Fuga di dati nelle casse pensioni: perché in Svizzera le aziende non vengono quasi mai multate

Nome, numero AVS, salario, avere di previdenza: dati di questo tipo relativi a decine di migliaia di assicurati potrebbero trovarsi da fine settembre nelle mani di criminali. In quel periodo ignoti, servendosi di un software dannoso, si sono procurati l’accesso a una parte dell’infrastruttura informatica della PK Softech AG di Reinach (BL), che sviluppa software per casse pensioni. L’08.10.2026 il Consiglio federale ha confermato una fuga di dati presso questo fornitore di Publica, la Cassa pensioni della Confederazione. Nel frattempo anche la Cassa pensioni della Città di Zurigo e l’Istituto di previdenza del Cantone Ticino hanno comunicato che probabilmente sono stati sottratti dati personali dei loro assicurati.

La Confederazione stessa considera seria la fuga di dati presso PK Softech: secondo «Blick», in una nota informativa confidenziale definisce l’accaduto «grave». Il caso solleva una domanda rimasta aperta già dopo l’attacco alla ditta informatica Xplain, nel 2023: chi ne risponde quando un’azienda non è in grado di proteggere i dati che le sono stati affidati. Il diritto svizzero dà in merito una risposta laconica. L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) non può infliggere multe. Secondo la legge sulla protezione dei dati è punibile soltanto chi agisce intenzionalmente. Di principio vengono multate le persone fisiche, non le aziende.

Che cosa è successo presso il fornitore di Publica

Secondo il Consiglio federale, è stato lo stesso fornitore di software ad accorgersi dell’attacco. Ha sporto subito denuncia penale e ha informato i servizi federali competenti, Publica e altri clienti. L’ambiente colpito è stato «immediatamente scollegato dalla rete», ha comunicato PK Softech, aggiungendo di aver fatto capo a specialisti esterni. «Ci rammarichiamo molto dell’accaduto.» A «Watson» l’azienda ha precisato: «La fuga di dati confermata è avvenuta dall’infrastruttura informatica di PK Softech, non dai sistemi dei nostri clienti.» Il Ministero pubblico della Confederazione sta indagando. Secondo il Consiglio federale, a parte Publica nessun servizio federale intrattiene relazioni d’affari con l’azienda.

Il rapporto è di lunga data. Dal 2017 Publica si avvale di un’applicazione previdenziale di PK Softech: come riferisce «Inside IT», l’aggiudicazione ammontava allora a 12,6 milioni di franchi per una durata massima di 16 anni, opzioni comprese. A fine 2025 Publica contava circa 70 000 assicurati attivi e 41 600 beneficiari di rendite; il totale di bilancio ammontava a 44,9 miliardi di franchi. Sono assicurati, tra gli altri, i dipendenti dell’Amministrazione federale e del settore dei PF.

Secondo Publica potrebbero essere interessati cognome, nome, data di nascita, numero AVS, indirizzo, numeri di telefono e indirizzi e-mail, nonché dati previdenziali come salario, salario assicurato e avere di previdenza, oltre a stato civile e dati su coniugi o partner. I capitali di previdenza in quanto tali non sono toccati. «Per noi è la cosa peggiore che possa succedere», ha dichiarato alla SRF la responsabile della comunicazione Beatrice Rychen.

Più in là si spinge un’inchiesta del «Tages-Anzeiger», citata da «Netzwoche», «Inside IT» e «Watson». Secondo questa inchiesta, i set di dati contengono in parte anche coordinate bancarie e dati sui figli. Sarebbe inoltre visibile il datore di lavoro, anche per persone che lavorano sotto un’identità di copertura per fedpol o per il Servizio delle attività informative. Secondo l’articolo, il Consiglio federale e le autorità di sicurezza partono dal presupposto che siano stati sottratti i dati di praticamente tutti gli attuali ed ex dipendenti della Confederazione e delle aziende parastatali; ne sarebbero esclusi soltanto i membri in carica del Consiglio federale. Publica non conferma questa portata. «Quali persone e quali dati siano effettivamente interessati è tuttora oggetto di ampi accertamenti», ha dichiarato Rychen il 20.10.2026. «Gli accertamenti sono ancora in corso», ha detto il 23.10.2026 a «Watson». Fino al 30.10.2026 non si è avuta notizia né di una conferma né di una rettifica della portata.

