Attacco hacker a PK Softech: 27.000 affiliati IPCT a rischio

Contesto

In breve

• 27'000 affiliati IPCT potrebbero essere vittime
• Attacco a PK Softech a fine settembre
• Dati di alcune centinaia in una cartella IPCT
• IPCT prepara una lettera agli assicurati

Fatti chiave

• Cosa → attacco hacker al fornitore PK Softech
• Quando → fine settembre
• Platea IPCT → 27'000 persone affiliate
• Dato nel server → informazioni di alcune centinaia di assicurati
• Lettera → 17'000 attivi e 10'000 pensionati
• Indagine → Ministero pubblico della Confederazione
• Gruppo citato → Akira

L'attacco e la platea ticinese

A fine settembre, un attacco hacker ha colpito PK Softech, il fornitore di software di numerose casse pensioni svizzere. Secondo le informazioni riportate nel servizio, sul server della società risultava una cartella denominata IPCT che conteneva i dati di alcune centinaia di assicurati. IPCT è l'Istituto di previdenza del Canton Ticino.

Il possibile perimetro ticinese è più ampio della cartella individuata: 27'000 persone affiliate all'IPCT potrebbero essere vittime dell'attacco. Il numero descrive quindi la platea potenziale indicata dalla fonte, non un elenco di persone per le quali sia già stata confermata una sottrazione di dati. La fonte precisa infatti che, in Ticino, non è ancora nota la portata dei danni.

Daniele Rotanzi, direttore dell'IPCT, ha richiamato la varietà degli affiliati: tra loro figurano docenti, dipendenti amministrativi, consiglieri di Stato, poliziotti e giudici, oltre a operatori in casa anziani e operatori sociali di associazioni. Questa è la descrizione professionale fornita dal direttore; il servizio non offre una suddivisione per residenza o status di frontaliere.

«Per ora non sappiamo con certezza se siano presenti dati relativi ai nostri assicurati.»

La frase di Rotanzi chiarisce il limite principale della notizia. Il dato di 27'000 riguarda gli affiliati che potrebbero essere coinvolti; quello di alcune centinaia riguarda i dati presenti nella cartella IPCT segnalata sul server. La fonte non stabilisce se i due numeri coincidano, né se tutte le informazioni della cartella siano state sottratte. IPCT annuncia intanto una lettera agli affiliati, verosimilmente nella settimana successiva, per informarli dell'accaduto e dei possibili rischi, compreso l'utilizzo di informazioni personali da parte di terzi.

Dettagli operativi

Il conteggio degli assicurati

La decisione di scrivere a tutti gli assicurati permette un confronto numerico interno alla stessa comunicazione. IPCT indica 17'000 persone attive e 10'000 pensionati; la somma è 27'000. La base è quindi la ripartizione della platea comunicata dopo la riunione di venerdì scorso. La fonte non presenta questi valori come una serie temporale.

Il calcolo non prova che tutti i componenti dei due gruppi siano stati colpiti. Mostra soltanto come il totale degli affiliati viene distribuito nella comunicazione annunciata dall'istituto. È una distinzione utile anche perché il servizio parla contemporaneamente di una platea potenziale di 27'000 persone e di una cartella con dati di alcune centinaia: il primo dato riguarda l'appartenenza all'IPCT, il secondo la documentazione rinvenuta nel server.

Per un frontaliere che lavori in Canton Ticino, la fonte non consente però una lettura basata sullo status personale. Non quantifica i frontalieri e non indica quanti affiliati abbiano un permesso G; non tratta l'imposta alla fonte, i ristorni, la LAMal, l'INPS, Brogeda o la doppia imposizione. Questi termini descrivono temi che non sono misurati nel servizio. Non si può quindi ricavare da questo episodio una quota di lavoratori transfrontalieri coinvolti, né collegare il possibile rischio a un regime fiscale o a un valico specifico.

Il contenuto della lettera, per come viene anticipato, è più preciso sul piano della comunicazione: IPCT vuole informare della possibilità di una fuga di dati personali e dell'eventuale utilizzo da parte di terzi. Il tono sarà tranquillo. Agli assicurati verrà detto che pensioni e contributi sono al sicuro, insieme all'avvertenza di prestare attenzione a e-mail o telefonate strane. La fonte separa così la sicurezza delle pensioni e dei contributi dalla possibilità di uso improprio delle informazioni personali.

Punti chiave

Il confronto con Publica e il seguito giudiziario

Il riferimento alla cassa pensione della Confederazione Publica aiuta a tenere separati i livelli del caso. Per Publica, il servizio afferma che informazioni sono state sottratte e indica una platea a rischio di 100'000 persone, comprendente consiglieri federali, agenti e militari. Per l'IPCT, invece, il testo parla di una possibilità: non c'è ancora informazione sulla portata dei danni in Ticino e non c'è certezza che i dati degli assicurati siano coinvolti. I 100'000 di Publica e i 27'000 dell'IPCT non possono quindi essere sommati: si riferiscono a due casse pensioni diverse, anche se l'attacco ha colpito lo stesso fornitore di software.

Secondo il Tages-Anzeiger, gli hacker avrebbero già preteso il pagamento di un riscatto. Il condizionale resta necessario anche con riferimento al gruppo Akira: i pirati informatici potrebbero avere accesso a dati personali di vario tipo, dal nome e cognome al numero AVS, passando per indirizzo, numero di telefono, e-mail, dati previdenziali e IBAN. L'elenco descrive categorie di informazioni potenzialmente esposte, ma non conferma che ogni campo sia presente nella cartella IPCT o che sia stato sottratto agli assicurati ticinesi.

Sul piano giudiziario, il Ministero pubblico della Confederazione ha avviato un'indagine. IPCT ha poi presentato una denuncia penale chiedendo di essere riconosciuto quale accusatore privato, con l'obiettivo dichiarato di massimizzare le informazioni che potrebbe ricevere. Si tratta del seguito documentato nella fonte; non è riportato un esito dell'indagine e non è indicato un accertamento definitivo sui dati IPCT.

Anche per chi è frontaliere, il dato verificabile non è dunque una perdita individuale già accertata. Il servizio non identifica assicurati, non quantifica la parte di affiliati eventualmente coinvolta e non dice che i dati della cartella siano stati sottratti. La notizia documenta invece l'attacco a PK Softech, la presenza della cartella IPCT, la comunicazione prevista agli assicurati e le iniziative giudiziarie avviate. Il limite informativo riguarda proprio la portata dei danni in Ticino, che resta da chiarire.

Fonte: ticinonews.ch