L’attacco che ha coinvolto Publica, la cassa pensioni della Confederazione svizzera, non è importante solo per la Svizzera: è un promemoria molto concreto del fatto che oggi si può subire un incidente grave senza essere colpiti direttamente, ma attraverso un fornitore. Per un’azienda italiana questo significa una cosa semplice: anche se i vostri sistemi sono ben protetti, la sicurezza reale dipende anche da software, consulenti, outsourcer, gestionali cloud e partner che trattano dati o accedono alla vostra rete.
Il caso, richiamato il 9 ottobre 2026 da Cyber Security 360, riaccende inoltre un punto centrale per il mercato italiano: con la NIS2, il rischio supply chain non è più un tema teorico o “da grandi aziende”, ma una responsabilità organizzativa da gestire con metodo.
Che cosa è successo nel caso Publica
Secondo quanto riportato, Publica è stata coinvolta in un attacco che non ha colpito direttamente la cassa pensioni, ma un fornitore esterno. Questo dettaglio è il cuore della vicenda: l’anello debole non era necessariamente l’ente finale, bensì un soggetto terzo inserito nella sua filiera digitale.
Le informazioni diffuse parlano di dati sottratti, mentre i fondi risultano al sicuro. È un aspetto importante, ma non rassicurante quanto potrebbe sembrare a prima vista. Quando vengono esposti dati previdenziali o comunque informazioni personali di valore, il danno può manifestarsi anche molto tempo dopo l’incidente, sotto forma di furti d’identità, frodi, tentativi di phishing mirato o altre truffe costruite usando dati veri.
In altre parole, il problema non è solo “hanno rubato soldi?”. Spesso la domanda giusta è: “quali dati possono essere usati contro persone, uffici e aziende nei prossimi mesi o anni?”.
Perché gli attacchi alla supply chain sono così pericolosi
Un attacco supply chain sfrutta la fiducia. Un fornitore ha spesso accesso privilegiato: gestisce software, conserva dati, entra da remoto nei sistemi, amministra servizi cloud, fornisce aggiornamenti o supporto tecnico. Se quell’accesso viene compromesso, l’attaccante può usarlo come scorciatoia per arrivare ai clienti.
Per le imprese questo crea tre criticità molto concrete.
La prima è la scarsa visibilità. Molte aziende sanno difendere discretamente i propri PC e server, ma non hanno una mappa aggiornata di chi accede ai sistemi, quali fornitori trattano dati personali, quali applicazioni sono collegate tra loro e quali dipendenze operative esistono davvero.
La seconda è l’effetto domino. Un singolo partner vulnerabile può diventare il punto di ingresso per colpire più organizzazioni contemporaneamente. È il motivo per cui gli attaccanti guardano con interesse a MSP, software house, studi esterni, piattaforme SaaS e fornitori con molti clienti.
La terza è il ritardo nella scoperta. Se il problema nasce fuori dalla vostra azienda, potreste accorgervene tardi: magari quando arrivano email sospette ai dipendenti, quando un account viene abusato, o quando il fornitore stesso comunica l’incidente.
La lezione per l’Italia: la sicurezza non finisce al perimetro aziendale
Il caso Publica richiama direttamente una responsabilità ormai centrale anche per le imprese italiane: non basta proteggere il “dentro”, bisogna governare anche il “fuori”.
Questo vale a maggior ragione nel contesto NIS2, che ha spinto molte organizzazioni a rivedere il modo in cui qualificano i fornitori, gestiscono gli accessi, controllano gli aggiornamenti e verificano la resilienza dei partner più critici. Anche dove la norma non si applica in modo diretto, il mercato si sta già muovendo in quella direzione: clienti, assicurazioni, capofila di filiera e committenti chiedono sempre più spesso evidenze di sicurezza, procedure e responsabilità chiare.
Per una PMI il rischio non è soltanto normativo. È anche commerciale e operativo. Se un vostro partner subisce un attacco e voi dipendete da quel partner per fatturare, lavorare, accedere ai documenti o gestire clienti e dipendenti, il problema diventa immediatamente vostro.
I dati rubati oggi possono creare problemi domani
Uno degli elementi più rilevanti del caso è la natura dei dati potenzialmente sottratti. Le informazioni previdenziali e personali non hanno valore solo nell’immediato: possono essere combinate con altri dati, usate per costruire email credibili, per impersonare persone reali o per alimentare frodi documentali.
Per questo un incidente di questo tipo non si esaurisce con la chiusura tecnica dell’evento. Anzi, spesso la fase più insidiosa arriva dopo, quando iniziano:
- campagne di phishing mirate verso dipendenti o utenti coinvolti;
- richieste fraudolente che sembrano provenire da enti affidabili;
- tentativi di accesso basati su dati personali corretti;
- truffe telefoniche o via email costruite su informazioni vere.
Dal punto di vista aziendale, significa che la gestione dell’incidente deve includere non solo il ripristino tecnico, ma anche comunicazione interna, monitoraggio degli account, rafforzamento dell’autenticazione e formazione del personale.