Quali casse sono coinvolte

Secondo l’IFPDT, nell’attacco sono stati sottratti dati di diversi importanti istituti di previdenza del 2° pilastro. L’autorità cita per nome soltanto Publica. Secondo un articolo della «NZZ am Sonntag» ripreso da «blue News», sono coinvolte poco meno di una dozzina di altre casse, tra cui quelle della Migros, della Posta e della Città di Zurigo. Un elenco completo non è disponibile.

La Cassa pensioni della Città di Zurigo (PKZH) si è espressa in modo dettagliato. Secondo la cassa, nel peggiore dei casi sono interessati nome, data di nascita, numero AVS, indirizzo, recapiti, salario assicurato, avere di previdenza, stato civile, dati del partner e IBAN. «I capitali di previdenza e le rendite non sono a rischio», ha comunicato la PKZH. La cassa ha sporto denuncia penale. Il 09.10.2026 il Cantone di Berna ha segnalato un attacco a una «fornitrice esterna di software per casse pensioni», senza nominarla. Secondo «blue News», il 13.10.2026 la Cassa pensioni Posta ha dichiarato che i suoi dati presso il fornitore erano anonimizzati. Il 16.10.2026, secondo «Inside IT», ha confermato che presso il fornitore erano stati sottratti dati personali; se fossero coinvolti dati dei suoi assicurati restava ancora da chiarire.

Si è aggiunto il Ticino. Secondo «Tio», l’istituto di previdenza cantonale IPCT è cliente di PK Softech. Stando alla RSI, l’istituto ha scritto a circa 17 000 assicurati attivi e 10 000 beneficiari di rendite. Non vi sarebbero prove certe, ma sembrerebbe probabile che i dati di circa 1800 persone siano stati effettivamente sottratti. Per circa 1700 persone uscite dall’istituto o decedute nel 2024 e nel 2025 si tratta soprattutto di dati anagrafici, numero AVS e importo della prestazione d’uscita, oltre al nuovo istituto di previdenza e al relativo IBAN. Per circa 50 persone alle quali l’importo è stato versato direttamente, i file contenevano l’IBAN personale. Per circa 80 beneficiari di una rendita d’invalidità i dati arrivano fino al grado d’invalidità. Anche l’IPCT ha sporto denuncia penale.

Secondo le conoscenze attuali, la Fondazione FAR, che organizza il pensionamento flessibile nel settore principale della costruzione, non rientra in questo caso. Anche il suo partner informatico è stato attaccato, ma secondo «blue News» si tratta di un altro fornitore. La fondazione ha avvertito per lettera circa 20 000 pensionate e pensionati.

Perché i dati della Confederazione si trovavano presso un’azienda privata

Che un’azienda di software abbia accesso a dati personali non è di per sé nulla di insolito, spiega alla SRF l’esperto di sicurezza informatica Marc Ruef. Alcuni produttori gestiscono direttamente il programma per i loro clienti, sui propri computer. Inoltre il produttore deve poter consultare i dati quando occorre correggere un errore. «Anonimizzare e pseudonimizzare i dati è molto oneroso e anche soggetto a errori», afferma Ruef. E aggiunge: «A volte si sceglie l’economicità anziché la sicurezza.»

Quale di queste situazioni si applicasse al caso PK Softech non è chiaro. L’azienda ha dichiarato a «Watson»: «Di principio sui nostri sistemi di test non ci sono dati in chiaro.» La PKZH presenta le cose diversamente. La cassa prevede di passare al sistema di gestione di PK Softech e a tal fine aveva trasmesso dati all’azienda. «Questi dati sono stati utilizzati nell’ambito di test per il previsto cambio di sistema», ha comunicato la cassa. Sono proprio questioni di questo tipo che l’IFPDT intende ora chiarire. In generale, secondo «Inside IT», l’incaricato federale della protezione dei dati, Adrian Lobsiger, chiede che vengano trasmessi solo i dati strettamente necessari e che si utilizzino di preferenza dati di test anonimizzati anziché dati di produzione.

