La Svizzera è nel mirino degli hacker. La difesa parte dalle applicazioni

Fughe di documenti federali, attacchi a media e siti della Confederazione: la Svizzera è un bersaglio. Per aziende, enti pubblici e software house la difesa passa dalla sicurezza delle proprie applicazioni, senza far uscire i dati dal Paese. Il 19 novembre, al Festival AI di ATED a Lugano, viene presentato AppScanner, lo strumento ticinese certificato «swiss digital services + AI».

Nel 2026 la Svizzera è stata colpita da diversi attacchi informatici significativi, con casi di ransomware, furto di dati personali, compromissione di account e attacchi ai fornitori IT. Tra i più significativi ci sono i seguenti:

• Canton Ticino e altri Cantoni - Sito targhe automobilistiche - settembre 2026 | Furto di targhe, nomi e indirizzi. Un attacco informatico che ha consentito la raccolta illecita e massiva di dati personali attraverso il portale web «Elenco targhe Cantone Ticino». Gli hacker hanno sfruttato il normale servizio di consultazione delle targhe, automatizzando migliaia di interrogazioni e aggirando i meccanismi che limitavano il numero di richieste. Non si è verificata un'intrusione nei sistemi informatici cantonali, ma l'attacco ha sfruttato abusivamente una funzionalità legittima dell'applicativo web.
• PK Softech - Publica e casse pensioni svizzere - settembre-ottobre 2026 | Furto di dati. Il fornitore di software PK Softech è stato vittima di un attacco attribuito al gruppo Akira. Sono stati sottratti dati di diversi istituti previdenziali, tra cui Publica. Il 22 ottobre l'IFPDT ha avviato un'inchiesta formale. Coinvolte anche casse pensioni cantonali, tra cui istituti di Zurigo e Berna; in Ticino sono state avviate verifiche sull'IPCT. Fonte ufficiale: IFPDT.
• Ospedale di Friburgo (HFR) - Dati sanitari nel Dark Web - 10 settembre 2026 | Data breach tramite fornitore. Un attacco informatico a un fornitore statunitense specializzato in diagnostica oncologica ha provocato l'esposizione di dati di circa 30 pazienti dell'ospedale di Friburgo. L'ospedale ha precisato che i propri sistemi e le prestazioni mediche non sono stati compromessi. Comunicazione ufficiale HFR.

Cosa dimostrano questi incidenti
Emergono rischi particolarmente importanti per le imprese svizzere:

• Supply chain IT: un attacco a un fornitore può compromettere i dati di numerosi clienti, come nei casi PK Softech, Stadler e HFR.
• Sicurezza applicativa: vulnerabilità di software e servizi esposti su Internet possono consentire accessi abusivi anche alle infrastrutture pubbliche.
  

I numeri dell’UFCS

• 35’727 segnalazioni volontarie di ciberincidenti nel primo semestre 2025: un livello «stabile ma elevato».
• Dal 1° aprile 2025 i gestori di infrastrutture critiche devono segnalare i ciberattacchi: 145 segnalazioni obbligatorie nel secondo semestre 2025, 325 dall’entrata in vigore dell’obbligo.
• Gli attacchi più frequenti: hacking (20%), DDoS (16%), furto di credenziali (12%), malware e fughe di dati (10% ciascuno), ransomware (9%). Sempre più mirati e complessi.

Sapere dove stanno i dati, chi vi accede e sotto quale legge aiuta anche a rispettare la nLPD, che chiede protezione dei dati fin dalla progettazione e trasparenza sui trasferimenti all’estero. La posizione dei server da sola non basta (contano anche la struttura del fornitore e i servizi esterni usati), ma partire da strumenti sviluppati e gestiti in Svizzera riduce le dipendenze e semplifica le verifiche.

AppScanner: cosa fa
Sviluppato dalla ticinese Advanced CGS Group SA, AppScanner analizza siti e applicazioni web, app mobili e API con un approccio basato sull’intelligenza artificiale: «pensare come un hacker»

• Collega le vulnerabilità e ricostruisce i percorsi che un attaccante potrebbe seguire.
• Stabilisce le priorità: distingue i problemi davvero pericolosi e indica quali correggere per primi.
• Documenta: un rapporto con le prove raccolte e le indicazioni per intervenire.
• Resta in Svizzera: l’analisi gira su cloud svizzero, con intelligenza artificiale svizzera, sotto un quadro giuridico noto.

Il marchio «swiss digital services + AI» dell’iniziativa swiss made software attesta che la parte preponderante del valore è creata in Svizzera e obbliga a dichiarare con trasparenza dove e come viene usata l’intelligenza artificiale.

Dove serve
Ovunque ci sia software esposto a Internet, acquistato o sviluppato in casa.

• Portale clienti di una fiduciaria: un errore nei controlli di accesso può mostrare a un cliente le dichiarazioni fiscali e le buste paga di un altro.
• App di prenotazione di una clinica o di un hotel: un’interfaccia mal protetta può esporre l’intero archivio, con dati sanitari o di pagamento.
• Gestionale sviluppato da una software house: è il caso Xplain in piccolo. Chi scrive software per altri ne porta anche il rischio.
• App comunale per i servizi ai cittadini: richieste e documenti personali, un bersaglio anche per chi cerca solo visibilità.
• API di un negozio online: ordini, indirizzi e scorte passano da interfacce che quasi nessuno ha mai testato come farebbe un attaccante.

Con AppScanner la sicurezza si verifica prima del rilascio e dopo ogni aggiornamento importante, senza che i dati dell’applicazione o dei suoi utenti lascino la Svizzera.

Con uno strumento automatico guidato dall’AI possono verificare ogni applicazione prima di consegnarla e fornire al cliente un rapporto dei controlli eseguiti: una garanzia per il cliente, un argomento commerciale e una tutela in caso di contestazioni per il fornitore. Lo stesso vale per i reparti IT di aziende ed enti pubblici, chiamati a rispondere della sicurezza del software che sviluppano o acquistano.

La catena del software è forte quanto il suo anello più debole. Controllarlo, senza portare i dati fuori dal Paese, è oggi responsabilità di chiunque produca o usi applicazioni.

AppScanner al Festival AI di ATED
AppScanner sarà presentato il 19 novembre 2026 al Festival AI Ticino e Regio Insubrica, organizzato da ATED al Palazzo dei Congressi di Lugano, nella sala Cyber & Digital Trust.

I partecipanti potranno provarlo dal vivo e accedere a un’offerta riservata al pubblico del Festival.

Festival AI e biglietti: festival-ai.com · AppScanner: appscanner.ai