Cosa significa per la tua azienda
Se sei un imprenditore o un responsabile d’ufficio, la domanda utile non è “potrebbe succedere anche a noi?”, ma “da quali fornitori dipendiamo ogni giorno senza rendercene conto?”.
Ecco le azioni più pratiche da avviare subito.
Primo: fate l’elenco dei fornitori critici. Non solo chi vi vende hardware o software, ma chi può accedere da remoto, ospita dati, gestisce backup, posta elettronica, ERP, paghe, documenti o assistenza IT. In molte PMI questo inventario, semplicemente, non esiste in modo completo.
Secondo: classificate gli accessi. Chi entra nei vostri sistemi deve avere solo i permessi strettamente necessari, per il tempo necessario. Gli account condivisi, i vecchi accessi mai disattivati e le credenziali tecniche senza controllo sono tra i problemi più comuni.
Terzo: pretendete misure minime verificabili. MFA, procedure di gestione incidenti, tracciamento degli accessi, politiche di backup, tempi di notifica, referenti chiari. Non serve trasformarsi in auditor professionisti, ma servono domande precise e risposte documentate. Qui una revisione della vostra impostazione di sicurezza informatica può fare la differenza.
Quarto: separate il tema backup dal tema sicurezza del fornitore. Anche se un servizio è in cloud o gestito da terzi, dovete sapere come recuperare dati e operatività. Avere copie sicure e recuperabili resta essenziale, soprattutto quando l’incidente nasce fuori dall’azienda. Un piano serio di remote backup riduce il rischio di blocco prolungato.
Quinto: aggiornate contratti e responsabilità. Nei rapporti con i fornitori dovrebbero esserci clausole chiare su protezione dei dati, tempi di notifica, continuità operativa, subfornitori e gestione delle credenziali. Se vengono trattati dati personali, la parte documentale e organizzativa va allineata anche agli obblighi privacy, non solo tecnici. In questo senso può essere utile rivedere l’impostazione GDPR con un supporto dedicato: adeguamento GDPR.
Sesto: allenate le persone. Dopo un incidente supply chain, i dipendenti possono ricevere messaggi apparentemente credibili perché fondati su informazioni reali. Una breve campagna interna su email sospette, verifica delle richieste e uso dell’MFA ha un impatto molto maggiore di quanto si pensi.
E per chi lavora tra Italia e Svizzera
Questo caso riguarda direttamente la Svizzera e interessa in modo particolare le aziende che operano su entrambi i lati del confine, hanno clienti svizzeri, filiali, collaboratori frontalieri o fornitori ticinesi.
Il punto pratico è semplice: se dati, servizi o accessi passano tra Italia e Svizzera, un incidente presso un fornitore può avere effetti operativi, contrattuali e privacy su più giurisdizioni contemporaneamente. Non basta quindi verificare dove si trova il server: bisogna capire chi tratta i dati, da dove vi accede, quali subfornitori utilizza e come vengono gestite le notifiche in caso di incidente.
Per le realtà transfrontaliere conviene impostare una verifica specifica sui flussi di dati e sui ruoli dei fornitori, soprattutto quando sono coinvolti dati personali di dipendenti, clienti o collaboratori. Su questo tema può essere utile approfondire la gestione dei dati transfrontalieri tra GDPR e nLPD.
Non è solo un problema di grandi enti
Il caso Publica colpisce perché coinvolge una realtà istituzionale, ma la dinamica è identica a quella che vediamo ogni giorno nelle PMI: un fornitore fidato, un accesso tecnico, dati condivisi, dipendenza operativa forte. Cambia la scala, non il meccanismo.
Anzi, nelle aziende più piccole il rischio può essere persino più difficile da gestire, perché spesso la struttura è snella, i fornitori storici lavorano “come si è sempre fatto” e mancano controlli formali su accessi, backup, documentazione o gestione degli incidenti.
La vera lezione, quindi, non è solo “attenzione agli attacchi”. È questa: la sicurezza aziendale oggi coincide con la capacità di governare l’ecosistema digitale attorno all’azienda, non soltanto ciò che sta dentro i vostri uffici.
Domande frequenti
Se il problema nasce da un fornitore, la mia azienda può subirne comunque le conseguenze?
Sì. Se il fornitore gestisce dati, servizi essenziali o accessi ai vostri sistemi, un suo incidente può bloccare operatività, esporre informazioni e generare obblighi di comunicazione o verifiche interne.
La NIS2 riguarda solo le grandi organizzazioni?
No. Anche quando non si applica direttamente, alza l’asticella per tutta la filiera: clienti e partner iniziano a chiedere controlli, processi e garanzie anche alle PMI.
Qual è il primo passo concreto da fare subito?
Mappare i fornitori critici e i loro accessi. Senza un inventario chiaro di chi entra nei sistemi e quali dati tratta, qualsiasi strategia di sicurezza resta incompleta.