Nella scelta di un fornitore, le questioni di sicurezza dovrebbero in realtà occupare il primo posto, ritiene Ruef. «L’esperienza insegna che il tema della sicurezza informatica spesso non figura molto in alto nella lista.» Il blogger Jean-Pierre A. Kousz riassume il problema in una formula: «Chi esternalizza i dati non si libera del rischio, ma solo del controllo.» Non attribuisce cattive intenzioni a nessuno: «Nessuno agisce in malafede, ma tutti scelgono semplicemente la via più comoda.»

La pista che porta ad Akira

Chi ci sia dietro l’attacco non è stato confermato né dalla Confederazione né da Publica. Secondo un’inchiesta di Tamedia, i servizi federali coinvolti ritengono che l’attacco sia stato compiuto dal gruppo ransomware Akira. Il gruppo chiederebbe un riscatto e minaccerebbe di pubblicare o vendere i dati. L’entità della richiesta non è nota. Secondo «Watson», fino al 20.10.2026 sul sito di Akira nel darknet non figurava alcuna voce relativa all’attacco. Fino al 30.10.2026 non sono emerse notizie di una pubblicazione dei dati.

Akira è attivo dal marzo 2023 e pratica la doppia estorsione: il gruppo ruba i dati e cifra i sistemi. Nell’ottobre 2025 il Ministero pubblico della Confederazione, fedpol e l’Ufficio federale della cibersicurezza (UFCS) hanno messo in guardia congiuntamente contro questo gruppo. Il numero delle vittime in Svizzera era già salito a 200 aziende e in quel momento le autorità registravano da quattro a cinque casi alla settimana, si affermava allora. Secondo l’UFCS, nel 2025 Akira è stato il gruppo ransomware più attivo nel Paese: il numero dei suoi attacchi noti è salito da 7 nel primo a 26 nel secondo semestre.

Anche un’azienda della Confederazione ha già pagato. Dopo un attacco di Akira alla sua filiale americana nell’autunno 2025, la Ruag ha versato una somma relativamente modesta. «Abbiamo pagato e fortunatamente abbiamo recuperato tutti i dati», ha dichiarato in giugno alla SRF il presidente del consiglio di amministrazione Jürg Rötheli. Il consigliere nazionale UDC Mauro Tuena, esperto di politica di sicurezza, aveva avvertito in quell’occasione: «Questo gruppo di hacker ora sa che la Confederazione è disposta a pagare un riscatto.»

Il numero degli incidenti ransomware noti all’UFCS oscilla. Nel primo semestre 2024 erano 39, nel primo semestre 2025 erano 57. Dal secondo semestre 2025 l’Ufficio registra anche le segnalazioni di partner nazionali; con questo metodo i casi sono stati 79 sia nel secondo semestre 2025 sia nel primo semestre 2026. «Per le aziende svizzere la minaccia dei ransomware resta tuttora elevata», ha dichiarato in giugno a «Watson» Max Klaus dell’UFCS.

Uno schema ricorrente dal caso Xplain

Lo schema non è nuovo. Nel maggio 2023 il gruppo ransomware Play ha attaccato la ditta informatica Xplain AG, che forniva software a fedpol e all’Ufficio federale dell’imposizione e della sicurezza dei confini (UDSC). Nel 2024 l’IFPDT ha constatato errori da parte della Confederazione e di Xplain. Fedpol e l’UDSC non avevano stabilito chiaramente a quali condizioni i dati personali potessero trovarsi sui server della ditta durante i lavori di assistenza. Xplain non disponeva di misure adeguate per la sicurezza dei dati, e i dati erano stati conservati nonostante obblighi di cancellazione in parte pattuiti per contratto.

