hacker non è finito direttamente l’IPCT, ma la società PK Softech AG, che fornisce software per la gestione previdenziale ad alcune delle maggiori casse pensioni del Paese. Di fronte a questa constatazione viene allora da chiedersi se Confederazione, Cantoni e Comuni non dovrebbero sviluppare internamente programmi e sistemi informatici. «Sviluppare in casa un applicativo significa avere anche le capacità e i mezzi di mantenerlo e aggiornarlo e presuppone la disponibilità dei server», spiega Petrini. L’approccio del Cantone, insomma, è più pragmatico. «Quando ci vengono richieste nuove prestazioni, seguiamo dei criteri che ci portano a scegliere se sviluppare internamente il nuovo sistema informatico o se, al contrario, appoggiarci a una ditta esterna. A influire sulla decisione non sono poi solo aspetti di carattere informatico: bisogna anche capire, per esempio, se la prestazione che ci viene richiesta è regolata da una legge federale e se altri Cantoni devono essere in grado di fornire la stessa prestazione. È quindi sempre una questione di opportunità. Sviluppare tutto in casa presupporrebbe infine più personale e maggiori costi».

Oggi, l’informatica è entrata a far parte della quotidianità e quasi ogni nostra attività è regolata, direttamente o indirettamente, da algoritmi. Grazie alla tecnologia possiamo svolgere numerose attività professionali, comunicare, effettuare e ricevere pagamenti, prenotare voli e hotel, fare shopping, informarci e molto altro ancora. Anche reti complesse quali, solo per citarne due tra le tante, quelle elettriche e quelle semaforiche sono gestite da algoritmi. Tutto bello finché funziona. Basta però un problema a paralizzare intere fette di popolazione o settori economici. È quello che è successo nelle ultime ore con le due gravi falle di sicurezza inerenti al linguaggio di programmazione PHP. Ed è ciò che è accaduto qualche giorno fa con il guasto che ha interessato la banca digitale Revolut impedendo a molti utenti di effettuare pagamenti con carta e acquisti online. Guasto, quest’ultimo, da ricondurre ai problemi di Google Cloud. Alla mente torna poi il grave disservizio di Cloudflare del novembre 2025 che aveva messo fuori uso buona parte del web a livello mondiale. Di fronte a casi come questi viene dunque da chiedersi se non andrebbe ripensata la nostra dipendenza dall’informatica. «Non credo che sia il caso. Si tratta semplicemente di essere consapevoli degli strumenti che si utilizzano e della loro potenziale fallibilità», spiega Petrini. «Faccio un esempio banale: avere sempre in tasca un po’ di denaro contante per non farsi trovare impreparati in caso i sistemi di pagamento digitale smettessero di funzionare».

Un discorso, quello del direttore del CSI, condivisibile, ma che si focalizza solo sugli utenti. Resta da capire però come si traduca questa consapevolezza dal punto di vista delle aziende che forniscono servizi digitali. «Per quanto riguarda la realtà ticinese, l’amministrazione cantonale ha istituito un gruppo dal nome Cyber Sicuro che negli ultimi anni ha organizzato diversi eventi di sensibilizzazione sulla sicurezza informatica nelle imprese. Poi è chiaro, la responsabilità finale è sempre del proprietario o del direttore di una ditta: sono queste figure che devono preoccuparsi che, anche a livello informatico, la sicurezza sia garantita», conclude Petrini.