Cyberattacco, a rischio i dati di 1.800 assicurati IPCT

Non è ancora una certezza, ma l'ipotesi è considerata «verosimile». I dati personali di circa 1.800 assicurati dell'Istituto di previdenza del Cantone Ticino (IPCT) potrebbero essere finiti nelle mani di criminali informatici. Lo comunica la stessa cassa pensioni in una lettera, datata 23 ottobre e firmata dal presidente Enrico Quaresmini e dal direttore Daniele Rotanzi, indirizzata a tutti gli assicurati attivi e ai beneficiari di rendita: circa 17.000 i primi, circa 10.000 i secondi.

All'origine c'è l'attacco informatico subito a fine settembre dalla PK Softech AG di Reinach, nel Canton Basilea Campagna, l'azienda che fornisce all'IPCT il software per la gestione previdenziale. Una società che, sottolinea l'Istituto, lavora anche per altre importanti casse pensioni svizzere: tra queste Publica, la cassa della Confederazione, diverse grandi casse pubbliche cantonali, come quelle di Berna e Zurigo, e aziendali, come quelle di Migros e Posta. In totale, centinaia di migliaia di assicurati gestiti con lo stesso programma.

La PK Softech ha attivato i protocolli di gestione dell'evento e ha sporto denuncia penale. Le indagini sono condotte dal Ministero pubblico della Confederazione (MPC) e dalla Polizia federale (fedpol). Anche l'IPCT ha presentato una denuncia contro ignoti ed è stato riconosciuto quale accusatore privato: un passo compiuto, spiega l'Istituto, «a tutela della propria posizione e al fine di ottenere il maggior numero di informazioni».

Il punto fermo, ribadito nella lettera, è uno: «I capitali di risparmio e le pensioni di tutte le persone assicurate sono al sicuro e non hanno subito alcuna compromissione». Nessuna violazione, inoltre, per il Centro sistemi informativi dell'Amministrazione cantonale, che ospita l'infrastruttura informatica dell'IPCT.

La conferma del furto di dati è arrivata nel tardo pomeriggio del 14 ottobre: il fornitore ha informato l'IPCT che le autorità avevano accertato la sottrazione di dati personali dai suoi server, senza però poter dire a quali casse pensioni appartenessero. Il giorno seguente l'Istituto ha pubblicato un comunicato sul proprio sito e ha avviato verifiche con il fornitore, le autorità e le altre casse coinvolte.

Il risultato, aggiornato alla data della lettera: sul server preso di mira si trovavano dati relativi a circa 1.800 assicurati IPCT. Informazioni che si trovavano lì perché legate a due progetti in corso di verifiche e ricalcoli puntuali.

Il gruppo più numeroso, circa 1.700 persone, riguarda gli assicurati attivi usciti dall'IPCT per dimissioni o decesso nel 2024 e nel 2025. Nei file figuravano cognome, nome, indirizzo postale, data di nascita, numero AVS e numero di assicurato, ma non indirizzi e-mail né numeri di telefono. A questi si aggiungono l'importo della prestazione d'uscita, il nome della nuova cassa pensioni e il relativo IBAN. Per una cinquantina di persone, alle quali la somma era stata versata direttamente, era presente anche l'IBAN personale.

Il secondo gruppo, circa 80 persone, riguarda beneficiari di una rendita d'invalidità per i quali era in corso l'aggiornamento dei dati previdenziali passivi. Qui i file contenevano cognome, nome, data di nascita, numero AVS e numero di assicurato, oltre a salario assicurato passivo, avere di vecchiaia passivo, grado e data d'inizio dell'invalidità. Nessun recapito postale, e-mail o numero di telefono.

«Al momento non abbiamo evidenze certe che questi dati personali siano stati effettivamente sottratti, ma ciò appare verosimile», scrive l'IPCT. Le persone interessate riceveranno una comunicazione separata.

Per gli altri assicurati non vi sono, allo stato attuale, «indicazioni concrete» di un coinvolgimento. L'Istituto, però, non esclude del tutto l'eventualità: dispone solo di informazioni parziali e le analisi tecniche sono in corso. «È anche possibile che non avremo mai la certezza se siano effettivamente fuoriusciti dei dati personali dell'IPCT», ammette. Da qui la scelta di scrivere a tutti gli assicurati, «al fine di informare in modo trasparente e puntuale».

Il rischio principale è che i dati vengano usati da terzi a scopo fraudolento. L'IPCT invita quindi a prestare particolare attenzione, nelle prossime settimane, a e-mail, telefonate e messaggi inattesi o insoliti, a non aprire link o allegati sospetti e a non comunicare mai password, dati d'accesso o informazioni personali senza essere assolutamente certi dell'identità di chi li chiede.

Eventuali novità saranno pubblicate sul sito ipct.ch. Per domande, l'Istituto risponde allo 091 814 40 61 o all'indirizzo [email protected].