All’epoca la Confederazione aveva reagito con un pacchetto di misure. Nell’aprile 2024 la Segreteria di Stato della politica di sicurezza (SEPOS) aveva presentato nove misure, tra cui clausole contrattuali standardizzate per i fornitori, una cancellazione documentata dei dati federali, nonché controlli e audit. Non è documentato se queste regole valessero anche per Publica. «Né il Consiglio federale né un dipartimento esercitano una funzione di vigilanza su Publica», ha dichiarato a «Blick» il Dipartimento federale delle finanze.

La fuga di dati presso PK Softech e il diritto svizzero

Il 22.10.2026 l’IFPDT ha aperto un’inchiesta formale nei confronti della PK Softech AG. Intende farsi un quadro completo dei dati personali che gli istituti di previdenza hanno trasmesso all’azienda, chiarire le condizioni giuridiche di questi trasferimenti e stabilire la portata delle informazioni sottratte. «Si tratta di un procedimento in corso, stiamo indagando sia il procuratore generale della Confederazione sia io», ha dichiarato Adrian Lobsiger in un’intervista a «Blick» pubblicata il 24.10.2026. «Non escludo però di estendere in seguito il procedimento a organi federali, vale a dire alle casse pensioni.»

Il metro di giudizio è la legge sulla protezione dei dati totalmente riveduta, in vigore dal 01.09.2023. Essa esige una sicurezza dei dati adeguata al rischio. Chi affida dati a un responsabile del trattamento, come un fornitore di software, deve assicurarsi che quest’ultimo sia in grado di garantire la sicurezza dei dati. Il titolare del trattamento deve notificare quanto prima all’IFPDT una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate. Il responsabile del trattamento la notifica al titolare del trattamento. L’08.10.2026 PK Softech ha notificato l’attacco anche all’IFPDT, e altrettanto hanno fatto casse pensioni colpite. Chi omette una tale notifica non è punibile secondo la legge sulla protezione dei dati.

L’IFPDT può svolgere indagini e ordinare che un trattamento sia adeguato, sospeso o cessato. Multe, invece, non può infliggerne. «Non posso infliggere multe; il Parlamento non l’ha voluto», afferma Lobsiger. «E il Parlamento non ha nemmeno voluto che una gestione negligente potesse essere sanzionata.» Può sporgere denuncia penale solo in caso di sospette omissioni intenzionali.

Quanto siano rari questi procedimenti lo descrive il giurista Martin Steiger, membro del comitato della Digitale Gesellschaft Schweiz. «Nella pratica non sembrano esserci quasi procedimenti penali fondati sulle disposizioni penali in materia di protezione dei dati», ha dichiarato in giugno a «Watson». Nel Cantone di Zurigo questi procedimenti non sarebbero nemmeno di competenza delle procure, bensì delle prefetture distrettuali. La sua conclusione: «Guardando alla pratica, finora si può soltanto concludere che le multe per singole persone responsabili non raggiungono lo scopo.» Sul piano civile, le persone interessate possono certo chiedere in giudizio il risarcimento del danno o una riparazione morale. Raramente però ne vale la pena, spiega Steiger: in Svizzera l’importo di una riparazione morale è «notoriamente basso», e gli ostacoli per dimostrare un danno sono elevati.

Nel caso PK Softech si aggiunge una particolarità. Lobsiger definisce le casse pensioni organi federali. Secondo il loro tenore, tuttavia, la maggior parte delle disposizioni penali della legge sulla protezione dei dati si rivolge alle persone private. Nella misura in cui le casse agiscono come organi federali, difficilmente quindi potranno essere applicate ai loro responsabili; si tratta di una deduzione dal testo di legge, non di un’affermazione di Lobsiger. Per i responsabili di un’azienda privata come PK Softech, invece, le disposizioni si applicano. Anche in quel caso, però, servirebbero l’intenzionalità, una querela e un procedimento cantonale, di regola contro una persona determinata.

La vigilanza incontra inoltre dei limiti. «Le nostre risorse sono limitate, non possiamo sorvegliare tutto in modo capillare, ma spesso solo effettuare controlli a campione», afferma Lobsiger. Nell’anno di riferimento 2025/26 l’IFPDT ha ricevuto oltre 2000 segnalazioni di possibili violazioni della protezione dei dati e ha svolto 22 accertamenti preliminari e 9 inchieste. Le notifiche di violazioni della sicurezza dei dati sono in aumento: «Nel 2025 erano 343, oggi ne abbiamo già 455», ha detto Lobsiger nella stessa intervista.

