DailyDrop.

La cassa pensioni della Confederazione, Publica, ha confermato giovedì una fuga di dati. A essere attaccata non è stata la cassa stessa, bensì il suo fornitore di software PK Softech AG, che sviluppa applicazioni per le casse pensioni; Publica ha confermato il nome all'agenzia di stampa AWP. Secondo Publica, l'attacco è avvenuto alla fine di settembre. Tramite il fornitore gli aggressori si sarebbero procurati l'accesso a dati della cassa. Potrebbero essere interessate informazioni su stipendi, averi di previdenza e importi delle rendite, nonché dati di contatto. La SRF cita inoltre nomi, numeri AVS e informazioni sui partner; la RSI riferisce in modo simile. Il Tages-Anzeiger scrive che gli stipendi di migliaia di dipendenti della Confederazione potrebbero diventare pubblici. L'azienda di software, stando a quanto dichiara, ha rilevato da sé l'attacco e ha sporto denuncia penale. Il Ministero pubblico della Confederazione ha aperto un procedimento. Secondo Publica non è chiaro quanti assicurati e beneficiari di rendite siano interessati. A fine 2025 la cassa contava circa 70.000 assicurati attivi e 41.600 beneficiari di rendite; è l'effettivo complessivo, non il numero delle persone colpite. Publica è una delle maggiori casse pensioni della Svizzera. Presso di essa non sono assicurati soltanto i dipendenti dell'Amministrazione federale, ma anche i collaboratori di organizzazioni vicine alla Confederazione. Di conseguenza è molto ampia la cerchia di persone che giovedì si sono chieste se i propri dati siano coinvolti. La cassa non ha ancora potuto dare una risposta. Ha annunciato che informerà gli interessati non appena la valutazione sarà conclusa.

Publica ha informato i propri assicurati. Gli averi di previdenza sarebbero al sicuro e le rendite continuerebbero a essere versate come di consueto. La cassa raccomanda prudenza con e-mail, telefonate e messaggi insoliti, perché i dati personali trapelati potrebbero essere usati in modo abusivo per truffe. Non è chiaro se siano coinvolti anche dati di altre casse pensioni che lavorano con lo stesso fornitore. Diversi media ricordano il caso Xplain: nel 2023 degli hacker avevano sottratto all'azienda informatica bernese dati che riguardavano anche uffici della Confederazione, poi pubblicati nel darknet. Allora emerse quanto la Confederazione sia vulnerabile attraverso i suoi fornitori. Il caso Publica pone la stessa domanda: con quanta attenzione un'autorità verifica ciò che i suoi fornitori fanno con i suoi dati, e quanti dati personali reali si trovano presso aziende che sviluppano e testano software? Per gli interessati il pericolo è concreto. Chi conosce nome, numero AVS e stipendio di una persona può avviare tentativi di truffa ingannevolmente credibili, ad esempio false telefonate a nome della cassa o della banca. La NZZ parla di un attacco informatico contro il fornitore di software, non contro Publica stessa. Che cosa sia esattamente trapelato dovrà stabilirlo l'inchiesta; fino ad allora le informazioni restano provvisorie. Sul piano politico il caso dovrebbe sollevare interrogativi, ad esempio se le lezioni di Xplain siano state applicate anche a un istituto autonomo della Confederazione come Publica. Giovedì non c'erano ancora risposte.