“Sapeva il mio nome, il mio indirizzo e persino quanto ho accumulato in cassa pensioni. Per forza era uno serio.” È esattamente il ragionamento su cui conta chi chiama. Quei dati non dimostrano chi è: dicono solo che li ha avuti da qualche parte. E a fine settembre, purtroppo, una fonte c’è stata.
Cosa è successo alle casse pensioni?
Un’azienda esterna che fornisce software a più casse pensioni svizzere è stata colpita da un attacco informatico a fine settembre 2026, e dei dati sono stati sottratti. L’8 ottobre il Consiglio federale ha confermato la fuoriuscita di dati presso il fornitore di Publica, la cassa pensioni della Confederazione.
L’azienda ha sporto denuncia penale e il Ministero pubblico della Confederazione ha avviato un’indagine. Nessun altro servizio federale ha rapporti commerciali con l’azienda colpita.
Publica è una delle maggiori casse pensioni della Svizzera: assicura fra gli altri i dipendenti dell’Amministrazione federale e del settore dei politecnici federali. A fine 2025 contava circa 70’000 assicurati attivi e 41’600 beneficiari di rendite.
RSI, Fuga di dati dalla Cassa pensioni della ConfederazioneUna settimana dopo si è aggiunta la cassa pensioni della città di Zurigo (PKZH): i suoi dati erano stati trasmessi al fornitore in vista del passaggio a un nuovo sistema gestionale. Secondo l’RSI anche la cassa pensioni pubblica bernese aveva comunicato di essere toccata dallo stesso attacco.
Nel peggiore dei casi, per la PKZH sono usciti dati di contatto (nome, indirizzo, e-mail, telefono), numero AVS, stato civile, informazioni sui partner, IBAN e dati previdenziali come reddito assicurato e patrimonio. I fondi previdenziali e il pagamento delle rendite non sono stati toccati.
Quali dati possono avere i truffatori?
Abbastanza per sembrare la tua cassa pensioni o il tuo consulente di fiducia. Publica elenca i dati che potrebbero essere coinvolti, mentre le verifiche sono ancora in corso:
- cognome, nome, data di nascita, numero AVS;
- indirizzo, numero di telefono ed e-mail, privati e professionali;
- dati previdenziali: salario, guadagno assicurato, avere di previdenza;
- stato civile e informazioni sul coniuge o partner;
- IBAN.
Secondo Publica, in linea di principio le copie dei documenti d’identità non sono coinvolte. E al 20 ottobre non c’erano indicazioni che i dati fossero stati pubblicati nel dark web. Anche chi non è più assicurato da Publica può essere toccato: la cassa lo sta informando per lettera.
L’avere di previdenza e le rendite sono al sicuro: il sistema con cui Publica gestisce gli averi e versa le rendite non è stato colpito. Publica non chiede mai password o dati di accesso per e-mail, SMS o telefono.
Mi chiamano e sanno quanto ho in cassa pensioni: è una truffa?
Trattala come una truffa finché non hai verificato tu, da un altro canale. È proprio lo scenario descritto dalla polizia il 14 ottobre: chi ha i dati sottratti può spacciarsi al telefono per un consulente finanziario o un broker, citare il tuo salario e il tuo avere previdenziale, e proporti di investire il capitale “in modo più redditizio”.
Le informazioni su stipendi e averi previdenziali permettono di contattare le vittime in modo mirato e di adattare l’offerta alla loro situazione finanziaria. Il fatto che chi chiama conosca già dati personali o finanziari rafforza l’impressione di affidabilità.
Il trucco è tutto qui: una consulenza che sembra fatta su misura per te, perché i numeri sono veri. Ma i numeri veri li ha anche il ladro. La polizia lo dice chiaramente: la conoscenza dei tuoi dati o dell’importo dei tuoi averi non è una prova dell’affidabilità di chi chiama.
E in Italia? Riguarda anche i frontalieri?
Sì, se lavori o hai lavorato in Svizzera. Di regola anche i frontalieri sono assicurati presso una cassa pensioni svizzera, e Publica scrive che possono essere toccati anche gli ex assicurati. Quindi la telefonata può arrivare anche a casa tua, a Como o a Varese, magari in italiano e magari su un numero italiano.
Il copione, del resto, è lo stesso che la Polizia Postale conosce bene: per la Polizia Postale il falso trading online è, fra le frodi online, la truffa che genera il profitto più cospicuo. La differenza qui è il primo contatto, molto più credibile perché costruito sui tuoi dati veri.
Polizia Postale, Trading onlineCome riconosco un falso consulente al telefono?