L’obbligo di segnalazione all’Ufficio federale della cibersicurezza

Per l’obbligo di segnalare i ciberattacchi la Confederazione segue un’altra strada. Dal 01.04.2025 i gestori di infrastrutture critiche devono segnalare i ciberattacchi all’UFCS entro 24 ore dalla loro scoperta. Dal 01.10.2025, in base alla legge sulla sicurezza delle informazioni, si rischiano multe fino a 100 000 franchi; è multato chi non ottempera a una decisione passata in giudicato dell’UFCS. Nel primo semestre 2026 sono pervenute 200 segnalazioni obbligatorie, oltre a 27 128 segnalazioni volontarie.

Per questo articolo non è stato possibile chiarire in modo definitivo se le casse pensioni e i loro fornitori di software sottostiano a questo obbligo di segnalazione. Non è stato riferito se PK Softech o le casse abbiano segnalato l’attacco all’UFCS.

Che cosa fa diversamente l’UE

Nell’Unione europea il regolamento generale sulla protezione dei dati (RGPD) punta su sanzioni amministrative contro le aziende. Le autorità di controllo possono infliggere multe fino a 20 milioni di euro o fino al 4 per cento del fatturato mondiale annuo, a seconda di quale importo sia più elevato. Per le violazioni degli obblighi relativi alla sicurezza del trattamento e alla notifica delle violazioni dei dati personali, il regolamento prevede un limite inferiore, pari a 10 milioni di euro o al 2 per cento. Le violazioni dei dati personali vanno notificate all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile che comportino un rischio per le persone interessate. La legge svizzera chiede una notifica quanto prima, ma solo in caso di rischio verosimilmente elevato.

Quanto possano essere elevate queste multe lo mostra un caso irlandese. Nel dicembre 2024 l’autorità irlandese per la protezione dei dati, la DPC, ha inflitto al gruppo Meta, proprietario di Facebook, una multa di 251 milioni di euro. All’origine c’era una fuga di dati del 2018, durante la quale persone non autorizzate avevano abusato di chiavi d’accesso sulla piattaforma. Erano stati coinvolti circa 29 milioni di account in tutto il mondo, di cui circa 3 milioni nell’UE e nello Spazio economico europeo.

Anche sul piano della tutela giuridica l’UE va oltre: secondo l’art. 80 RGPD, le persone interessate possono farsi rappresentare da organizzazioni. In Svizzera, nelle parole di Steiger, non esistono «né l’azione collettiva né il diritto di ricorso delle associazioni»; secondo «Watson», nel settembre 2025 il Parlamento ha respinto l’introduzione dell’azione delle associazioni e dell’azione collettiva. Steiger chiede un cambiamento di sistema. «Le violazioni della sicurezza dei dati dovrebbero far male finanziariamente», afferma. A essere colpite dovrebbero essere le aziende stesse, «non soltanto singole persone responsabili». Andrebbero perseguite anche le violazioni della sicurezza dei dati commesse per negligenza, e le sanzioni dovrebbero «essere commisurate al rischio e al fatturato».

Gli argomenti contro multe severe per le aziende

Contro multe sul modello europeo depone anzitutto la volontà del legislatore. La legge sulla protezione dei dati totalmente riveduta, adottata nella sessione autunnale 2020, non prevede multe amministrative; il Parlamento l’ha voluto così, afferma Lobsiger, che punta su un altro strumento. «Non va però sottovalutato l’effetto della trasparenza», dice. Quando sussiste un interesse generale, spiega, informa il pubblico. «Questo motiva le aziende a fare di più per la protezione dei dati.»

Inoltre un’azienda attaccata è anzitutto essa stessa parte lesa. PK Softech sottolinea che gli aggressori si sono procurati l’accesso «nonostante elevati standard di sicurezza». Gruppi come Akira agiscono in modo professionale. Una multa colpirebbe la vittima una seconda volta, mentre gli autori restano spesso irraggiungibili.

