Il cyberattacco a un fornitore esterno della cassa pensioni federale Publica di fine settembre potrebbe avere conseguenze molto ampie. Il Tages-Anzeiger riferisce che il gruppo di hacker Akira avrebbe sottratto dati personali di oltre centomila dipendenti attuali ed ex della Confederazione e di aziende vicine alla Confederazione. Secondo il quotidiano, Akira chiederebbe un riscatto e minaccerebbe di diffondere o vendere le informazioni.

Il Tagi identifica il fornitore colpito in PK Softech AG. Tra i dati che sarebbero finiti nelle mani degli hacker ci sarebbero informazioni personali e professionali; tra le persone coinvolte, secondo il giornale, anche ex membri del Consiglio federale e personale delle autorità di sicurezza.

Publica conferma che a fine settembre il proprio fornitore di software è stato vittima di un attacco e che potrebbero essere fuoriusciti dati personali. Il Ministero pubblico della Confederazione ha aperto un’inchiesta. L’analisi per stabilire quali dati e quali persone siano interessati è ancora in corso. Nell’aggiornamento del 14 ottobre Publica indicava che potrebbero essere coinvolti, tra gli altri, nome, data di nascita, numero AVS, indirizzo, recapiti, dati previdenziali e IBAN. La cassa dichiarava inoltre di non avere indicazioni che i dati fossero stati pubblicati nel dark web.

La pagina invita a prestare attenzione a e-mail, SMS e telefonate inattesi: Publica precisa di non chiedere mai password o dati di accesso per telefono o tramite messaggio. Il Tagi riferisce di primi tentativi di contatto fraudolenti nel contesto del casoa.

Akira era già stato al centro di un avviso delle autorità federali nell’ottobre 2025: circa 200 aziende svizzere erano state colpite da attacchi ransomware attribuiti alla banda. La raccomandazione di fedpol, del Ministero pubblico e dell’Ufficio federale della cibersicurezza era di non pagare e di rivolgersi alle autorità.

Ruag ha invece ammesso di aver pagato un riscatto ad Akira dopo l’attacco alla propria filiale negli Stati Uniti. L'esperto di sicurezza informatica Alessandro Trivilini ha commentato con Ticinonews: «Pagare non è una scelta giusta. Farlo significa entrare nella lista dei bersagli preferiti delle organizzazioni criminali, che sanno di avere a che fare con aziende o istituzioni potenzialmente disposte a versare un riscatto. Paghi una volta, paghi per sempre e comunque resti sempre ricattabile». Il Dipartimento federale della difesa, all'inizio di agosto, ha concluso che la decisione di pagare un riscatto è stata presa da Ruag «nell’ambito della sua responsabilità imprenditoriale e che non vi sono elementi che indicano una violazione del diritto». Allo stesso tempo la verifica evidenzia margini di miglioramento nella ponderazione complessiva dei rischi e nel flusso di informazioni nei confronti della Confederazione.