Perché gli hacker stanno prendendo di mira le casse pensioni

Una voce femminile, uno svizzero tedesco impeccabile e un prefisso francese, lo 0033. Così si è presentata la truffa a un muratore in pensione della Svizzera centrale, chiamato due giorni di fila.

L’uomo non ha fatto una piega e non ha concesso nulla alla misteriosa interlocutrice: pochi giorni prima la sua cassa pensioni lo aveva messo in guardia da una violazione del proprio database da parte degli hacker e dal furto di diversi dati sensibili, tra i quali proprio il numero di telefono.

A scrivere del fenomeno, che pare in rapida diffusione, è l'Aargauer Zeitung.

Se l'hacker vuole violare la cassa pensione
Il pensionato in questione è uno dei circa 20'000 beneficiari della Fondazione FAR, che finanzia il prepensionamento nell’edilizia. Sono stati tutti avvisati per lettera dopo un attacco al partner informatico dell’istituto. Non è un caso isolato. La settimana scorsa è toccato a Publica, la cassa pensioni della Confederazione.

Sarebbero «presumibilmente» stati sottratti nome, data di nascita, numero AVS, indirizzo, telefono, e-mail e stato civile, ma anche salario, avere di vecchiaia e dati dei partner. Le persone potenzialmente coinvolte sono circa 112'000, ex consiglieri federali compresi.

Da una singola breccia, tantissimi dati sensibili
In entrambi i casi i criminali informatici non hanno colpito direttamente le casse, ma le ditte che forniscono loro il software. Per Publica si tratta di PK Softech, azienda di Reinach (BL) attiva da oltre vent’anni nel settore.

Ed è qui il nocciolo del problema: un solo fornitore lavora per molti istituti previdenziali. Riuscire ad hackerarlo significa poter mettere le mani, potenzialmente, sui dati di più casse in un colpo solo.

Tra i clienti di PK Softech figurano anche le due casse pensioni del Canton Berna (oltre 92'000 assicurati), quella della Posta (67'000) e quella della Migros (75'500).

Le casse pensioni fanno gola perché custodiscono dati preziosi: identità complete, numeri AVS, redditi e patrimoni previdenziali. Con queste informazioni si possono costruire telefonate o e-mail credibili e scegliere le vittime più facoltose, spesso anziane e quindi più vulnerabili e facilmente raggirabili.

Quelli che avvisano e quelli che non lo fanno
Publica e FAR hanno avvisato subito tutti gli assicurati, mentre altri istituti si mostrano più cauti. A Berna la cassa cantonale dice di non avere indizi che i dati sottratti riguardino i propri assicurati, perché si tratterebbe di una quantità «relativamente piccola».

Ammette però di non poterlo escludere, e le lettere arriveranno solo giovedì. La cassa della Posta assicura che i dati presso PK Softech sono anonimizzati e che «al momento non c’è necessità di agire». Migros si limita a dire che sono in corso verifiche. Entrambe promettono di informare eventuali interessati. PK Softech, dal canto suo, non rilascia ulteriori dichiarazioni.

In qualsiasi caso vale sempre la regola della prudenza: non fornire dati personali o bancari al telefono, anche quando l'interlocutore sembra già sapere molto su di noi.