La sicurezza ha peraltro un prezzo. Nel suo blog Kousz stima che audit, test di penetrazione, certificazioni e oneri interni supplementari potrebbero far aumentare fino al 20 per cento i prezzi dei fornitori di software. Infine esistono già altre leve: l’obbligo di segnalazione all’UFCS, la legge sulla sicurezza delle informazioni, i diritti contrattuali di verifica dei committenti e le regole per i fornitori adottate dalla Confederazione dopo il caso Xplain. L’UFCS raccomanda inoltre di conservare i dati con prudenza: andrebbero verificati a intervalli regolari e quelli non più necessari andrebbero cancellati.

Che cosa possono fare ora le persone interessate

Per gli assicurati il rischio dovrebbe persistere a lungo. Secondo la nota informativa della Confederazione, i collaboratori attivi e pensionati devono aspettarsi «ripercussioni a più lungo termine». «Particolarmente colpiti sono gli organi di sicurezza della Confederazione», vi si legge secondo «Blick». Sempre secondo «Blick», i collaboratori potrebbero essere riconosciuti dalle autorità di un altro Paese e sottoposti a interrogatori approfonditi o, in casi estremi, trattenuti. Secondo Tamedia, una valutazione interna parla di un «pericolo per l’integrità fisica e la vita» per singole persone interessate. Sempre secondo Tamedia, il segretario di Stato Markus Mäder ha istituito una task force diretta da Anne Rivera, incaricata della sicurezza delle informazioni della Confederazione.

Il pericolo immediato per la maggior parte delle persone interessate è la truffa. A metà ottobre le polizie cantonali di Zurigo e di Berna hanno messo in guardia da truffatori che si spacciano per consulenti finanziari o broker d’investimento e che potrebbero conoscere dati su salari e averi di previdenza. Fino a quel momento la polizia non aveva registrato alcun abuso dei dati. La polizia consiglia di restare diffidenti in caso di chiamate inattese, di non fornire altri dati personali e di verificare l’identità di un fornitore di servizi finanziari attraverso canali ufficiali. Publica raccomanda di non aprire link o allegati sospetti. I tentativi di truffa possono essere segnalati su cybercrimepolice.ch. Il 20.10.2026 la PKZH ha annunciato che avrebbe inviato una lettera a tutti gli assicurati nel corso della stessa settimana. La cassa ritiene premature denunce penali di singoli assicurati finché le indagini non sono concluse; se sussista un diritto al risarcimento del danno, e nei confronti di chi, dipende secondo la cassa dal singolo caso.

Chi vuole sapere se i propri dati sono coinvolti può presentare alla cassa una domanda d’accesso. «Nei confronti delle persone interessate, una domanda d’accesso deve sempre ricevere risposta», afferma Steiger. Secondo Lucien Jucker della Fondazione per la protezione dei consumatori, le informazioni vanno di principio fornite entro 30 giorni.

Arena: le aziende che perdono i dati dei clienti vanno multate pesantemente?

Commento: chi accumula dati deve risponderne

La fuga di dati presso PK Softech mette in luce una lacuna nota dal caso Xplain. Un’azienda gestisce i dati di decine di migliaia di assicurati, viene attaccata e li perde. Le persone interessate ne sopportano il rischio ancora per anni. Sul piano penale, secondo il diritto vigente, l’azienda non rischia quasi nulla, finché nessuno dimostra l’intenzionalità di una persona determinata. Questo non è un equilibrio. È un invito a scegliere la via più comoda.

Responsabilità individuale significa che chi decide ne sopporta le conseguenze. Chi usa dati personali reali per i test, chi risparmia sulla sicurezza o conserva i dati più a lungo del necessario compie una scelta consapevole. Per questo la negligenza grave in materia di sicurezza dei dati va inserita nella legge. A pagare deve essere l’azienda, non un capro espiatorio del reparto informatico.

