Hacker e casse pensioni: il rischio della concentrazione

Contesto

In breve

• FAR: circa 20'000 beneficiari avvisati dopo un attacco
• Publica: circa 112'000 persone potenzialmente coinvolte
• Un fornitore software può esporre più casse in un colpo solo
• La truffa usava il prefisso francese 0033

Fatti chiave

• Fondazione FAR → circa 20'000 beneficiari
• Publica → circa 112'000 persone potenzialmente coinvolte
• PK Softech → Reinach (BL), oltre vent'anni di attività
• Casse del Canton Berna → oltre 92'000 assicurati
• Cassa della Posta → 67'000 assicurati
• Cassa della Migros → 75'500 assicurati
• Prefisso della chiamata → 0033

La telefonata che ha fatto scattare l'allarme

Un pensionato della Svizzera centrale è stato chiamato per due giorni di fila da una voce femminile. Parlava uno svizzero tedesco impeccabile, ma il numero mostrava il prefisso francese 0033.

Il pensionato fa parte dei circa 20'000 beneficiari della Fondazione FAR, l'ente che sostiene il prepensionamento nel settore edile. In seguito all'attacco contro il partner informatico dell'istituto, la fondazione ha informato per lettera l'intera platea.

Tra le informazioni figurano inoltre il salario, l'avere di vecchiaia e i dati dei partner; le persone potenzialmente interessate sono circa 112'000, compresi gli ex consiglieri federali.

In entrambi gli episodi, gli hacker non hanno colpito direttamente le casse, ma le aziende che forniscono loro il software. Per Publica il fornitore è PK Softech, azienda di Reinach (BL) attiva da oltre vent'anni. Tra i suoi clienti figurano le due casse pensioni del Canton Berna, con oltre 92'000 assicurati, la cassa della Posta, con 67'000, e quella della Migros, con 75'500.

Le casse pensioni custodiscono identità complete, numeri AVS, redditi e patrimoni previdenziali.

Le risposte degli istituti sono diverse. Publica e FAR hanno avvisato subito gli assicurati. La cassa della Posta parla di dati anonimizzati e, al momento, di nessuna necessità di agire; Migros sta verificando. Entrambe promettono di informare eventuali interessati. PK Softech non rilascia ulteriori dichiarazioni.

Dettagli operativi

Il rischio è nella concentrazione

L'elemento più rilevante per chi è assicurato non è soltanto la violazione di una singola cassa, ma il luogo in cui avviene. Nel caso descritto, l'attacco passa dal partner informatico che fornisce il software. Il fornitore comune diventa così un punto di concentrazione: una breccia può esporre, potenzialmente, i dati di più istituti con un solo attacco.

La differenza rispetto a un attacco diretto è concreta. La cassa può scoprire il problema e avvisare i propri iscritti, ma il perimetro tecnico comprende anche altri clienti della stessa azienda. È il motivo per cui nella vicenda compaiono insieme Fondazione FAR, Publica, le casse bernesi, Posta e Migros: non perché la fonte descriva un'unica sottrazione a tutte, ma perché il fornitore collega più archivi previdenziali. La presenza di Confederazione, Cantoni, Posta e Migros porta quindi il caso oltre una singola amministrazione o azienda. Questa distinzione evita di trasformare un rischio potenziale in una violazione già accertata.

Dati che rendono credibile il contatto

Se si aggiungono salario, avere di vecchiaia e dati dei partner, il materiale permette ai criminali di preparare comunicazioni più plausibili. La fonte segnala anche un criterio di selezione: puntare sulle persone più facoltose, spesso anziane e quindi più vulnerabili. Il problema riguarda quindi la combinazione dei dati, non soltanto il singolo numero di telefono. Il riferimento al numero AVS tocca direttamente la previdenza AVS, mentre salario e avere di vecchiaia mostrano perché una cassa pensioni sia un obiettivo appetibile.

Anche le risposte diverse degli istituti producono scenari diversi per gli assicurati. Un avviso immediato, come quello di FAR e Publica, informa chi può essere coinvolto. L'assenza di indizi dichiarata a Berna non esclude il coinvolgimento; l'anonimizzazione indicata dalla Posta riduce, secondo la cassa, la necessità di agire nell'immediato; le verifiche di Migros lasciano aperta la valutazione. In tutti i casi, essere potenzialmente coinvolti non equivale, nel testo della fonte, a una sottrazione già attribuita a ogni assicurato.

Tool utili per la pianificazione

Per stimare la strategia previdenziale, prova il pianificatore pensionistico e il simulatore 3° pilastro.

Tool utili per la pianificazione

Per stimare la strategia previdenziale, prova il pianificatore pensionistico e il simulatore 3° pilastro.

Punti chiave

Una procedura basata sulle comunicazioni ricevute

Chi riceve un avviso può seguire una sequenza semplice, senza confondere i livelli di certezza indicati dai diversi istituti.

1. Leggere la comunicazione della propria cassa e conservarla. FAR ha scritto a tutti i suoi circa 20'000 beneficiari dopo l'attacco al partner informatico. Publica ha avvisato tutti gli assicurati. Queste lettere sono il riferimento per capire quale episodio viene segnalato e quali dati sono indicati.

2. Distinguere i dati elencati dalle ipotesi. Nel caso Publica, la fonte parla di dati presumibilmente sottratti e indica nome, data di nascita, numero AVS, indirizzo, telefono, e-mail, stato civile, salario, avere di vecchiaia e dati dei partner. L'elenco non va trasformato in una conferma automatica per ogni persona o per ogni cassa collegata a PK Softech.

3. Se arriva una telefonata simile a quella ricevuta dal pensionato della Svizzera centrale, non concedere nulla. I segnali documentati sono una voce femminile, lo svizzero tedesco impeccabile e il prefisso francese 0033. Il pensionato aveva già ricevuto l'avviso della propria cassa e non ha fornito dati alla chiamante.

4. Attendere l'aggiornamento dell'istituto. Per Berna, le lettere arriveranno giovedì; la cassa dice di non poter escludere il coinvolgimento. Entrambe hanno promesso di informare gli eventuali interessati.

Un controllo separato per il salario

Il salario figura tra le informazioni potenzialmente coinvolte nel caso Publica, insieme all'avere di vecchiaia e ai dati dei partner. Per questo, quando si rilegge la documentazione della propria cassa o la busta paga svizzera, conviene attenersi alle informazioni effettivamente ricevute, senza attribuire a una lettera contenuti che la fonte non indica.

La vicenda mostra una procedura di comunicazione ancora in corso: alcuni istituti hanno scritto subito, uno annuncia le lettere per giovedì, uno esclude per ora la necessità di agire e un altro verifica. La condotta più concreta resta quindi quella documentata: leggere l'avviso, non concedere dati a chiamate sospette e attendere l'informazione dell'istituto quando promette di raggiungere gli interessati. Per affiancare questo controllo a una verifica del proprio salario, usa il calcolatore stipendio.

Fonte: tio.ch