Ciberattacco, perché quei dati non sono mai stati cancellati?

I dati personali degli oltre 100.000 dipendenti ed ex dipendenti della Confederazione, potenzialmente sottratti dagli hacker del gruppo Akira, avrebbero dovuto essere cancellati già da mesi. Secondo il Tages-Anzeiger, nel gennaio 2026 PK Softech AG, l’azienda informatica colpita dall’attacco di settembre, aveva assicurato alla cassa pensioni federale Publica di non conservare più informazioni personali sui propri server.

I dati risalirebbero a una migrazione informatica del 2019 e dopo il caso Xplain (un’altra grave fuga di informazioni riservate avvenuta nel 2023), Publica ne aveva chiesto la cancellazione. «Abbiamo richiesto a PK Softech AG di eliminare tutti i dati preesistenti, compresi quelli relativi alla migrazione del 2019», conferma la cassa pensioni al quotidiano zurighese. «L’eliminazione ci è stata confermata per iscritto». Publica cerca ora di chiarire perché quelle informazioni sarebbero rimaste sui server del fornitore.

Interpellata dal Tages-Anzeiger, PK Softech non ha fornito spiegazioni: «Generalmente non commentiamo i rapporti con i singoli clienti», ha risposto l’azienda, precisando che le verifiche sono ancora in corso.

Il caso solleva la questione della sicurezza dei dati affidati a fornitori esterni. Interpellato dal Corriere del Ticino, l’Ufficio federale della cibersicurezza (UFCS) indica infatti tra i rischi crescenti «la dipendenza dai fornitori di servizi cloud e da altri fornitori esterni». Per le aziende, le conseguenze possono andare «dalle interruzioni temporanee dei sistemi e dalla perdita di dati riservati fino a responsabilità giuridiche e danni reputazionali». Per le persone coinvolte, invece, i rischi «vanno oltre la perdita immediata di denaro»: le informazioni sottratte possono alimentare furti d’identità e truffe mirate, mentre «gli account di posta elettronica sono particolarmente sensibili, perché consentono di reimpostare le credenziali di altri account».

Nel primo semestre del 2026 l’UFCS ha ricevuto 27.128 segnalazioni volontarie, il 24% in meno rispetto allo stesso periodo del 2025. Prevalgono le truffe (10.759), seguite dal phishing (8.877) e dallo spam (3.965). «Non tutte le segnalazioni corrispondono a un ciberattacco riuscito», precisa l’Ufficio: nel caso del phishing, ad esempio, molte persone riconoscono e segnalano messaggi fraudolenti senza aver subito danni. Altri episodi, invece, non vengono comunicati: «La vergogna, l’asimmetria informativa e la mancanza di consapevolezza contribuiscono a questo fenomeno». Gli attacchi diventano comunque «più mirati, più manipolativi sul piano emotivo e tecnicamente più sofisticati».

A queste si aggiungono 200 segnalazioni obbligatorie, previste per i gestori di infrastrutture critiche, registrate nel primo semestre del 2026 e previste per i gestori di infrastrutture critiche, soprattutto nel settore pubblico e in quello informatico. Prevalgono gli accessi non autorizzati (26%), i furti di credenziali (13,5%), gli attacchi DDoS, che mirano a rendere inaccessibili siti e servizi online, e le fughe di dati (entrambi al 12,7%).

I criminali sfruttano annunci online e fughe di dati per avvicinare le vittime, mentre l’intelligenza artificiale permette di creare «e-mail, messaggi di testo, voci, video e interi siti Internet convincenti in pochi secondi». Tra le tecniche più diffuse figura il phishing, con 9.308 indirizzi web fraudolenti distinti segnalati nel semestre, spesso associati a marchi finanziari (26%), commerciali (22%) e postali (14%).

Per le aziende, l’UFCS segnala la compromissione degli account Microsoft 365, utilizzati per ulteriori frodi. Una tendenza riassunta dall’espressione «log in, not break in»: gli aggressori cercano di ottenere credenziali legittime anziché forzare i sistemi.

Un’altra minaccia è il ransomware, il metodo utilizzato anche dal gruppo Akira nell’attacco a PK Softech. I criminali rendono inaccessibili i dati oppure li sottraggono, minacciando di divulgarli per ottenere un riscatto. Nel primo semestre del 2026 l’UFCS ha registrato 79 episodi. I gruppi ransomware rilevati in Svizzera sono passati da 21 a 29. Akira rimane il più documentato, sebbene la sua quota dei casi sia scesa dal 35% circa al 19%.

Le conseguenze economiche possono andare «dall’assenza di perdite fino al fallimento», spiega l’Ufficio, che tuttavia «non raccoglie sistematicamente informazioni sulle perdite finanziarie» delle vittime e non dispone quindi di una stima nazionale complessiva.

Guardando al futuro, l’UFCS richiama l’attenzione sulle tensioni geopolitiche e sul rischio di sabotaggi informatici. «Finora in Svizzera non si sono verificati sabotaggi informatici mirati contro infrastrutture critiche», precisa l’Ufficio, che tuttavia non esclude possibili attacchi indiretti, legati ai rapporti economici e politici con i Paesi occidentali. E avverte: mentre gli Stati più esposti alle tensioni internazionali hanno rafforzato la preparazione agli scenari peggiori, «non abbiamo ancora osservato un analogo senso di urgenza tra i gestori svizzeri di infrastrutture critiche».