Per farlo la Svizzera non deve copiare il RGPD. Multe fino al 4 per cento del fatturato mondiale, inflitte da un’autorità che al tempo stesso indaga e decide, si addicono poco al diritto svizzero in materia di protezione dei dati. Meglio sanzioni chiare e limitate, sulle quali decidano i tribunali. Inoltre la Confederazione dovrebbe cominciare da sé stessa. Non è chiaro se le regole per i fornitori adottate dopo il caso Xplain valessero anche per la cassa pensioni dei suoi stessi dipendenti. Già questa constatazione è un attestato di inadeguatezza.

Pagare un riscatto sarebbe la strada sbagliata. Ogni pagamento finanzia il prossimo attacco. I colpevoli sono gli hacker, e nessuna multa cambia questo fatto. Ma chi accumula dati di cui non ha bisogno facilita loro il lavoro.

Tutti i dati sono aggiornati al 30.10.2026. Le informazioni dell’inchiesta del «Tages-Anzeiger» e di Tamedia su autori, portata, quantità di dati e task force non sono state confermate né dalla Confederazione né da Publica; fino a questa data non abbiamo trovato né una conferma né una rettifica. Non disponevamo dell’articolo originale e lo citiamo secondo «Netzwoche», «Inside IT» e «Watson». Non abbiamo verificato direttamente il sito di Akira nel darknet. Gli effettivi delle casse non corrispondono al numero delle persone colpite. La situazione giuridica è illustrata sulla base della scheda informativa dell’IFPDT, dell’intervista ad Adrian Lobsiger e di fonti specialistiche; il testo di legge è consultabile su fedlex.admin.ch. Neppure con una nuova ricerca, il 30.10.2026, abbiamo trovato prese di posizione di associazioni economiche, dell’associazione di categoria delle casse pensioni o di parlamentari sulla questione delle multe. Le citazioni rilasciate in un’altra lingua sono state tradotte dalla redazione. Le fonti sono citate nella lingua originale.

Sullo stesso tema: Divieto dei social media per i bambini: l’Europa fissa il limite, la Svizzera esita · Bruxelles regolamenta, Zurigo costruisce: come la Svizzera vince la corsa all’IA senza prendervi parte (in tedesco) · 13a mensilità AVS: il popolo ha ordinato, ora gli si presenta il conto

