--- title: "Colpiti tramite un fornitore: che cosa chiede il caso Publica" summary: "Dati usciti da un fornitore di Publica, la cassa pensioni federale. Cosa è successo, cosa chiede la legge e a chi, i nostri impegni e cosa verificare ora." author: "Samuel Krauss" author_title: "Founder" publisher: "Elchi Studios" published: 2026-10-12 updated: 2026-10-12 url: https://elchi.dev/it/journal/colpiti-tramite-un-fornitore-il-caso-publica language: it translation_of: https://elchi.dev/en/journal/breached-through-a-supplier-the-publica-case tags: ["security","data-protection","switzerland","suppliers"] words: 1221 --- # Colpiti tramite un fornitore: che cosa chiede il caso Publica *Di Samuel Krauss, Founder. Pubblicato il 12 ottobre 2026.* > Dati usciti da un fornitore di Publica, la cassa pensioni federale. Cosa è successo, cosa chiede la legge e a chi, i nostri impegni e cosa verificare ora. L'8 ottobre 2026 Publica, la cassa pensioni dell'Amministrazione federale, ha comunicato che dei dati sono usciti dai sistemi di uno dei suoi fornitori di software. Da Publica non è entrato nessuno. Dal fornitore sì. Ogni azienda o amministrazione che affida dati personali a una ditta esterna dovrebbe leggere attentamente questo caso. ## Che cosa è successo Secondo Publica e il Consiglio federale, un fornitore esterno di software ha individuato un ciberattacco a fine settembre. Ha sporto denuncia penale e ha informato i servizi federali competenti, Publica e i suoi altri clienti. Il Ministero pubblico della Confederazione ha aperto un procedimento. Nessun altro servizio federale intrattiene relazioni d'affari con il fornitore. Publica non ha nominato la ditta. Watson e Inside IT l'hanno identificata come PK Softech AG di Reinach BL, che dal 2017 fornisce il software con cui Publica gestisce i suoi assicurati e i beneficiari di rendite. PK Softech ha dichiarato che degli aggressori hanno raggiunto una parte della sua infrastruttura informatica con un software dannoso, che ha isolato l'ambiente colpito e che deve presumere che dei dati siano usciti dai suoi sistemi. I suoi servizi sono di nuovo disponibili dal 2 ottobre. Publica assicura il personale dell'Amministrazione federale e del settore dei PF: a fine 2025 circa 70'000 assicurati attivi e 41'600 beneficiari di rendite. L'8 ottobre ha scritto per e-mail agli assicurati di cui aveva l'indirizzo. Gli altri, e i beneficiari di rendite, dovrebbero ricevere una lettera nei giorni successivi. Secondo questa lettera, come riferito da Watson, i dati potenzialmente interessati comprendono nomi, date di nascita, numeri AVS, indirizzi, numeri di telefono, indirizzi e-mail, salario, salario assicurato, avere di vecchiaia, stato civile e indicazioni sul coniuge o partner. Quali di questi dati siano effettivamente usciti è ancora in corso di accertamento. Publica non è l'unica cliente. Il 9 ottobre Inside IT ha citato altri clienti di PK Softech, tra cui la Bernische Pensionskasse, la Bernische Lehrerversicherungskasse, la Migros-Pensionskasse, la Pensionskasse Post e la Syngenta Pensionskasse. Alcuni hanno dichiarato pubblicamente di verificare, insieme a PK Softech, possibili fuoriuscite di dati. Il direttore della Bernische Pensionskasse ha detto all'agenzia Keystone-ATS che non ci sono indizi di un furto di dati degli assicurati, ma che non lo si può escludere del tutto. ## Perché è la normalità Una cassa pensioni acquista il suo software di gestione. Uno studio medico il sistema per i pazienti, un comune il software dei registri, una fiduciaria la contabilità. La responsabilità per i dati resta in capo a chi li ha raccolti, ma i dati possono trovarsi anche presso il fornitore: in un sistema ospitato, in un backup, in una copia fatta per il supporto o per i test. Un aggressore che vuole i dati di cinquanta clienti deve forzare una sola porta invece di cinquanta. La Svizzera l'ha già vissuto. Dopo l'attacco a Xplain, un fornitore informatico di servizi federali, il 1° maggio 2024 il Consiglio federale ha adottato misure per impedire fuoriuscite di dati presso i fornitori informatici dell'Amministrazione federale. La lezione, allora come oggi, è la stessa: è il contratto a decidere quanto presto Lei viene a sapere di una violazione, e che cosa il fornitore poteva conservare in primo luogo. ## Che cosa chiede la legge, e a chi La legge federale sulla protezione dei dati (LPD) ripartisce gli obblighi tra due ruoli. Il titolare del trattamento, cioè l'azienda o l'autorità che decide lo scopo del trattamento, deve notificare una violazione all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) quanto prima, se presumibilmente comporta un rischio elevato per le persone interessate. Il responsabile del trattamento, cioè il fornitore, deve informare il titolare di ogni violazione della sicurezza dei dati, che sembri rischiosa o no. Le persone interessate devono essere informate quando devono proteggersi da sole, per esempio cambiando una password, oppure quando l'IFPDT lo esige. La guida dell'IFPDT su queste notifiche aggiunge due punti che qui contano. In un attacco ransomware, a seconda delle circostanze, il titolare non può attendere accertamenti prolungati prima di notificare. E se un rischio elevato non può essere escluso, non deve aspettare di sapere con certezza se sono coinvolti dati personali. L'orologio