Dai segnali che si ripetono, non dai dati che conosce.
- Ti chiama lui, senza che tu abbia chiesto niente.
- Cita i tuoi dati (salario, avere, data di nascita) per guadagnare fiducia.
- Propone rendimenti più alti del tuo secondo pilastro, “senza rischi”.
- Ti chiede altri dati: credenziali, codici, numero della carta, copia di un documento.
- Ti spinge a decidere subito: “l’offerta scade”, “i posti sono limitati”.
- Vuole che tu installi un programma o apra un link per “vedere il tuo portafoglio”.
Basta uno di questi segnali per chiudere la chiamata. Lo stesso schema, con la banca al posto del consulente, l’ho descritto in mi ha chiamato la banca: è una truffa?.
Il Metodo 3V applicato alla telefonata del falso consulente
Tre domande, prima di dire qualsiasi cosa. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nella telefonata sulla cassa pensioni | |
|---|---|---|
| Verifica | Chi mi chiama è davvero chi dice di essere? | Nome, salario e avere non lo dimostrano: sono proprio i dati rubati. Riattacca e cerca tu la società fra gli istituti autorizzati dalla FINMA e nella lista di allerta (in Italia, nei registri della Consob), poi richiama da un numero trovato da te. |
| Validazione | Anche se fosse vero, la richiesta ha senso? | Un consulente serio non ti chiama a freddo per spostare il secondo pilastro su un prodotto “più redditizio”. E il rischio zero negli investimenti non esiste. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Va deciso oggi” serve a non farti parlare con la cassa pensioni, con la banca o con un familiare. Una decisione sulla pensione può aspettare una settimana. |
La frase da tenere pronta è semplice: “Non decido niente al telefono. Se mi serve, vi cerco io.”
Cosa fare se ti hanno chiamato (o hai già pagato)
- Interrompi il contatto e non dare altri dati, credenziali o informazioni finanziarie.
- Chiama la tua cassa pensioni al numero del sito ufficiale o del certificato di previdenza, e segnalale la telefonata.
- Se hai già fatto un bonifico, chiama subito la tua banca: prima si muove, più possibilità ci sono di fermare il pagamento.
- Conserva le prove: numero che ti ha chiamato, messaggi, ricevute di pagamento.
- Denuncia: in Svizzera alla polizia cantonale competente; puoi segnalare il caso anche all’ UFCS. In Italia alla Polizia Postale.
- Nei prossimi mesi controlla gli estratti del conto e della carta, e diffida di fatture o contratti che non hai mai firmato: possono essere segni di furto d’identità.
Se vuoi sapere se la tua e-mail compare già in altre violazioni di dati, puoi controllarla gratis su passwordrubata.com.
Domande frequenti
Mi chiamano e sanno quanto ho in cassa pensioni: è una truffa?
Trattala come tale finché non hai verificato tu. A fine settembre 2026 un fornitore di software di casse pensioni svizzere ha subito un furto di dati, che possono comprendere salario e avere previdenziale. La polizia avverte che falsi consulenti potrebbero usarli per proporre investimenti. Riattacca e chiama tu la tua cassa pensioni al numero ufficiale.
I miei soldi in cassa pensioni sono in pericolo?
Secondo Publica e la cassa pensioni della città di Zurigo, averi e rendite non sono stati toccati: l'attacco ha colpito il fornitore di software, non i sistemi che gestiscono i soldi. Il rischio è che qualcuno ti convinca a spostare tu del denaro verso un falso investimento, usando i dati rubati per sembrare credibile.
Sono frontaliere: devo preoccuparmi?
Se lavori o hai lavorato in Svizzera, di regola hai una cassa pensioni svizzera, e Publica scrive che anche gli ex assicurati possono essere toccati. La telefonata può quindi arrivarti anche in Italia. Le regole sono le stesse: nessun investimento al telefono, verifica dal canale ufficiale e, se serve, denuncia alla Polizia Postale.
Come faccio a sapere se un consulente è autorizzato?
Cerca tu il nome della società, senza usare i link o i numeri che ti ha dato: in Svizzera nell'elenco degli istituti autorizzati e nella lista di allerta della FINMA, in Italia nei registri della Consob. Se non c'è, o se compare fra gli avvisi, chiudi il contatto.
Per riconoscere il resto del copione, piattaforme finte e “guadagni” che non si possono ritirare, c’è truffe negli investimenti online: come riconoscere il falso trading. I dati sono già nelle mani di chi li ha rubati, anche se non risultano pubblicati: è adesso che conviene avvisare colleghi e familiari, non dopo il primo bonifico.