Fonti

• Consiglio federale: Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt (08.10.2026)
• IFPDT: EDÖB leitete nach Cyberangriff auf Softwarelieferant Abklärungen ein (23.10.2026)
• IFPDT: Tätigkeitsbericht 2025/26, comunicato stampa (30.06.2026)
• IFPDT: Merkblatt zur Untersuchung von Verstössen gegen Datenschutzvorschriften (aggiornato a settembre 2023)
• Blick: Mr. Datenschutz: «Die Bedrohung durch die KI ist real», intervista ad Adrian Lobsiger (24.10.2026)
• Blick: Daten-Debakel beim Bund: «Besonders betroffen sind die Sicherheitsorgane» (18.10.2026)
• SRF: Cyberangriff auf Publica: diese Daten sind betroffen (08.10.2026)
• SRF: Pensionskasse des Bundes: Wie konnten heikle Daten bei externer Softwarefirma landen? (10.10.2026)
• Inside IT: Datenabfluss bei Pensionskasse des Bundes (08.10.2026)
• Inside IT: Pensionskasse Stadt Zürich untersucht Datenabfluss (16.10.2026)
• Inside IT: Datenleck bei Publica gefährdet auch Sicherheitsbehörden (20.10.2026)
• Inside IT: Edöb untersucht Cyberangriff auf PK Softech (26.10.2026)
• Watson: Cyberangriff auf Software-Lieferanten des Bundes: Hacker erbeuten Daten (08.10.2026, aggiornato il 22.10.2026)
• Watson: Cyberangriff betrifft auch Pensionskasse Stadt Zürich (15.10.2026)
• Watson: Nach Publica-Datendiebstahl: Ransomware-Bande Akira erpresst Bund (20.10.2026)
• Watson: Hackerangriff auf PK Softech AG: EDÖB startet formelle Untersuchung (23.10.2026)
• Watson: intervista a Martin Steiger sulle fughe di dati (11.06.2026)
• Watson: Ransomware-Attacken, das BACS zu aktuellen Trends (29.06.2026)
• Netzwoche: Ransomware-Gruppe Akira fordert Lösegeld für Daten von über 100’000 Bundesangestellten (08.10.2026, aggiornamenti fino al 21.10.2026)
• Cash (AWP): Angriff auf Publica-Lieferanten: Lohndaten könnten betroffen sein (08.10.2026)
• Finews: Hackerangriff auf IT-Dienstleister zieht weitere Kreise (16.10.2026)
• Digitec Galaxus: Nach PK-Hack: Sind auch andere Pensionskassen betroffen? (12.10.2026)
• PKZH: Cyberangriff PK Softech (aggiornato al 20.10.2026)
• Polizeinews: Cyberangriff auf Pensionskassen-Zulieferer: Personendaten gestohlen (18.10.2026)
• Tio: Attacco hacker alle casse pensioni: a rischio anche i dati di 27mila ticinesi (20.10.2026, in italiano)
• RSI: Attacco hacker: esposti i dati di quasi 1’800 assicurati dell’IPCT (23.10.2026, in italiano)
• blue News: Pension Fund Data Breach: Which Funds Are Affected (13.10.2026, in inglese)
• blue News: Data on more than 100,000 insured individuals may have fallen into the hands of hackers (18.10.2026, in inglese)
• blue News: Hackers Steal Data from Soldiers and Former Federal Councilors (20.10.2026, in inglese)
• Jean-Pierre A. Kousz: Publica-Datenleck: Schon wieder der Lieferant, blog (08.10.2026, aggiornato il 14.10.2026)
• Netzwoche: Ransomware-Bande Akira attackiert vermehrt Schweizer Unternehmen (16.10.2025)
• UFCS: Halbjahresbericht 2024/I (07.11.2024)
• UFCS: Halbjahresbericht 2025/II (30.03.2026)
• Consiglio federale: Cyberbedrohungslage bleibt hoch: Angriffe werden gezielter und komplexer (30.03.2026)
• Consiglio federale: Kennzeichnungspflicht wirkt, BACS-Halbjahresbericht 2026/1 (24.08.2026)
• Netzwoche: BACS zieht erste Bilanz zur Meldepflicht für kritische Infrastrukturen (30.09.2025)
• SRF: Trotz Warnung: Bundeskonzern Ruag zahlt Lösegeld an Hackergruppe (06.06.2026)
• Berliner Zeitung: Schweizer Rüstungskonzern Ruag zahlte Lösegeld an Hackergruppe Akira (06.06.2026)
• SRF: Nach Datenklau bei Xplain: Datenschützer sieht Fehler bei Bund und Xplain (01.05.2024)
• DDPS/SEPOS: Massnahmenpaket zur Vermeidung künftiger Datenabflüsse (24.04.2024)
• Ufficio federale di giustizia: Datenschutz (05.02.2026)
• Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1
• Law.ch: Strafbestimmungen des nDSG
• EUR-Lex: Datenschutz-Grundverordnung, Verordnung (EU) 2016/679
• UFCS: Merkblatt Meldepflicht für Cyberangriffe
• Consiglio federale: Sechs Monate Meldepflicht für Cyberangriffe auf kritische Infrastrukturen (29.09.2025)
• Netzwoche: Jetzt müssen kritische Infrastrukturen Cyberangriffe melden (23.05.2024, aggiornamenti fino al 01.04.2025)
• IFPDT: Leitfaden zur Meldung von Datensicherheitsverletzungen nach Art. 24 DSG (versione 1.2, 23.04.2025)
• Law.ch: Meldung von Datenschutzverletzungen nach Art. 24 DSG
• e-recht24: Art. 33 DSGVO, Meldung an die Aufsichtsbehörde
• Dr. Datenschutz: Bussgelder und Sanktionen nach Art. 83 DSGVO
• TÜV Nord: DSGVO-Strafe, Bussgelder bei Datenschutzverstössen (07.11.2022)
• Law Society Gazette: DPC fines Facebook owner 251 million euros (17.12.2024)