«Dati di oltre 100 mila dipendenti federali in mano agli hacker, che chiedono un riscatto»

Il gruppo di hacker Akira avrebbe sottratto dati personali di oltre centomila dipendenti attuali ed ex della Confederazione e di aziende vicine alla Confederazione. Lo riferisce il Tages-Anzeiger, secondo cui gli hacker chiederebbero un riscatto e minaccerebbero di pubblicare o vendere le informazioni se non venissero pagati.

Il quotidiano identifica il fornitore di software colpito in PK Softech AG, con sede a Reinach, nel cantone di Basilea Campagna. Tra le persone coinvolte, figurerebbero anche ex membri del Consiglio federale, agenti dei servizi segreti e militari delle forze speciali. Gli attuali membri del Governo non sarebbero invece stati colpiti. 

Publica, la cassa pensioni della Confederazione, ha confermato che a fine settembre un suo fornitore esterno di software ha subito un attacco informatico e che potrebbero essere fuoriusciti dati personali. Il Ministero pubblico della Confederazione ha avviato un’inchiesta. Publica non ha però reso noto il nome del fornitore né quanti assicurati siano coinvolti.

Nell’aggiornamento del 14 ottobre la cassa ha indicato che, tra i dati potenzialmente interessati, potrebbero figurare nomi, date di nascita, numeri AVS, recapiti, informazioni previdenziali e IBAN. Ha inoltre precisato che, al momento, non vi sono indicazioni di una pubblicazione dei dati nel dark web e ha invitato le persone assicurate a diffidare di messaggi e telefonate inattesi.

Il Tages-Anzeiger riferisce anche di primi tentativi di contatto fraudolenti nel contesto di Publica. La cassa, dal canto suo, mette in guardia dal rischio di truffe, ma non conferma pubblicamente questi episodi specifici.

La possibile esposizione di dipendenti degli apparati di sicurezza era stata già riportata domenica dal SonntagsBlick, che citava una nota interna e parlava di possibili conseguenze per il Servizio delle attività informative della Confederazione, l’esercito e fedpol. Il Tagi aggiunge che, secondo le sue fonti, informazioni su funzioni e datori di lavoro potrebbero permettere di identificare personale che opera sotto copertura e creare rischi anche durante missioni all’estero.

Il 16 ottobre 2025 le autorità federali avevano già avvertito che Akira aveva intensificato gli attacchi in Svizzera, con circa 200 aziende colpite. La raccomandazione ufficiale era di non pagare riscatti e di sporgere denuncia. Il comunicato, tuttavia, non collega Akira all’attacco contro il fornitore di Publica.

Un precedente riguarda proprio Ruag: l’azienda, dopo un attacco alla filiale statunitense, ha ammesso di aver pagato un riscatto ad Akira. La scelta di pagare è in contrasto con le indicazioni dell’Ufficio federale della cibersicurezza (UFCS) che in linea di principio sconsiglia di versare riscatti, per non incoraggiare ulteriori attacchi e contribuire così al finanziamento di attività criminali. Il Dipartimento federale della difesa, che rappresenta la Confederazione come proprietaria di Ruag, ha esaminato il ciberincidente e – all'inizio di agosto – ha concluso che la decisione di pagare un riscatto è stata presa da Ruag nell’ambito della sua responsabilità imprenditoriale e che non vi sono elementi che indicano una violazione del diritto. Allo stesso tempo la verifica evidenzia margini di miglioramento nella ponderazione complessiva dei rischi e nel flusso di informazioni nei confronti della Confederazione in qualità di ente proprietario. Il DDPS ha formulato raccomandazioni in tal senso e avviato ulteriori misure che «vengono attuate rapidamente».