Dati previdenziali rubati, nel mirino degli hacker anche l'IPCT

Un attacco informatico a un’azienda privata, dati personali sottratti e numerose casse pensioni svizzere ancora in attesa di sapere se le informazioni dei propri assicurati siano finite nelle mani dei criminali. È il quadro che si delinea dopo l’incursione informatica che, alla fine di settembre, ha colpito PK Softech AG, società con sede a Reinach, nel canton Basilea Campagna, che fornisce software per la gestione previdenziale ad alcune delle maggiori casse pensioni del Paese. Dietro l’attacco c’è il gruppo ransomware Akira, come confermato al Corriere del Ticino dal Ministero pubblico della Confederazione. Secondo quanto riportato dal Tages-Anzeiger, il gruppo avrebbe sottratto dati relativi a oltre 100.000 dipendenti ed ex dipendenti della Confederazione (tra cui ex consiglieri federali), agenti dei servizi segreti e militari delle unità d’élite, chiedendo un riscatto e minacciando di pubblicare o vendere le informazioni rubate.

PK Softech ha denunciato l’accaduto alle autorità e informato i propri clienti, ma inizialmente non era chiaro se i criminali fossero riusciti a sottrarre informazioni personali. Il 14 ottobre è arrivata la conferma della fuoriuscita di dati dai sistemi dell’azienda, senza che fosse ancora possibile stabilire a quali casse pensioni appartenessero e quante persone fossero coinvolte. Il Ministero pubblico della Confederazione precisa inoltre che il caso è stato integrato nel procedimento penale già in corso sulle attività di Akira, aperto nell’aprile 2024. «Per ragioni legate all’inchiesta, al momento non siamo in grado di fornire ulteriori informazioni», aggiunge l’autorità giudiziaria.

A rendere particolarmente delicato l’episodio è la natura delle informazioni potenzialmente compromesse. Publica, la cassa pensioni della Confederazione, ha confermato una fuoriuscita di dati personali dal fornitore, precisando che tra quelli potenzialmente interessati figurano nomi, date di nascita, numeri AVS, recapiti, informazioni previdenziali e coordinate bancarie. Dati che, se utilizzati da terzi, potrebbero consentire tentativi di frode e contatti ingannevoli particolarmente credibili.

La Cassa pensioni della Città di Zurigo ha invece segnalato la sottrazione di dati personali trasmessi a PK Softech per effettuare test in vista del cambiamento del sistema informatico previsto nel 2027. Anche le casse pensioni della Posta, di Migros, di Syngenta, del Cantone di Berna e degli insegnanti bernesi, così come la Fondazione FAR, hanno segnalato l’accaduto e stanno verificando l’eventuale coinvolgimento dei dati dei propri assicurati.

Tra i clienti di PK Softech figura anche l’Istituto di previdenza del Cantone Ticino (IPCT), che conta circa 27.000 persone tra assicurati attivi e beneficiari di rendita. «Potenzialmente potrebbero essere coinvolti tutti, ma al momento non ci sono evidenze che i loro dati siano stati effettivamente sottratti», spiega il direttore Daniele Rotanzi. Il 14 ottobre, precisa, il fornitore ha comunicato all’istituto che era stata confermata una sottrazione di dati personali, senza tuttavia poter indicare a quali casse pensioni appartenessero.

L’IPCT, che ha sporto denuncia al Ministero pubblico della Confederazione, è in contatto costante con il fornitore e con le altre casse pensioni coinvolte. Le informazioni disponibili, tuttavia, restano limitate. «Abbiamo difficoltà a capire quali dati siano stati effettivamente sottratti», osserva Rotanzi, secondo cui l’inchiesta in corso potrebbe spiegare almeno in parte questa incertezza. «Se la polizia è sulle tracce dei responsabili, capisco che non voglia divulgare informazioni sensibili. Allo stesso tempo, per le casse pensioni non è un bel momento, perché vorremmo poter comunicare in maniera precisa e puntuale». La difficoltà è trovare un equilibrio tra trasparenza e prudenza, come spiega il direttore: «Da una parte vogliamo essere assolutamente trasparenti, dall’altra non vogliamo nemmeno creare allarmismo se poi l’entità dell’attacco dovesse risultare limitata». Dopo il comunicato pubblicato il 15 ottobre, l’istituto sta preparando una comunicazione diretta agli assicurati, per richiamare l’attenzione sul rischio di tentativi di truffa attraverso telefonate ed e-mail sospette.

Il gruppo Akira è da tempo nel mirino delle autorità svizzere. Nell’ottobre 2025, un comunicato congiunto del Ministero pubblico della Confederazione, di Fedpol e dell’Ufficio federale della cibersicurezza riferiva di circa 200 imprese colpite in Svizzera, con una frequenza di quattro o cinque attacchi alla settimana. Il gruppo, spiegavano le autorità, ricorre alla cosiddetta «doppia estorsione»: prima sottrae i dati, poi li crittografa, rendendoli inaccessibili alle vittime. Se il riscatto non viene pagato, minaccia di pubblicare le informazioni rubate sul darknet.

Il contrasto a gruppi come Akira si inserisce in una sfida più ampia per le autorità svizzere, chiamate a fronteggiare una criminalità informatica in crescita «sia per numero di reati sia per gravità dei danni causati». A evidenziarlo è un rapporto del Consiglio federale del 2024, elaborato da Fedpol, che mette in luce le difficoltà incontrate dalle autorità investigative nel contrastare un fenomeno sempre più complesso e difficile da arginare. Secondo il documento, «le risorse a disposizione non permettono di indagare approfonditamente su tutte le denunce ricevute», mentre l’assenza di uno scambio automatico di informazioni tra le autorità comporta «uno spreco di risorse» e riduce le possibilità di successo delle indagini. A complicare ulteriormente il quadro è la dimensione internazionale della cibercriminalità: le procedure di assistenza giudiziaria, spesso lente e complesse, possono «rappresentare un vantaggio per i cibercriminali e aumentare le loro possibilità di sfuggire alla giustizia».