che conta parte quindi dal Suo fornitore. Se il Suo contratto non dice entro quanto il fornitore deve informarLa, Lei ne verrà a sapere quando il fornitore deciderà di informarLa. ## La posizione di Elchi Studios Per i siti web e i progetti che ospitiamo per i clienti, in questa storia il fornitore siamo noi. Ecco a che cosa ci impegnano i nostri testi pubblicati, e a che cosa no. Il contratto sul trattamento dei dati per i clienti di siti web e hosting, versione 1.6, ci obbliga a informare il cliente di ogni violazione dei dati personali senza ingiustificato ritardo, al più tardi entro 24 ore da quando ne veniamo a conoscenza (clausola 4.6). Nomina ogni sub-responsabile con il suo Paese (clausola 5.1). Alla fine del contratto restituiamo o cancelliamo i dati su richiesta del cliente, salvo che la legge ci obblighi a conservarli, e confermiamo la cancellazione per iscritto su richiesta (clausole 8.1 e 8.2). Per i clienti soggetti al segreto professionale, come studi legali e studi medici, che ce lo hanno comunicato, ogni accesso del nostro personale ai loro contenuti viene registrato, e il cliente riceve il registro su richiesta (clausola 11.3). I dati memorizzati si trovano sui nostri server presso fornitori europei in Svizzera, Germania, Paesi Bassi e Francia. La nostra [pagina sulla fiducia](https://elchi.dev/en/vertrauen) nomina le quattro eccezioni e che cosa vede ciascuna: Resend per le e-mail di notifica, Stripe per i pagamenti di EMX Team, Cloudflare per le nostre zone DNS e Spamhaus per le liste di blocco del filtro antispam. Un cliente può esportare in qualsiasi momento senza chiederci nulla: gli account EAuth con gli hash delle password, le caselle EMX via IMAP o tramite l'API, e i testi, le immagini e i dati di un sito web. Quello che non abbiamo: un certificato ISO 27001, un rapporto SOC 2 o un audit di sicurezza indipendente. La pagina sulla fiducia lo dice. Possiamo essere attaccati come qualsiasi altro fornitore. Quello che possiamo promettere è il termine, l'elenco di chi altro detiene i dati, e che un cliente possa andarsene con tutto. ## Che cosa verificare questa settimana 1. **Elenchi ogni fornitore che detiene o può raggiungere dati personali.** Non solo l'hosting. Anche il fornitore del Suo software specialistico con accesso di assistenza remota, e chiunque abbia ricevuto una copia per una migrazione o un test. 2. **Cerchi in ogni contratto la clausola sulle violazioni.** Le serve un termine in ore. «Tempestivamente» non è un termine. 3. **Chieda dove si trovano le copie.** Produzione, backup, supporto, test. PK Softech ha detto che i suoi sistemi di test di norma non contengono dati in chiaro. Chieda al Suo fornitore se può dire lo stesso, per iscritto. 4. **Verifichi la fine del contratto.** Il fornitore è tenuto a cancellare, e confermerà la cancellazione? 5. **Decida ora chi notifica.** Designi la persona che decide su una notifica all'IFPDT e che informa le persone interessate, e tenga pronta una bozza per la notifica e per l'informazione. L'IFPDT è chiaro: non si aspetta la certezza. 6. **Se è assicurato presso una di queste casse,** Publica raccomanda prudenza con e-mail, chiamate e messaggi insoliti. Chi conosce il Suo numero AVS e il Suo salario non ha con ciò dimostrato di lavorare per la Sua cassa pensioni. ## Fonti 1. [Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt](https://www.admin.ch/de/newnsb/FjG4XOIms04s), Swiss Federal Council, consultato il 2026-10-12 2. [Cyber attack on Publica software supplier: data leak confirmed](https://www.publica.ch/en/about-us/news/cyber-attack-publica-software-supplier-data-leak-confirmed), Publica, consultato il 2026-10-12 3. [Cyberangriff: Bundespensionskasse Publica meldet abgeflossene Daten](https://www.srf.ch/news/schweiz/cyberangriff-bundespensionskasse-publica-meldet-abgeflossene-daten), SRF, consultato il 2026-10-12 4. [Pensionskasse des Bundes: Cyberangriff auf Publica-Softwarefirma](https://www.watson.ch/schweiz/digital/228405160-pensionskasse-des-bundes-cyberangriff-auf-publica-softwarefirma), Watson, consultato il 2026-10-12 5. [Datenabfluss bei Pensionskasse des Bundes](https://www.inside-it.ch/datenabfluss-bei-pensionskasse-des-bundes-20261008), Inside IT, consultato il 2026-10-12 6. [Weitere Pensionskassen prüfen Datenabflüsse](https://www.inside-it.ch/weitere-pensionskassen-pruefen-datenabfluesse-20261009), Inside IT, consultato il 2026-10-12 7. [Cyberangriff auf Softwarefirma betrifft auch Berner Pensionskassen](https://www.cash.ch/news/cyberangriff-auf-softwarefirma-betrifft-auch-berner-pensionskassen-975542), cash.ch, consultato il 2026-10-12 8. [Leitfaden des EDÖB betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG](https://www.edoeb.admin.ch/dam/de/sd-web/T64CAUyvAMcF/1_2%20Leitfaden%20des%20ED%C3%96B%20betreffend%20die%20Meldung%20von%20Datensicherheitsverletzungen%20und%20Information%20der%20Betroffenen%20nach%20Art.%2024%20DSG_DE.pdf), FDPIC (EDÖB), consultato il 2026-10-12 9. [Cyberangriff auf Xplain: Massnahmen zur Vermeidung von künftigen Datenabflüssen sowie Sicherheitsprüfung nach der Übernahme des Unternehmens](https://www.admin.ch/de/nsb?id=104169), Swiss Federal Council, consultato il 2026-10-12 10. [Trust: data location, CLOUD Act, security](https://elchi.dev/en/vertrauen), Elchi Studios, consultato il 2026-10-12